Um Excel com dados de formandos não tem forma de ser chamado de volta
Um Excel com dados de formandos copia-se, viaja e não volta. Proteção de dados na formação: do ficheiro irrevogável ao isolamento na base de dados.
A dados de formandos começa por saber onde estão as cópias, quem lhes pode aceder e como podem ser eliminadas.
Faça-se o exercício com o ficheiro de formandos da sua entidade. Nome, NIF, data de nascimento, morada, telefone, entidade patronal, habilitações — o retrato completo de algumas centenas de pessoas, numa folha de cálculo. Agora responda: quantas cópias dele existem neste momento? Em quantos computadores pessoais, em quantas caixas de correio, em quantas pens esquecidas numa gaveta? Quem o abriu na semana passada? E aquele colaborador que saiu em março — a cópia que ele descarregou em janeiro continua no portátil dele, e não há nada que a sua entidade possa fazer quanto a isso.
Nenhuma destas perguntas tem resposta, e a ausência de resposta não resulta de desleixo — resulta do formato. Um ficheiro é um objeto que se copia perfeitamente, viaja em anexo, sobrevive a quem o criou e não regista nada sobre si próprio. Não sabe quem o leu. Não distingue quem pode de quem não pode. Não sabe caducar. O quotidiano encarrega-se de explorar cada uma destas propriedades: o autocompletar que envia a folha das inscrições para o destinatário parecido mas errado; o portátil esquecido no comboio, sem cifra, com três anos de fichas; a folha reencaminhada ao formador “para ver a turma” — com as colunas do NIF e do IBAN que ninguém apagou, porque a folha era a mesma para tudo. E, sobretudo, o ficheiro é irrevogável — enviado o anexo, a informação saiu do perímetro da entidade para sempre, e a entidade continua a ser, perante o RGPD e perante os titulares, responsável por ela. Vale a pena reter a assimetria: a responsabilidade fica, o controlo não.
Compare-se com o que acontece quando os mesmos dados vivem numa aplicação bem construída, e comece-se pela camada que menos se vê. Na Training App, cada entidade cliente é um domínio, e o isolamento entre domínios está imposto na própria base de dados por Row Level Security — não como uma condição no código da aplicação, mas uma camada abaixo — na base de dados, que aplica as regras mesmo quando o código se engana. O serviço liga-se à base de dados com um utilizador de privilégio mínimo, sujeito a essas regras; o utilizador que as poderia contornar existe apenas para migrações, nunca para servir pedidos. É a diferença entre uma porta trancada e um aviso a pedir que não se entre.
Por cima, a identidade. A autenticação faz-se por Entra External ID, o que significa que a conta que dá acesso aos dados de formação é a mesma que a organização já governa — com as suas regras de palavra-passe, o seu segundo fator, e a sua consequência mais valiosa: o dia em que alguém sai da entidade, desativar a conta corta o acesso, sem depender de ninguém se lembrar de mudar uma palavra-passe partilhada. O pedido que chega ao servidor carrega o seu tenant, e esse valor é sempre validado contra as pertenças reais da pessoa; apontar para dados de outra entidade devolve um erro, não um resultado. O suporte prestado pela equipa da plataforma, quando precisa de entrar num domínio, deixa um registo de auditoria aberto e fechado — a chave-mestra existe porque é precisa, e cada uso dela deixa rasto.
Depois há o que se vê e é fácil de subestimar: cada pessoa vê apenas o que lhe compete. O formador não acede a NIF, morada ou contactos dos formandos, porque nada disso é preciso para ensinar; o formando vê as suas prestações e não as de outro; um pedido a um recurso que não lhe está atribuído recebe uma resposta que nem sequer confirma que o recurso existe. Os formulários enviados por email abrem através de um token assinado com validade definida, em vez de um link eterno que qualquer reencaminhamento transforma numa porta pública. E quando um titular exerce os seus direitos, a anonimização remove os dados pessoais mantendo o histórico formativo, com registo imutável do que foi feito.
O contraste que interessa é de natureza, mais do que de tecnologia. Um ficheiro é uma fotocópia da verdade que se espalha, envelhece e escapa; uma aplicação com estas garantias é um sítio onde a verdade fica, com regras sobre quem lá chega e memória de quem lá esteve. É uma diferença que raramente motiva uma compra e que decide, quase sempre, a conversa mais difícil — a que se tem depois de um portátil desaparecer, ou depois de um antigo colaborador perguntar, com toda a razão, o que aconteceu à cópia dos dados que ele tinha. Uma entidade formadora pede dados pessoais a centenas de pessoas por ano; cada ficha de inscrição é uma dívida de cuidado assumida perante alguém, e pagá-la com uma folha de cálculo em circulação livre era o que havia em 2010. À primeira pergunta deste artigo — quantas cópias existem? — uma entidade que trabalha na plataforma tem, finalmente, uma resposta: uma, com registo de quem lá entrou.
Dados de formandos: três riscos de um ficheiro
A dados de formandos enfraquece quando um Excel é enviado por email, copiado para um computador pessoal ou guardado sem prazo. Cada cópia cria um novo ponto de acesso e uma nova tarefa de eliminação. A Comissão Europeia resume os princípios europeus de proteção de dados. Consulte também as regras para acessos privilegiados. Dados de formandos requer isolamento e rastreabilidade; dados de formandos eficaz evita que um ficheiro irrevogável se torne o arquivo principal.
Checklist de dados de formandos
- Dados de formandos com acesso restrito aos papéis necessários.
- Dados de formandos com prazo de conservação definido.
- Dados de formandos com eliminação ou anonimização auditável.
Trabalha em gestão de formação e automação de processos. Fundou a Training App para simplificar a forma como as entidades formadoras certificadas pela DGERT gerem a sua operação, e acompanha cada cliente desde a implementação até à evolução contínua da plataforma.
Veja a Training App a trabalhar.
30 minutos, com os seus cursos e o seu processo como ponto de partida.