Quando um colaborador deixa o negócio, revise as contas e permissões que ele utilizava, transfira a responsabilidade pelos arquivos necessários e retire os acessos que perderam a finalidade. Faça isso com autorização administrativa e registro do resultado. Apagar todo o histórico da pessoa pode eliminar documentos que a operação ainda precisa conservar.
Quais acessos precisam entrar na revisão de desligamento?
Comece pelos locais de trabalho efetivamente usados: arquivos compartilhados, atendimento, cadastro administrativo, e-mail empresarial e serviços em que a pessoa tinha permissão. Inclua convites pendentes, grupos e pastas acessíveis por link. A saída de uma equipe em um aplicativo não prova que todos os outros acessos foram retirados.
O guia de segurança da informação da ANPD para pequenos agentes orienta controles de acesso proporcionais à necessidade de trabalho. A revisão de desligamento aplica esse princípio ao momento em que a função termina. O inventário deve mostrar o que a pessoa podia fazer e qual responsável conferirá cada retirada.
Separe acesso empresarial de conta pessoal. O fato de um colaborador ter usado um dispositivo próprio não autoriza examinar seus arquivos particulares ou entrar em suas contas. Trate a devolução e a retirada dos dados do negócio pelo procedimento autorizado e pelos termos aplicáveis à relação de trabalho ou prestação de serviços.
Como preservar continuidade antes de retirar a permissão?
Identifique documentos cujo proprietário administrativo é o usuário que sairá. Uma pasta pode continuar visível hoje e perder disponibilidade quando a conta for encerrada. Verifique as regras do serviço e transfira a responsabilidade de forma adequada para uma conta empresarial autorizada, preservando apenas os registros necessários.
Confira também tarefas pendentes: atendimento sem resposta, arquivo aguardando revisão ou prazo que dependia daquela pessoa. O objetivo é atribuir um novo responsável sem copiar indiscriminadamente todos os dados. O guia de organização do atendimento ajuda a localizar pendências, mas a transferência precisa ser conferida no ambiente usado pelo negócio.
Se a pessoa era a única administradora de um serviço, resolva a continuidade com o suporte oficial e os responsáveis autorizados antes de executar uma retirada que deixe a empresa sem acesso. Não use credenciais obtidas de forma indevida para contornar o problema. Registre a dependência e siga o procedimento legítimo de recuperação ou transferência.
Como retirar contas, sessões e compartilhamentos?
- Confirme a autorização, a pessoa e o momento efetivo de encerramento do acesso.
- Verifique se os arquivos e tarefas necessários já têm responsável autorizado.
- Remova as permissões concedidas ao usuário nos serviços identificados.
- Revise sessões, dispositivos e meios de recuperação associados ao trabalho, conforme os recursos de cada serviço.
- Retire compartilhamentos e convites que ainda permitam acesso aos dados do negócio.
- Registre o resultado de cada ambiente e qualquer pendência que exija suporte.
Trocar uma senha pode não encerrar todas as sessões existentes. Da mesma forma, remover uma pessoa de um grupo pode não revogar um link aberto que ela recebeu antes. Confira os mecanismos disponíveis em cada ambiente. Não declare retirada completa com base em uma única mudança quando havia vários caminhos de acesso.
Se existiam credenciais compartilhadas, planeje a substituição e a distribuição segura aos responsáveis que continuam autorizados. Evite registrar a nova senha no relatório de desligamento. O documento precisa comprovar que a revisão aconteceu, não criar outro local em que credenciais ficam expostas.
O histórico do colaborador deve ser apagado?
Retirada de permissão e eliminação de dados são decisões diferentes. Registros de operações, documentos fiscais e evidências de atendimento podem precisar ser preservados por uma finalidade válida. A LGPD, incluindo as regras de conservação e segurança, deve orientar o tratamento dos dados pessoais que permanecem sob responsabilidade da empresa.
Não use a necessidade de manter documentos como justificativa para guardar tudo para sempre. Identifique o conjunto necessário, a finalidade, o prazo ou critério de retenção e quem terá acesso. Conversas particulares e arquivos sem relação com o negócio não devem entrar em um arquivo empresarial apenas porque estavam próximos dos documentos de trabalho.
Se houver suspeita de acesso indevido, preserve as evidências relevantes e procure apoio técnico e jurídico adequado ao incidente. Evite modificar arquivos ou logs de forma que prejudique a investigação. Um procedimento de desligamento rotineiro não deve esconder um incidente que exige análise própria.
Que registro demonstra a revisão dos acessos?
Use uma relação com serviço, tipo de permissão, responsável pela retirada, data, evidência e pendência. Por exemplo: “pasta de contratos, edição removida, verificação administrativa concluída”. Esse registro é mais claro do que “acessos resolvidos”, que não mostra quais ambientes foram examinados.
Faça a conferência pelo perfil administrativo autorizado ou por outro mecanismo legítimo do serviço. Não peça que alguém tente usar a conta pessoal do ex-colaborador. Se um ambiente ainda depende de resposta do fornecedor, mantenha-o pendente e indique quem acompanhará o protocolo.
Ao final, confira se a carteira administrativa de clientes e os documentos necessários continuam disponíveis aos responsáveis atuais. O resultado esperado combina continuidade do negócio, retirada das permissões sem finalidade e preservação proporcional do histórico, com as exceções explicitamente registradas.