A indústria brasileira de tecnologia vive um momento de expansão. Segundo a ABES, o mercado de TI no país movimentou US$ 67,8 bilhões em 2025, alta de 18,5%, colocando o Brasil na 10ª posição mundial. De acordo com a Brasscom, as exportações de software e serviços somaram R$ 41,6 bilhões em 2025, alta de 24,7%, e o setor reunia cerca de 2,2 milhões de profissionais. Um dado do mesmo levantamento chama atenção: dos cerca de 111 mil profissionais que entraram no setor desde 2023, 55,6% o fizeram como MEI ou na informalidade. Esse crescimento tem uma face menos visível. Para atender clientes no Brasil e no exterior, muitas empresas de software, fábricas de desenvolvimento e prestadoras de TI ampliam suas equipes — próprias e terceirizadas, CLT, PJ e freelancers — mais rápido do que conseguem verificá-las, justamente quando essas equipes passam a lidar com volumes cada vez maiores de dados sensíveis.


O custo desse ponto cego ficou claro, para além de qualquer leitura política, nos debates públicos sobre compartilhamento de dados em grande escala no próprio Estado brasileiro. Em 2020, documentos revelados pela imprensa mostraram um pedido da Abin ao Serpro para acessar dados de mais de 76 milhões de carteiras de motorista, incluindo fotos e endereços; a autorização acabou revogada e o acesso não chegou a ocorrer. Em setembro de 2022, ao julgar a ADI 6649 e a ADPF 695, o Supremo Tribunal Federal impôs limites ao Decreto nº 10.046/2019, que criou o Cadastro Base do Cidadão: o compartilhamento entre órgãos só pode atender a "propósitos legítimos, específicos e explícitos", restrito ao mínimo necessário e com controles rigorosos de acesso. A lição de fundo vale para o setor público e para o privado: quando um sistema concentra dados sensíveis de milhões de pessoas, saber quem tem acesso, com que verificação prévia e sob quais controles deixa de ser detalhe técnico e passa a ser questão central.


A mesma lógica se aplica, em outra escala, a qualquer fábrica de software brasileira que atende clientes no exterior. A Diretiva NIS2 da União Europeia obriga as empresas europeias abrangidas a gerir a "segurança da cadeia de suprimentos", incluindo a relação com seus fornecedores diretos e prestadores de serviço (art. 21, 2, d), e a adotar medidas de "segurança de recursos humanos" e de controle de acesso (art. 21, 2, i). Na prática, essa exigência chega aos fornecedores de fora da Europa, Brasil incluído. A LGPD vai na mesma direção: os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas (art. 46), e "qualquer outra pessoa que intervenha em uma das fases do tratamento" se obriga a garantir a segurança das informações, mesmo após o seu término (art. 47). Em um setor em que boa parte do talento atua sob contratos flexíveis e com rotatividade relativamente alta, manter esse controle de forma manual, com uma planilha e uma ligação para referências, é cada vez menos sustentável.


“O risco não está só no projeto grande e visível de que todo mundo fala; está na quantidade de desenvolvedores freelancers, fábricas terceirizadas e fornecedores de infraestrutura que qualquer empresa de software incorpora todo mês, sem um processo uniforme de verificação. Quando se cresce rápido para fechar um contrato de exportação ou não perder um cliente, é tentador pular essa etapa. Mas um desenvolvedor ou fornecedor não verificado, com acesso à base de dados de clientes, representa o mesmo tipo de risco que gera tanto debate nos grandes projetos públicos — só que em escala menor e muito mais frequente”, afirma Guido Schenone, Comercial & Growth Manager da Validato, empresa suíça especializada em background screening e human risk management.


A recomendação prática para empresas de software e prestadoras de TI no Brasil é tratar a verificação de pessoas e fornecedores como parte do mesmo processo de segurança que já aplicam a seus sistemas: identidade, competência técnica e antecedentes pertinentes antes de conceder acesso; análise de conflitos de interesses quando a função justifica; e uma reavaliação periódica que acompanhe o crescimento da equipe, e não apenas uma checagem inicial arquivada. Tudo isso com respeito aos princípios de finalidade e necessidade da LGPD. Em uma indústria que cresce no ritmo da brasileira, essa disciplina é, cada vez mais, parte do que um cliente — seja uma empresa local ou uma companhia europeia sujeita à NIS2 — espera poder auditar antes de assinar um contrato.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 19/10/2026.
  2. Convergência Digital. "TI brasileira cresce 18,5% em 2025" (estudo ABES), 31/03/2026. https://convergenciadigital.com.br/mercado/ti-brasileira-cresce-185-em-2025-bate-recorde-impulsionada-pela-forte-demanda-de-hardware-para-ia/
  3. DPL News. Relatório Setorial Brasscom 2025 — exportações de TIC, 13/05/2026. https://dplnews.com/?p=315670
  4. Brasscom. "Perspectivas do Mercado de Trabalho", julho de 2026. https://brasscom.org.br/wp-content/uploads/2026/07/Relatorio-Pespectivas-do-Mercado-de-Trabalho-Apresentacao-v9.pdf
  5. The Intercept Brasil. "Abin quer dados de 76 milhões de carteiras de motorista", 06/06/2020. https://www.intercept.com.br/2020/06/06/abin-carteira-motorista-serpro-vigilancia/
  6. Convergência Digital. "Governo revoga compartilhamento de dados entre Serpro e Abin", 06/2020. https://convergenciadigital.com.br/seguranca/governo-revoga-compartilhamento-de-dados-entre-serpro-e-abin
  7. Teletime. "STF coloca limites para compartilhamento de dados pessoais entre órgãos públicos" (ADI 6649 e ADPF 695), 26/09/2022. https://teletime.com.br/26/09/2022/stf-coloca-limites-para-compartilhamento-de-dados-pessoais-entre-orgaos-publicos/
  8. União Europeia. Diretiva (UE) 2022/2555 (NIS2) — art. 21. https://www.springlex.eu/en/packages/nis2/nis2-directive/article-21/
  9. Presidência da República (Planalto). Lei nº 13.709/2018 (LGPD) — arts. 46 e 47. https://planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm