Como restringir a visualização de dados sensíveis conforme a etapa do processo eletrônico

Restringir a visualização de dados sensíveis por etapa do processo eletrônico significa configurar o fluxo para que campos como CPF completo, dado de saúde, informação de vulnerabilidade social ou dado bancário só apareçam para o usuário cuja etapa exige aquela informação — enquanto os demais envolvidos no mesmo processo continuam vendo apenas os campos necessários à parte da análise que lhes cabe.

Em muitos órgãos públicos, o processo eletrônico ainda expõe o formulário inteiro a qualquer servidor que o processo atravessa, mesmo quando a etapa dele não tem relação nenhuma com o dado sensível ali registrado. Este guia descreve como configurar essa restrição de forma sistemática, vinculada ao trâmite, e não apenas ao setor ou ao cargo do servidor.

O que é controle de acesso a dados sensíveis por etapa

Controle de acesso por etapa é a regra que define, dentro do próprio fluxo do processo, quem pode visualizar determinado campo ou anexo em cada trâmite — em vez de conceder acesso amplo a todo o processo assim que ele chega a um setor.

A diferença em relação ao controle de acesso tradicional, feito só por perfil de usuário ou por setor, é que aqui a visibilidade do dado sensível está amarrada ao passo específico do rito processual. Um exemplo comum: no requerimento de auxílio-doença de um servidor, o setor de protocolo precisa ver nome, matrícula e data do pedido para encaminhar corretamente, mas não precisa ver o laudo médico anexado — que só deveria ficar visível para o médico perito e para o RH na etapa de deferimento.

Por que isso importa no processo eletrônico

Quando o processo eletrônico simplesmente substitui a pasta física sem redesenhar quem vê o quê, ele reproduz digitalmente — e às vezes amplia — o mesmo problema de exposição excessiva de dado sensível que existia no papel. Três riscos concretos aparecem:

• exposição desnecessária: servidores sem relação com a etapa acessam dado de saúde, orientação sexual, filiação sindical ou dado bancário só porque o processo passou pela caixa de entrada deles;
• violação do princípio da necessidade da LGPD: tratar mais dado do que o estritamente necessário para a finalidade daquela etapa é, por si só, uma não conformidade, independentemente de vazamento;
• dificuldade de responder a uma auditoria ou a um titular: sem trilha de quem acessou cada campo sensível, o órgão não consegue demonstrar que o tratamento respeitou o princípio da necessidade quando questionado.

Passo a passo para restringir a visualização de dados sensíveis

1. Mapeie quais campos do formulário carregam dado sensível

Antes de qualquer configuração, liste os campos e anexos do processo que se enquadram como dado pessoal sensível — não apenas dado pessoal comum. Número de CPF isolado não é sensível; laudo médico, exame, informação de deficiência, orientação sexual ou filiação sindical são.

2. Defina o perfil de acesso por etapa, não só por setor

Para cada trâmite do fluxo, defina explicitamente quem precisa ver o dado sensível naquela etapa específica — não o setor inteiro. Um setor pode ter cinco servidores e só um deles, na função de analista responsável, precisar ver o campo.

3. Configure a ocultação condicional do campo no fluxo

Parametrize o campo sensível para que ele só apareça na tela de quem está atuando na etapa autorizada. Nas demais etapas, o campo fica oculto ou aparece como “informação restrita”, sem impedir que o restante do processo tramite normalmente.

4. Trate anexos com dado sensível como categoria separada do processo

Documentos como laudo médico, atestado ou declaração de vulnerabilidade social devem receber uma categoria própria de visibilidade, distinta dos demais anexos do processo, para que a regra de restrição valha também para o arquivo, não só para os campos do formulário.

5. Registre quem visualizou cada campo sensível

Mantenha um histórico de acesso específico para dado sensível — não apenas o histórico geral de tramitação do processo — de forma que seja possível reconstruir, depois, quem abriu aquele campo, em que data e em qual etapa.

