Comunicação interna contra golpe não é gentileza do RH: é medida administrativa exigida por lei. O art. 46 da LGPD obriga o controlador a adotar medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados, e procedimento de comunicação é exatamente isso. Some-se o parágrafo único do art. 44, que responsabiliza quem deixou de adotá-las, e o resultado é que o protocolo escrito vira prova, não papel de gaveta.
O princípio que inverte o desenho da comunicação. Avisar para desconfiar não funciona, porque o golpe se apoia justamente em parecer legítimo. O que funciona é o contrário: tornar o comportamento do RH verdadeiro tão previsível que o falso fique visível por contraste. A pergunta certa não é como reconhecer um criminoso, é o que a empresa nunca faz.
Depois de um caso de golpe, a empresa manda um comunicado longo, explicando em detalhe como o criminoso agiu, quais palavras usou e por qual aplicativo chamou. A intenção era proteger. O efeito foi duplo e ruim: quem leu não guardou nada, porque era muita coisa; e o texto circulou para fora, servindo de roteiro. Três meses depois veio outra abordagem, com o método ajustado, e o comunicado antigo não ajudou ninguém, porque descrevia um golpe que já não era aquele.
Quer montar o protocolo antes de precisar dele?
O checklist abaixo cobre o essencial. Se a empresa já teve um caso, vale revisar também o que foi comunicado na época, porque é isso que será examinado depois.
Por que isso é obrigação, e não boa prática
Vale começar por aqui, porque muda a prioridade interna do assunto.
O art. 46 da Lei 13.709/2018 exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. E o §2º manda observá-las desde a concepção do produto ou serviço até a execução.
Procedimento de atendimento, regra de canal, treinamento e instrução escrita são medidas administrativas. Não são acessórios da segurança: são metade do que a lei pede.
E o parágrafo único do art. 44 fecha o raciocínio: responde pelos danos da violação de segurança quem deixar de adotar as medidas do art. 46.
Por isso o checklist abaixo tem uma coluna de registro. O que não está registrado não existe quando alguém perguntar.
Bloco 1 · O canal canônico
| Item | O que fazer | Registrar |
|---|---|---|
| 1.1 | Definir um canal oficial do setor pessoal, nominado, e comunicá-lo na admissão | Documento de admissão assinado |
| 1.2 | Repetir a informação do canal periodicamente, não só uma vez | Data de cada reenvio |
| 1.3 | Declarar por escrito que qualquer contato fora dele é não oficial, sem exceção | Texto da regra e data |
| 1.4 | Não abrir exceção, nem em urgência real, nem para diretoria | Registro de exceções, que deve ficar vazio |
O item 1.4 é o que costuma quebrar o sistema. Uma única exceção legítima ensina a equipe que exceções existem, e é exatamente essa brecha que a engenharia social usa.
Bloco 2 · A lista do que a empresa nunca pede
Curta o suficiente para ser lembrada sem consulta. Se não couber na memória, não protege.
| A empresa nunca pede | Por quê |
|---|---|
| Senha, de nenhum sistema | Não existe hipótese legítima |
| Código recebido por mensagem | É o instrumento central da fraude de acesso |
| Confirmação de dados bancários por telefone | Alteração de conta é sempre por escrito |
| Confirmação de salário ou margem a quem ligou | Fornecer isso é acesso não autorizado, art. 46 |
| Que o colaborador instale algo para resolver pendência | Não há pendência de folha que exija instalação |
| Assinatura ou biometria por link recebido fora do canal | A formalização regular tem caminho próprio |
O quarto item vale para os dois lados, e a maioria das empresas só pensa em um. Ele protege o colaborador de golpe e protege a empresa de fornecer dado a quem não devia.
Bloco 3 · O caminho de verificação, sem constrangimento
Este bloco é o que faz o resto funcionar, e é o mais esquecido.
| Item | O que garantir |
|---|---|
| 3.1 | Que o colaborador pode encerrar qualquer contato e ligar de volta pelo canal oficial |
| 3.2 | Que fazer isso nunca será tratado como desconfiança ofensiva, inclusive com a chefia |
| 3.3 | Que existe alguém identificado para acionar, com nome, e não um endereço genérico |
| 3.4 | Que relatar suspeita, mesmo que se revele falso alarme, não gera constrangimento |
Golpe se apoia em pressa e em vergonha. O item 3.2 desarma a pressa e o 3.4 desarma a vergonha. Empresa em que a pessoa tem medo de parecer boba demora a saber, e demora é o que transforma um caso em vários.
Bloco 4 · A conferência mensal, que é a mais barata
O §3º do art. 3º da Lei 10.820/2003 obriga o empregador a informar no demonstrativo de rendimentos, de forma discriminada, o valor do desconto mensal de cada operação e os custos operacionais.
