# Auditoria de Acessos: Quem Viu o Quê, Quando e Por Quê > A LGPD e a boa governança exigem controle sobre dados sensíveis. Veja como um CRM com auditoria de acessos protege a ONG, o beneficiário e a credibilidade da instituição. - URL: https://blog.nexussocial.com.br/posts/auditoria-acessos-crm-oscs - Publicado em: 2026-07-09 - Autor: Equipe Nexus (Blog Nexus Social) - Palavras-chave: auditoria de acessos, LGPD, CRM para ONGs, segurança de dados, controle de acesso, governança, terceiro setor, OSCs, Nexus Social ## Pontos-Chave sobre Auditoria de Acessos - A **LGPD** estabelece que o tratamento de dados pessoais deve ser documentado e rastreável - **Art. 46** da LGPD exige medidas de segurança, proteção e prevenção a incidentes - ONGs lidam com dados sensíveis de beneficiários, doadores, voluntários e parceiros - Auditoria de acessos é obrigação legal e sinal de maturidade institucional ## Por que a Auditoria de Acessos é Não Negociável Toda ONG que lida com dados pessoais é responsável por protegê-los. Não é apenas uma questão técnica: é uma questão de confiança. Quando um beneficiário, doador ou voluntário entrega informações à organização, ele espera que essas informações sejam usadas corretamente e acessadas apenas por quem precisa. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define o tratamento de dados pessoais como toda operação realizada com dados pessoais, e o controlador é responsável por adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. > **Diferencial do Nexus Social:** a plataforma registra toda ação sobre dados sensíveis — quem acessou, quando e qual alteração foi feita. A trilha de auditoria é imutável, permitindo relatórios detalhados para gestores, conselho e fiscalização. ### Panorama da Segurança e LGPD no Terceiro Setor - A **LGPD** se aplica a toda pessoa jurídica que trate dados pessoais, incluindo ONGs - **Art. 46** da LGPD exige medidas de segurança, proteção e prevenção a incidentes - **Art. 37** prevê a indicação de encarregado de dados quando houver tratamento de dados pessoais em larga escala - Dados sensíveis de beneficiários, como saúde, origem racial, crença religiosa e condição financeira, exigem proteção reforçada - Auditores do TCU identificaram falhas na aplicação da LGPD em organizações federais, reforçando a necessidade de controles *Fontes: [Planalto — Lei nº 13.709/2018 (LGPD)](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm); [TCU — Auditoria sobre Implementação dos Dispositivos da LGPD na União](https://portal.tcu.gov.br/tecnologia-da-informacao/auditoria-sobre-lgpd); [GIFE — LGPD e o Terceiro Setor](https://gife.org.br/como-a-lei-geral-de-protecao-de-dados-pessoais-ira-impactar-o-terceiro-setor/)* ## O que a Auditoria de Acessos Registra ### Quem Acessou Cada login, consulta, edição ou exclusão é vinculada a um usuário identificado. Não há ação anônima. Isso permite responsabilizar ações e investigar eventuais incidentes. ### Quando Acessou O timestamp exato de cada acesso permite reconstruir a linha do tempo. Em caso de denúncia ou auditoria, a ONG consegue provar que um dado foi acessado em determinado momento. ### O que Foi Visualizado ou Alterado A auditoria não registra apenas que alguém entrou no sistema. Ela registra qual registro foi acessado, qual campo foi alterado e qual era o valor anterior. Essa granularidade é essencial para investigação e prevenção. ### Por Qual Motivo Sistemas maduros permitem associar o acesso a uma justificativa, como um atendimento, uma doação, uma auditoria ou uma solicitação do titular. Isso fortalece o princípio da finalidade da LGPD. ## Os Riscos de Não Ter Auditoria 1. **Acesso indevido sem rastro**: um colaborador pode consultar dados de beneficiários sem necessidade operacional, sem que a diretoria saiba. 2. **Alteração indevida**: dados sensíveis podem ser modificados, e a ONG não consegue identificar quem foi. 3. **Incidentes sem resposta**: em caso de vazamento, falta a trilha necessária para investigar e notificar. 4. **Perda de credibilidade**: mantenedores e doadores perdem confiança em uma OSC que não demonstra controle sobre seus dados. 5. **Não conformidade LGPD**: a ausência de controles pode resultar em sanções e dificuldade em editais. ## Como Aplicar a Auditoria na Prática ### Defina Perfis de Acesso Nem todo mundo precisa ver tudo. Assistentes sociais acessam dados de atendidos; financeiro acessa doações; voluntários veem apenas o que lhes compete. O CRM deve permitir controle por role e permissões. ### Registre Acessos a Dados Sensíveis Toda consulta ou alteração em dados sensíveis — CPF, endereço, saúde, situação socioeconômica — deve gerar log. A diretoria pode auditar periodicamente quem acessou esses dados. ### Monitore Padrões Anômalos Muitos acessos fora do horário, consultas em massa, exportações inesperadas. O CRM pode alertar a equipe de segurança sobre comportamentos suspeitos. ### Gere Relatórios para Conselho e Auditoria A auditoria vira evidência. Relatórios periódicos de acessos, alterações e permissões ajudam a demonstrar governança a conselheiros, mantenedores e órgãos fiscalizadores. > **Diferencial do Nexus Social:** a plataforma oferece auditoria de acessos integrada, com logs imutáveis, alertas de comportamentos anômalos e relatórios prontos para auditoria. Roles e permissões granulares garantem que cada usuário acesse apenas o que precisa. ## Perguntas Frequentes ### A LGPD se aplica a ONGs pequenas? Sim. A LGPD se aplica a toda pessoa jurídica que trate dados pessoais, independentemente de porte ou finalidade lucrativa. ONGs pequenas devem adotar medidas proporcionais ao risco. ### O que acontece se uma ONG não tiver controle de acessos? Além do risco de vazamento e uso indevido, a ONG pode enfrentar dificuldades em editais, perda de credibilidade e, em casos graves, sanções da ANPD. ### Auditoria de acessos é invasão de privacidade dos colaboradores? Não. A auditoria rastreia ações dentro do sistema da organização, não a vida pessoal do colaborador. É prática padrão de segurança da informação e é compatível com a LGPD. ### Quais dados devem ser auditados prioritariamente? Dados sensíveis de beneficiários (saúde, situação econômica, endereço), dados de doadores, informações financeiras e qualquer dado que identifique crianças e adolescentes. ## Conclusão A auditoria de acessos é uma camada de proteção para a ONG, para o beneficiário e para a credibilidade da instituição. Ela transforma o CRM em uma ferramenta de governança, permitindo que a organização prove, a qualquer momento, quem viu o quê, quando e por quê. Quer implementar auditoria de acessos na sua OSC? [Fale com a equipe do Nexus Social](https://wa.me/5511936180125?text=Quero%20saber%20mais%20sobre%20o%20Nexus%20Social) e conheça nossos controles de segurança. --- ## Fontes e Referências - [Planalto — Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais)](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — Base legal para proteção de dados pessoais no Brasil - [TCU — Auditoria sobre Implementação dos Dispositivos da LGPD na União](https://portal.tcu.gov.br/tecnologia-da-informacao/auditoria-sobre-lgpd) — Relatório de auditoria sobre aplicação da LGPD em organizações federais - [GIFE — LGPD e o Terceiro Setor](https://gife.org.br/como-a-lei-geral-de-protecao-de-dados-pessoais-ira-impactar-o-terceiro-setor/) — Análise sobre impactos da LGPD para organizações sociais