A gestão da folha de pagamento de prestadores pessoa jurídica (PJ) entrou no radar da proteção de dados em 2026. Planilhas enviadas por e-mail, mensagens e aplicativos, com informações sobre valores pagos, CPF, dados bancários e contratos, podem expor as empresas a falhas de segurança e a questionamentos da Autoridade Nacional de Proteção de Dados (ANPD).
O problema aparece com frequência em operações nas quais a folha dos empregados é mantida em sistemas com senha, perfis de acesso e registro de atividades, enquanto os pagamentos dos prestadores são controlados por arquivos que circulam entre departamentos. Nesse fluxo, uma mesma planilha pode sair do departamento pessoal, chegar ao gestor responsável pela conferência do serviço e retornar ao setor financeiro com alterações.
A pergunta central para as empresas é simples: quem pode ver quanto cada prestador recebe? A resposta precisa estar baseada em regras claras de acesso, justificativa para o uso dos dados e registros capazes de mostrar quem consultou ou modificou cada informação.
Por que a folha de prestadores PJ está sujeita à LGPD
A Lei Geral de Proteção de Dados (LGPD) não protege apenas as informações de empregados contratados pelo regime da Consolidação das Leis do Trabalho (CLT). A legislação também alcança dados relacionados a prestadores PJ quando esses dados permitem identificar uma pessoa natural.
É o caso do CPF do sócio, dos dados bancários vinculados a uma pessoa física e das informações de empresas individuais ou unipessoais, nas quais o valor recebido pode revelar diretamente a remuneração de uma pessoa determinada. Mesmo quando existe um CNPJ no contrato, a operação pode envolver dados pessoais e, portanto, exigir medidas de segurança, controle e registro.
Nesse cenário, a empresa contratante normalmente atua como controladora dos dados. Isso significa que cabe a ela definir a finalidade do tratamento, limitar os acessos ao necessário, adotar medidas de proteção e conseguir demonstrar como as informações são utilizadas e armazenadas.
Planilhas compartilhadas expõem três falhas principais
O uso de arquivos enviados entre diferentes áreas não é automaticamente proibido, mas se torna problemático quando não há controle sobre os destinatários, as versões e as alterações. A prática costuma concentrar riscos em três pontos:
- Acesso excessivo: o gestor interessado em confirmar a entrega de um serviço pode receber também a remuneração de todos os prestadores da área, embora não precise dessa informação para cumprir sua função.
- Falta de rastreabilidade: um valor pode ser alterado entre o fechamento da folha e o pagamento sem que fique registrado quem fez a mudança, quando ela ocorreu ou qual foi a justificativa.
- Ausência de separação de funções: a mesma pessoa pode montar a folha, conferir a entrega, aprovar o pagamento e alterar os dados, sem uma segunda etapa de validação.
Essas falhas dificultam a apuração de erros e também a resposta da empresa diante de um incidente. Quando um arquivo é encaminhado ao destinatário errado ou fica disponível em um ambiente sem proteção adequada, a organização precisa saber quais dados foram expostos, quem teve acesso e quais medidas foram tomadas.
ANPD ganhou autonomia e ampliou a fiscalização
O ambiente regulatório também mudou. A Lei nº 15.352, de 25 de fevereiro de 2026, transformou a ANPD em agência reguladora, com autonomia administrativa e financeira. A norma também criou 200 cargos de especialista em regulação.
A mudança reforça a estrutura do órgão responsável por orientar, regulamentar e fiscalizar a aplicação da LGPD no país. Em junho de 2026, a agência abriu 19 processos administrativos sancionadores em um único mês, o maior volume de sua história, segundo levantamento citado na fonte. Entre as prioridades de fiscalização para o biênio 2026-2027 estão o uso de inteligência artificial e outras tecnologias emergentes.
Embora a fiscalização esteja voltada a diferentes setores e práticas, o movimento aumenta a importância de as empresas conseguirem comprovar que adotam procedimentos de proteção. Não basta afirmar que os dados estão em uma planilha interna. É necessário demonstrar quem tem autorização para consultar as informações, por quanto tempo elas são mantidas e quais controles evitam alterações indevidas.
Risco não está apenas no valor da multa
O histórico de sanções ao setor privado ainda é relativamente curto. A primeira multa aplicada pela ANPD ocorreu em 2023 e foi de R$ 14.400. Para as empresas, porém, o risco não se limita ao valor de uma eventual penalidade.
Uma falha na gestão da folha pode provocar exposição de informações financeiras, conflitos com prestadores, necessidade de comunicação de incidentes e perda de confiança. Também pode comprometer auditorias e dificultar a demonstração de que pagamentos foram autorizados corretamente.
Na prática, a organização precisa tratar a folha PJ como um processo que envolve dados pessoais, e não apenas como uma rotina financeira. O fato de o prestador emitir nota fiscal ou possuir CNPJ não elimina a necessidade de proteger informações que identificam o sócio ou titular da atividade.
Medidas que podem reduzir a exposição
O primeiro passo é mapear o caminho percorrido pelos dados, desde a contratação até o pagamento. A empresa deve identificar quais áreas recebem a informação completa e quais precisam apenas de uma versão reduzida, sem valores ou dados pessoais desnecessários.
- Definir perfis de acesso conforme a função de cada trabalhador.
- Evitar o envio de planilhas completas para quem precisa apenas validar a entrega do serviço.
- Manter histórico de versões e registros de alterações.
- Separar as tarefas de elaboração, conferência, aprovação e pagamento.
- Revisar permissões, compartilhamentos e formas de armazenamento periodicamente.
Também é importante estabelecer um procedimento para encerramento de acessos quando um funcionário muda de setor ou deixa a empresa, além de orientar as equipes sobre o envio de arquivos por e-mail e aplicativos de mensagem. O controle deve alcançar tanto os sistemas oficiais quanto as cópias temporárias e os documentos baixados pelos usuários.
O que muda para empresas e prestadores
Para as empresas, a principal mudança é a necessidade de transformar uma prática informal em um processo documentado. A folha de prestadores PJ deve ter responsáveis definidos, regras de acesso e mecanismos que permitam reconstruir o histórico de cada pagamento.
Para os prestadores, a proteção reduz a circulação desnecessária de dados como CPF, informações bancárias e valores recebidos. Em contratos com empresas unipessoais, esse cuidado é ainda mais relevante, porque a informação comercial pode estar diretamente ligada à vida financeira de uma pessoa.
Com a ANPD fortalecida e a fiscalização mais ativa, a pergunta sobre quem vê a remuneração de cada prestador deixa de ser apenas uma preocupação do setor financeiro. Ela passa a fazer parte da governança, da segurança da informação e da conformidade das empresas com a LGPD.
