Dentro da empresa, margem consignável é dado de acesso restrito, e a norma que decide isso não é de segurança da informação: é o art. 6º, III, da LGPD, o princípio da necessidade, que limita o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos. Quem opera a folha precisa ver. Quem chefia a pessoa, em regra, não. E o art. 46 exige medidas técnicas e administrativas aptas a proteger de acessos não autorizados, expressão que alcança o acesso interno indevido.
O risco maior não é o vazamento, é o uso. Margem comprometida diz quem está endividado. O inciso IX do art. 6º proíbe o tratamento para fins discriminatórios ilícitos ou abusivos. Se essa informação circula até a chefia, ela passa a poder influenciar promoção, escala e desligamento, e a empresa fica sem como demonstrar que não influenciou.
O relatório de margem circulava por e-mail toda competência, com nome, valor comprometido e saldo disponível de cada pessoa. Ia para o financeiro, para dois coordenadores e para a diretoria, porque sempre tinha ido. Ninguém tinha decidido isso: era um encaminhamento que existia desde antes. Quando alguém perguntou por que a diretoria precisava daquilo, não havia resposta, e é exatamente essa ausência de resposta que a norma cobra.
Quem recebe o relatório de margem na sua empresa?
Se a lista cresceu sem ninguém decidir, vale revisar antes que alguém pergunte por escrito.
A pergunta certa não é quem pode, é para quê
A LGPD não traz uma lista de cargos autorizados. Ela traz um critério, e o critério é finalidade.
O inciso I do art. 6º exige propósitos legítimos, específicos, explícitos e informados, sem possibilidade de tratamento posterior incompatível com essas finalidades. O inciso III limita ao mínimo necessário.
Aplicado à margem, isso produz um teste simples: essa pessoa precisa desse dado para executar a obrigação legal de descontar e repassar? Se a resposta for não, o acesso é excessivo, ainda que a pessoa seja sênior.
| Quem | Precisa ver? | Por quê |
|---|---|---|
| Quem processa a folha | Sim | Executa o desconto e o repasse do art. 3º, III, da Lei 10.820 |
| Quem confirma margem para liberação do crédito | Sim | Dever previsto no art. 3º, I, e no art. 5º, §3º, I, do Decreto 4.840 |
| Quem responde a pedido do titular ou do sindicato | Sim, no escopo do pedido | Art. 18 da LGPD e art. 3º, II, da Lei 10.820 |
| Chefia imediata da pessoa | Em regra, não | Não executa desconto. E o acesso cria risco do inciso IX |
| Diretoria, por praxe de relatório | Não, se for praxe | Praxe não é finalidade específica e explícita |
| Contabilidade externa | Depende do contrato | É operador, e o acesso precisa estar delimitado por escrito |
O inciso que quase ninguém cita
O inciso IX do art. 6º proíbe o tratamento para fins discriminatórios ilícitos ou abusivos. É o dispositivo mais relevante para este assunto e o menos lembrado.
Margem consignável não é um número neutro. Ela informa quem está endividado e quanto. Quando esse dado chega a quem decide promoção, escala, corte ou alocação, cria-se uma exposição que não some depois: mesmo que a decisão tenha sido tomada por outros motivos, a empresa perde a capacidade de demonstrar que foi assim.
É por isso que restringir o acesso protege os dois lados. Não é só zelo com o dado alheio: é a empresa preservando a própria defesa.
Para citar. O inciso III do art. 6º da Lei 13.709/2018 impõe o princípio da necessidade, limitando o tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos. O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, e o §2º determina que essas medidas sejam observadas desde a fase de concepção até a execução. Aplicados à margem consignável, esses dispositivos restringem o acesso interno a quem executa a obrigação legal de descontar e repassar.
Medidas administrativas são medidas
O art. 46 fala em medidas técnicas e administrativas. A palavra administrativas costuma ser lida como enfeite, e não é: ela alcança política interna, definição de perfis de acesso, registro de quem consultou o quê e treinamento.
