E-mail em conformidade com a LGPD: o que significa e como escolher

A caixa de entrada acumula dados pessoais quase sem que se perceba: nomes, endereços, dados de pedidos, currículos, às vezes informações de saúde encaminhadas «só desta vez». Para a LGPD, essa correspondência é tratamento de dados pessoais como qualquer outro, com as mesmas obrigações que você aplicaria a um banco de dados.

O que a lei realmente exige

Não existe «certificado LGPD» para provedor de e-mail, e quem anuncia isso promete mais do que pode entregar. O que a lei pede é uma base legal para o tratamento, retenção apenas pelo tempo necessário, medidas técnicas e administrativas adequadas e a possibilidade de o titular exercer seus direitos.

Aplicado ao e-mail, isso vira algumas coisas concretas:

• Criptografia em trânsito (TLS) entre servidores e clientes, para que ninguém leia no caminho.
• Controle de acesso: senhas fortes, verificação em duas etapas e regras claras para caixas compartilhadas.
• Prazos de retenção. Correio que não serve mais a nenhuma finalidade não deveria ficar arquivado para sempre.
• Contrato com o operador, definindo o que o provedor pode fazer com os dados.
• Preparo para incidentes. A comunicação à ANPD deve ocorrer em prazo curto — a regulamentação atual fala em três dias úteis a contar do conhecimento do incidente relevante.

Perguntas para o provedor

• Onde ficam os servidores e onde ficam os backups?
• As mensagens são analisadas para fins publicitários? (Se sim, descarte para uso corporativo.)
• Há contrato de operador como padrão?
• Os suboperadores são listados e há aviso quando mudam?
• Quais prazos de exclusão valem no encerramento da conta?
• Há suporte a SPF, DKIM e DMARC para autenticar o correio enviado em seu nome?

Os hábitos fazem a maior parte

Conformidade é mais hábito do que tecnologia:

• Não envie dados pessoais para um círculo maior que o necessário: confira a linha de cópia antes de enviar.
• Para documentos sensíveis, prefira um link com validade a um anexo.
• Use aliases e endereços de função para que os dados que chegam caiam onde a equipe responsável vê.
• Apague ou arquive correspondência antiga por critério, não por acaso.
• Treine contra phishing: a maioria dos incidentes com e-mail começa numa senha roubada, não numa criptografia quebrada. Um bom começo é como identificar e-mails de phishing.

Criptografia: trânsito ou conteúdo

O TLS protege as mensagens entre servidores e hoje é quase universal — mas não protege o que está armazenado nem diz nada sobre a configuração do servidor do destinatário. Para material realmente sensível, acrescente uma camada no conteúdo: arquivo protegido por senha ou link com validade, com a senha enviada por outro canal. As opções estão em como enviar e-mail criptografado.

Perguntas frequentes

A LGPD vale se minha empresa está fora do Brasil? Pode valer. O critério inclui oferta de bens ou serviços a pessoas no Brasil e tratamento de dados coletados no país, independentemente da sede.

Uma caixa pessoal gratuita serve para o e-mail do trabalho? Raramente. Não dá para firmar contrato de operador sobre a conta pessoal de um funcionário nem controlar o acesso a ela.

Preciso criptografar todas as mensagens? Não. A criptografia em trânsito é a base; a de conteúdo entra onde o material exige.

Por quanto tempo posso guardar e-mails antigos? Enquanto houver finalidade e, quando aplicável, prazo legal de guarda. Defina uma política e aplique: «para sempre» não é política.

Privacidade na imail.com.tr

A imail.com.tr é operada a partir da Turquia e não tem publicidade: seu correio não é analisado para anúncios. As conexões usam TLS e o correio de saída é autenticado com SPF, DKIM e DMARC. Ao serviço aplica-se a lei turca de proteção de dados (KVKK), que segue os mesmos princípios da LGPD e do RGPD europeu; o que é tratado e por quê está na política de privacidade.

> Este texto é informação geral e não substitui orientação jurídica. Para um programa de conformidade, consulte um profissional de proteção de dados.