Ou seja: a ferramenta de detecção já existe e já é obrigação. Falta usá-la como tal.
| Item | O que fazer |
|---|---|
| 4.1 | Emitir o demonstrativo com uma linha por operação, nunca somando contratos diferentes |
| 4.2 | Orientar, uma vez por ano e em linguagem simples, a conferir as linhas de desconto |
| 4.3 | Dizer o que fazer ao encontrar linha desconhecida, e para quem falar |
Colaborador que confere todo mês descobre em trinta dias. Sem isso, o normal é descobrir em seis meses, quando o prejuízo multiplicou e a prova esfriou.
Para citar. O art. 46 da LGPD exige medidas de segurança técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados, observadas desde a concepção, e o parágrafo único do art. 44 responsabiliza quem deixa de adotá-las. Protocolo de comunicação interna, regra de canal e instrução escrita são medidas administrativas, e o registro delas é o que a empresa apresenta quando for chamada a demonstrar o que existia antes do incidente.
Bloco 5 · O que o comunicado não deve conter
Aqui está o erro do caso ilustrativo, e ele é comum porque parte de boa intenção.
Não descrever o método passo a passo. Comunicado circula, inclusive para fora. Descrever a execução instrui quem não deveria ser instruído, e envelhece rápido, porque o método muda e a regra não.
Não dar nome de colaborador atingido. Além do constrangimento, é tratamento de dado sem necessidade.
Não prometer que a empresa vai resolver. Ela não desfaz contrato bancário nem devolve valor. Prometer isso gera expectativa que vira reclamação.
Não usar tom de repreensão. Comunicado que sugere que a vítima foi descuidada garante que a próxima demore a contar.
Não incluir link clicável no aviso. Ensinar que a empresa manda link no aviso sobre golpe de link é contraditório. Instrua a digitar o endereço ou usar o canal já conhecido.
Bloco 6 · Cadência e registro
| Quando | O que | Por que o registro importa |
|---|---|---|
| Na admissão | Canal oficial, lista do que nunca se pede, caminho de verificação | Prova de medida administrativa desde o início do vínculo |
| Uma vez por ano | Reforço da mesma regra, sem novidade | Demonstra que a medida é viva |
| Quando houver caso | Aviso curto, por canal oficial, sem detalhar método | É a conduta examinada se alguém alegar omissão |
| Ao trocar de sistema ou fornecedor | Revisão do protocolo e das instruções ao operador | O §1º do art. 42 traz solidariedade do operador |
| Sempre | Guardar data, texto e destinatários de cada comunicação | É o que se apresenta diante do §1º do art. 48 |
Perguntas frequentes
Comunicação interna antigolpe é obrigação legal?
É medida administrativa exigida pelo art. 46 da LGPD, que obriga o controlador a adotar medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados, observadas desde a concepção.
Por que não explicar o passo a passo do golpe no comunicado?
Porque instrui quem não deveria ser instruído e envelhece rápido. O método muda; a regra do que a empresa nunca pede permanece. O aviso eficaz descreve o comportamento legítimo, não o criminoso.
Qual a regra mais importante da lista?
A de canal único, sem exceção. Uma única exceção legítima ensina a equipe que exceções existem, e é essa brecha que a engenharia social explora.
A empresa pode confirmar salário para uma financeira que ligou?
Não deve. Fornecer dado a quem não foi verificado é acesso não autorizado, e o art. 46 exige medidas aptas a impedi-lo. Pedido legítimo vem por escrito e a resposta vai por canal formal.
Qual é a detecção mais barata que existe?
O próprio demonstrativo. O §3º do art. 3º da Lei 10.820/2003 obriga a discriminar cada operação descontada. Orientar a conferir mensalmente reduz a descoberta de meses para semanas.
Precisa guardar registro das comunicações?
Precisa. O §1º do art. 48 exige que a comunicação de incidente descreva as medidas de segurança utilizadas, e o parágrafo único do art. 44 responsabiliza quem deixou de adotá-las. Sem registro, não há o que demonstrar.
E se a folha é operada por escritório externo?
O protocolo precisa alcançá-lo por escrito. O §1º do art. 42 estabelece responsabilidade solidária do operador que não segue as instruções lícitas do controlador, e instrução só vale se existir e estiver registrada.
Quer o protocolo revisado antes de publicar internamente?
Alguém do escritório pode ler o texto que a empresa pretende enviar e apontar o que instrui demais, o que promete o que não se cumpre e o que falta registrar.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 20/08/2026. Lei 13.709, de 14 de agosto de 2018, art. 42, §1º, art. 44, parágrafo único, art. 46, caput e §2º, e art. 48, §1º. Lei 10.820, de 17 de dezembro de 2003, art. 3º, §3º. Textos conferidos no Planalto nesta data. Esta página propõe procedimento interno e não substitui avaliação do caso concreto nem programa de conformidade em proteção de dados.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de textos normativos conferidos na fonte oficial na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende da estrutura da empresa, dos canais efetivamente utilizados e das medidas já existentes.