Descarte seguro de computadores: como proteger os dados da empresa

Descarte seguro de computadores é o processo que garante duas coisas antes de o equipamento deixar a empresa: que os dados gravados nele não possam mais ser recuperados e que o hardware vá para um destino ambientalmente adequado, com comprovação das duas etapas. Formatar o disco ou restaurar o sistema de fábrica não resolve a primeira parte. Os dados continuam lá.

Formatar um disco apaga o índice que diz onde cada arquivo está, não os arquivos. O conteúdo continua gravado até ser sobrescrito, e ferramentas de recuperação vendidas livremente conseguem reconstruir boa parte dele. Restaurar o computador para a configuração de fábrica tem o mesmo limite na maioria dos casos.

Nos SSDs o problema é diferente. Para durar mais, o controlador do SSD espalha as gravações por áreas que o sistema operacional não enxerga e guarda blocos de reserva. Um programa que só sobrescreve o disco pelo sistema operacional pode deixar essas áreas intactas. O apagamento de SSD precisa usar os comandos de sanitização do próprio dispositivo ou apagamento criptográfico.

A referência mais usada no mundo para apagamento de mídias é a publicação SP 800-88, do National Institute of Standards and Technology (NIST), dos Estados Unidos. A revisão 2, publicada em setembro de 2025, substituiu a versão de 2014 e organiza a sanitização em três métodos:

A revisão 2 mudou o foco da técnica isolada para o programa de sanitização: a empresa precisa definir o método conforme a sensibilidade da informação, verificar o resultado e documentar cada dispositivo. Para a escolha da técnica por tipo de mídia, a publicação remete à norma IEEE 2883.

Para a maioria dos equipamentos corporativos que serão reaproveitados, o objetivo é o nível de purga, feito por software certificado. A destruição física fica para mídias danificadas, que não aceitam apagamento, ou para dados de sensibilidade muito alta.

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não fala de descarte de equipamentos, mas alcança o que está dentro deles. Três artigos se aplicam diretamente:

• o artigo 46 obriga a empresa a adotar medidas de segurança para proteger dados pessoais de acessos não autorizados e de situações de perda ou vazamento;
• o artigo 16 determina que os dados pessoais sejam eliminados ao fim do tratamento, com exceções previstas em lei;
• o artigo 6º inclui entre os princípios a responsabilização e a prestação de contas, ou seja, a empresa precisa conseguir demonstrar que tomou as medidas.

As sanções aplicáveis pela Autoridade Nacional de Proteção de Dados (ANPD) chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração (art. 52). E o prejuízo de mercado costuma ser maior que a multa: o custo médio de uma violação de dados no Brasil foi de R$ 7,19 milhões na edição 2025 do relatório Cost of a Data Breach, da IBM.

A consequência prática: um computador que sai da empresa com dados de clientes ou funcionários é um risco de LGPD, não só um resíduo.

A prova de apagamento é um relatório por dispositivo, identificado pelo número de série. Um relatório útil registra o equipamento e a mídia, o método aplicado, a data, o resultado da verificação e quem executou. Declaração genérica do tipo “os equipamentos foram formatados” não serve como prestação de contas.

Esse relatório deve ser arquivado junto com a documentação ambiental do mesmo lote, o Manifesto de Transporte de Resíduos (MTR) e o Certificado de Destinação Final (CDF). Assim a empresa consegue responder, anos depois, o que aconteceu com cada máquina e com os dados que estavam nela.

1. Faça o inventário dos equipamentos, com número de série e tipo de mídia de cada um (HD, SSD, memória interna).
2. Classifique a sensibilidade dos dados que cada grupo de equipamentos armazenou.
3. Defina o método de sanitização por tipo de mídia, seguindo a lógica de limpar, purgar ou destruir.
4. Execute o apagamento com software certificado e verifique o resultado.
5. Separe as mídias que falharam no apagamento para destruição física registrada.
6. Guarde os relatórios de apagamento por número de série.
7. Encaminhe o hardware para um destinador licenciado, com MTR e CDF.
8. Arquive a documentação de dados e a ambiental juntas, por lote.

No descarte corporativo feito pela Circular Brain, o apagamento de dados faz parte do processo. A Circular Brain utiliza um software de sanitização de dados que segue padrões internacionais como o NIST SP 800-88 e gera relatórios de auditoria para cada dispositivo apagado.

Essa sanitização atende HDs e SSDs de desktops, notebooks e servidores. Depois do apagamento, os equipamentos seguem para reaproveitamento ou para recicladores certificados da rede Circulare, e a empresa recebe na Plataforma Circulare os relatórios de apagamento e os certificados de destinação do mesmo lote.

Para planejar o descarte dos equipamentos da sua empresa, fale com o time comercial na página de descarte corporativo de eletrônicos.