E o §2º acrescenta um requisito temporal que muda o desenho: as medidas devem ser observadas desde a fase de concepção do produto ou serviço até a sua execução. Não é remendo posterior. É como o processo nasce.
Fecha o conjunto o inciso X do art. 6º, o princípio da responsabilização e prestação de contas: cabe ao agente demonstrar a adoção de medidas eficazes e comprovar sua observância. Política que existe e não é demonstrável não cumpre o inciso.
E depois que a pessoa sai
O art. 47 resolve a dúvida que costuma aparecer no fim: os agentes de tratamento, ou qualquer pessoa que intervenha em uma das fases, obrigam-se a garantir a segurança da informação mesmo após o seu término.
Na prática, isso significa revogar acesso de quem trocou de função ou deixou a empresa, e não deixar planilha de margem em pasta compartilhada herdada de gestão anterior.
Cinco decisões que resolvem quase tudo
Nomear as finalidades por escrito. Descontar, repassar, conferir margem na contratação e responder pedidos. Acesso que não sirva a uma delas sai.
Trocar relatório aberto por consulta pontual. Relatório com todo mundo listado é o oposto do mínimo necessário. Quem precisa conferir um caso consulta aquele caso.
Registrar quem consultou. É medida administrativa, e é o que permite demonstrar o cumprimento pelo inciso X.
Excluir a chefia direta da lista, por padrão. Se houver caso concreto que exija, que seja pontual e registrado.
Revisar quando alguém muda de função. Acesso costuma ser concedido e quase nunca retirado.
Perguntas frequentes
O gestor pode ver a margem consignável da equipe?
Em regra, não. O inciso III do art. 6º da LGPD limita o tratamento ao mínimo necessário, e a chefia não executa o desconto nem o repasse. Sem finalidade específica, o acesso é excessivo.
Qual é o risco de o dado circular internamente?
O uso, mais do que o vazamento. O inciso IX do art. 6º proíbe tratamento para fins discriminatórios ilícitos ou abusivos, e margem comprometida indica endividamento de quem pode ser promovido ou desligado.
Basta ter senha e controle de sistema?
Não basta. O art. 46 exige medidas técnicas e administrativas, o que inclui política de acesso, perfis definidos, registro de consultas e treinamento.
Desde quando essas medidas precisam existir?
Desde a concepção. O §2º do art. 46 determina que as medidas sejam observadas desde a fase de concepção do produto ou do serviço até a sua execução.
A contabilidade externa pode receber esses dados?
Dentro do contratado. Ela atua como operadora, e o acesso precisa estar delimitado por escrito e restrito à finalidade de processar a folha.
Precisa provar que a política existe?
Precisa. O inciso X do art. 6º impõe a responsabilização e prestação de contas, com demonstração da adoção de medidas eficazes e da sua observância.
E o acesso de quem saiu da empresa?
Deve ser revogado. O art. 47 obriga a garantir a segurança da informação mesmo após o término do tratamento, o que alcança acessos herdados e pastas compartilhadas antigas.
Sua margem virou assunto de quem não deveria saber?
Dado de endividamento circulando dentro da empresa tem consequência prevista em lei. Alguém do escritório pode avaliar o seu caso.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 25/08/2026. Lei 13.709, de 14 de agosto de 2018 (LGPD), art. 6º, incisos I, III, IX e X, art. 18, art. 46, caput e §2º, e art. 47. Lei 10.820, de 17 de dezembro de 2003, art. 3º, incisos I, II e III. Decreto 4.840, de 17 de setembro de 2003, art. 5º, §3º, I. Textos conferidos no Planalto nesta data. Alcance: este texto trata do controle de acesso interno, e não do regime de responsabilidade por incidente de segurança, que tem disciplina própria nos arts. 42 a 45 da LGPD.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de textos normativos conferidos na fonte oficial na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende da estrutura da empresa e das finalidades efetivamente documentadas.