Resposta direta
O diagnóstico começa pelo mapa de acesso, não pelo conteúdo da planilha. Dado sensível é o que identifica pessoa ou revela condição financeira, saúde, vínculo e opinião, com exposição que gera obrigação legal ou dano direto. A planilha compartilhada costuma misturar camadas distintas: dado operacional, dado de contato e dado restrito. O trabalho é separar as camadas, identificar quem acessa cada aba e localizar cópias que sobrevivem fora do arquivo central. Só depois cabe decidir o que permanece, o que é mascarado e o que migra para ambiente com registro de acesso. A ordem importa: medir exposição antes de alterar estrutura evita apagar rastro.
- Objetivo
- Diagnosticar
- Formato indicado
- Projeto de implementação
- Atualizado em
O que esta página acrescenta: Mede exposição por campo e por cópia residual, com prioridade de restrição; as outras páginas tratam de integração, duplicidade, atualização ou validação, não de dado sensível em planilha.
O que costuma estar exposto sem ninguém notar
A lista de compartilhamento raramente corresponde ao que a planilha contém. Abas ocultas, colunas auxiliares e campos de observação livre concentram CPF, telefone, dados bancários, salário, atestado e anotação sobre cliente. O risco aumenta quando a mesma aba serve a áreas diferentes: quem só precisa de nome e status recebe junto o histórico completo.
Fora do arquivo central há outra camada: cópias baixadas, versões anexadas em e-mail, recortes em apresentação e relatórios salvos em pasta pessoal. O dado sensível que importa para o diagnóstico é o que permanece acessível sem registro de consulta. Planilha com link aberto e permissão de edição amplia esse perímetro sem que ninguém tenha decidido isso de forma explícita.
O mapa que antecede qualquer mudança
A triagem começa pelo inventário de abas e campos, com quatro informações por campo: o que é, quem precisa ver, quem vê hoje e onde existe cópia. Campo sem responsável definido entra na lista de restrição. O levantamento inclui o histórico de versões, porque a planilha costuma guardar valor antigo em célula oculta ou em aba duplicada.
Depois vem a medição de acesso: quantas pessoas têm permissão de edição, quantas apenas leem e quantas recebem o arquivo por outro canal. O resultado não é um relatório de conformidade; é uma ordem de prioridade. Campo restrito com acesso amplo e cópia externa sai na frente. A alteração só começa quando essa ordem está registrada e alguém assume a decisão sobre cada campo.
O que o diagnóstico não resolve
O levantamento mostra exposição provável, não vazamento comprovado. Ele não identifica quem consultou cada célula, nem recupera dado que já saiu por captura de tela, mensagem ou anexo. Também não substitui análise jurídica sobre base legal, retenção e comunicação de incidente. Em planilha sem controle de versão, o mapa pode ficar incompleto.
Há situações em que a resposta correta não é ajustar a planilha, e sim retirar o dado dela. Quando o campo sensível sustenta decisão recorrente, como crédito, saúde ou folha, a planilha não é o lugar. O diagnóstico serve para dimensionar o problema e justificar a mudança; ele não impede que a exposição volte, porque acesso mal controlado reaparece em nova cópia enquanto o processo continuar manual.
Recurso prático
Índice de exposição relativa por campo sensível
IER = (P × C × K) ÷ T
- P
- pessoas
- Pessoas com acesso direto à aba, incluindo permissão de leitura e de edição
- C
- campos
- Campos sensíveis preenchidos na aba, como documento, dado bancário, saúde ou salário
- K
- cópias
- Cópias identificadas fora do arquivo central: download, anexo, recorte ou versão em pasta pessoal
- T
- controles
- Controles que geram registro: permissão nominal, histórico de acesso e restrição por aba
O erro mais comum é contar só a lista de compartilhamento e ignorar cópias baixadas e abas ocultas; controle sem registro não reduz o índice.
Sobre o que está escrito aqui
Conceitos relacionados: dado pessoal · permissão de acesso · aba oculta · cópia local · registro de consulta. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Projeto de implementação, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Integrações, sistemas e qualidade de dados — Página central do tema
- Exportações manuais: quando ainda fazem sentido — exportações manuais
- Migração de dados: o que conferir antes e depois — migração sem conferência
Páginas relacionadas
O mesmo problema em outro objetivo
- Planilha compartilhada com dado sensível: quem vê o quê — Organizar um processo
- Dado sensível em planilha compartilhada: comparar opções — Comparar alternativas
- Dado sensível em planilha compartilhada: o que medir — Explicar medição
- Dado sensível em planilha compartilhada: o que sai do arquivo — Orientar implementação
- Dado sensível em planilha: o que exigir na contratação — Orientar avaliação e contratação
Outras leituras em Integrações, sistemas e qualidade de dados
- Exportação com dado pessoal sem máscara: o que exigir — O que definir em contrato, escopo e conferência ao contratar exportação com dado pessoal sem máscara, e o que esse arranjo não resolve.
- Dependência de uma pessoa para extrair dado: o que registrar — Descreve o que registrar e conferir para que a extração de dado não dependa de uma única pessoa na operação.
- Exportação sem máscara: o que comparar antes de liberar — Compara saídas para exportar dado pessoal: arquivo mascarado, acesso controlado, recorte agregado e exportação sem máscara com justificativa registrada.
- Exportação com dado pessoal: onde a máscara se perde — Define critérios para autorizar, mascarar, registrar e revisar exportações com dado pessoal, separando a necessidade operacional do acesso à base completa.
- Chave de ligação ausente: como construir a ponte — Construção de uma chave de ligação entre cadastros sem campo comum, com regra de decisão, tabela de correspondência, exceções e histórico.