A política que ninguém lê é a que proíbe tudo

Quatro categorias bastam para a maior parte das organizações: público, interno, confidencial e pessoal ou sensível. Cada uma define um tratamento diferente, independentemente do produto que estiver em uso.

A regra se aplica ao conteúdo enviado, não ao nome do serviço. Isso resolve o problema prático de uma política que envelhece: ferramenta muda a cada seis meses, categoria de dado não muda.

Classificar por dado também evita a lista de exceções que toda política por produto acumula, com serviços autorizados para uma área e proibidos para outra sem critério explicável.

A classificação precisa vir com exemplos concretos do dia a dia de cada área, e não apenas com definições. Uma pessoa em atendimento reconhece "print de conversa com cliente" com mais facilidade do que reconhece "dado pessoal de terceiro".

Pode sempre: conteúdo já público, texto de autoria própria sem dado de terceiro, exercícios, rascunhos e material de estudo.

Pode com cuidado: dado interno anonimizado, sem nome, sem CNPJ, sem valor identificável e sem combinação de atributos que permita reconhecer a empresa ou a pessoa envolvida.

Não pode sem autorização: dado pessoal de cliente ou colaborador, informação protegida por acordo de confidencialidade, dado financeiro ainda não divulgado e código proprietário.

Nunca: dado pessoal sensível. Essa é a única linha da régua que não admite exceção por urgência.

Uma página é um requisito, não uma figura de linguagem. Política que exige rolagem para ser lida é consultada apenas depois do incidente, quando o objetivo passou a ser identificar culpado.

Considere um analista com um contrato de cliente em PDF e prazo de resposta curto. Se a régua estiver visível e indicar o caminho aprovado para aquele documento, a decisão certa custa menos esforço do que a errada.

Enviar dado pessoal a uma ferramenta externa é tratamento de dados e exige base legal, conforme o art. 7º da LGPD. Não é uma questão de política interna apenas.

Dado pessoal sensível está sujeito a regime mais estrito, previsto no art. 11 da mesma lei, com hipóteses de tratamento próprias e mais restritas.

A intenção de quem enviou não altera o enquadramento. Um envio feito para acelerar uma entrega recebe o mesmo tratamento jurídico de um envio deliberado, o que torna a clareza da regra um instrumento de proteção da própria equipe.

Vale registrar a diferença entre uso pessoal e uso corporativo com dado da empresa. O tratamento acontece pela natureza do dado enviado, independentemente de a conta utilizada ser individual ou institucional.

Se a política apenas proíbe, ela não resolve o problema que motivou o uso. A pessoa que precisava resumir um contrato continua precisando, e passará a fazê-lo fora do registro da empresa.

A política precisa indicar a alternativa aprovada para cada categoria de dado, o canal para pedir exceção e o prazo de resposta desse canal.

Exceção sem prazo vira desvio. Quando o pedido demora mais do que a entrega que o motivou, a regra deixa de ser cumprida e a organização perde a visibilidade que a política deveria criar.

A verificação de cumprimento fecha o ciclo. Sem nenhuma forma de auditoria, a régua vira declaração de intenção, e a organização continua sem saber o que sai dela.