6. Revise periodicamente quem tem acesso a cada etapa

Servidores mudam de função, saem de licença ou trocam de setor. Revise a lista de quem está autorizado a ver dado sensível em cada trâmite ao menos a cada seis meses, e sempre que houver mudança de lotação.

O que a legislação exige

A Lei nº 13.709/2018 (Lei Geral de Proteção de Dados), no art. 5º, inciso II, define dado pessoal sensível como aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico.

O art. 6º estabelece o princípio da necessidade — o tratamento deve se limitar ao mínimo necessário para a finalidade pretendida — e o art. 46 exige que o órgão adote medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados. Restringir a visualização por etapa do processo é uma dessas medidas técnicas, aplicada diretamente ao fluxo de trabalho.

Como o Aprova resolve isso

• Campos marcados como sensíveis podem ser configurados para ficar ocultos em etapas do fluxo sem permissão vinculada, exibindo a informação só para quem está autorizado naquele trâmite;
• o permissionamento por setor e por usuário limita a visualização do processo a quem está vinculado àquele fluxo, independentemente da caixa de entrada geral;
• trâmites internos podem ser restritos a um perfil específico, como analista responsável, dentro do mesmo processo;
• a aba de histórico registra quem acessou o processo e quando, inclusive quando o acesso foi apenas para consulta, sem qualquer despacho;
• a autenticação do usuário (login próprio ou integração com gov.br) vincula cada acesso a uma identidade verificada, sustentando a trilha de auditoria do dado sensível.

Indicadores para medir esse controle

• número de campos sensíveis mapeados e com regra de ocultação configurada, sobre o total de campos sensíveis identificados;
• número de acessos a dado sensível registrados por etapa, por período;
• tempo desde a última revisão de perfil de acesso por trâmite;
• número de achados de auditoria relacionados a exposição indevida de dado sensível.

FAQ sobre dados sensíveis em processos eletrônicos

Ocultar um campo para outro servidor do mesmo processo é permitido pela LGPD?

Sim. O princípio da necessidade da LGPD recomenda justamente o oposto de dar acesso amplo: cada agente de tratamento deve acessar só o dado indispensável à sua função naquela etapa específica do processo.

O que diferencia um dado pessoal sensível de um dado pessoal comum?

Dado sensível é a categoria listada no art. 5º, inciso II da LGPD — saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política e filiação sindical, entre outros. CPF, endereço e telefone são dados pessoais comuns, com regra de proteção menos rígida.

Quem deve ter acesso a um despacho com dado de saúde de um servidor?

Normalmente, apenas o profissional responsável pela perícia ou avaliação médica e o setor de RH na etapa de decisão final — nunca o setor de protocolo, o setor financeiro ou qualquer outro trâmite que não exija esse dado para dar seguimento ao processo.

Ocultar o campo impede que alguém sem permissão veja o processo inteiro?

Não substitui o controle de acesso ao processo como um todo — ele complementa. Um servidor pode ter permissão para tramitar o processo sem ter permissão para visualizar o campo ou anexo específico marcado como sensível.

Como provar, numa auditoria, que o controle de acesso foi respeitado?

O histórico de acessos por campo sensível, com identidade do usuário, data e etapa, é a evidência objetiva. Sem esse registro, o órgão só consegue afirmar a regra em tese, sem comprovar que ela foi aplicada nos casos concretos.

Conclusão

Restringir a visualização de dado sensível por etapa do processo eletrônico não é burocratizar o fluxo — é aplicar, na prática, o princípio da necessidade que a LGPD já exige do órgão público. Mapear os campos sensíveis, vincular a visibilidade à etapa (não ao setor inteiro) e manter trilha de quem acessou cada campo transforma um princípio legal abstrato em controle verificável.

Esse tema se conecta a como estruturar a segregação de funções entre solicitante e aprovador e ao papel da LGPD na prefeitura na definição de perfis de acesso por função.

Para ver como estruturar permissionamento e visibilidade condicional dentro de um fluxo digital único, agende uma demonstração da Aprova.