Um servidor desativado sai do rack, entra numa sala de armazenamento e some do inventário. Meses depois, ninguém sabe onde está, quem o levou nem se os discos foram apagados. Nesse cenário, a responsabilidade legal continua sendo da empresa.
Descartar equipamentos de TI no Brasil envolve duas obrigações simultâneas: proteger os dados que os dispositivos ainda contêm (LGPD) e garantir a destinação ambientalmente correta dos resíduos (PNRS). Este guia mostra o processo operacional completo, quais documentos exigir do fornecedor e onde estão os pontos cegos mais comuns.
Descarte de equipamentos de TI: tudo que você precisa saber
✅ O descarte de TI é regulado por duas frentes independentes: a LGPD protege os dados e a PNRS regula o resíduo. Cumprir uma não isenta a outra.
✅ A responsabilidade da empresa não termina na coleta. Sem documentação de rastreabilidade, não há como comprovar conformidade em auditoria.
✅ Formatar um disco não é o mesmo que sanitizá-lo. No Brasil, a remoção prévia dos dados é tratada pela regulamentação como parte do próprio ato de descartar.
✅ A Evernex executa o descarte com eliminação certificada de dados, recuperação de valor residual e rastreabilidade documental por número de série.
O que sua empresa arrisca ao descartar equipamentos de TI de forma irregular?
O risco do descarte irregular não é abstrato. Ele se materializa em três frentes que costumam ser tratadas por áreas diferentes da empresa, o que explica por que tantas organizações têm lacunas nesse processo.
Por que formatar um disco não elimina o risco de vazamento?
A formatação padrão de um disco remove o índice de arquivos, não os dados em si. As informações continuam gravadas nos setores da mídia e podem ser recuperadas com ferramentas forenses amplamente disponíveis.
SSDs são um caso à parte
Devido ao wear leveling, blocos de dados permanecem em áreas de sobreprovisionamento inacessíveis a comandos de sobrescrita convencionais. Um SSD “apagado” pode reter fragmentos recuperáveis de bancos de dados, credenciais e arquivos de clientes. Por isso, a destruição física costuma ser mais confiável que a sobrescrita nesse tipo de mídia.
O que a legislação brasileira exige antes do descarte?
A obrigação de eliminar dados antes de descartar hardware não vem apenas da LGPD. Três normas convergem sobre o mesmo ponto:
- Decreto nº 10.240/2020: determina, no artigo 31, a remoção prévia ao descarte das informações e dos dados privados armazenados em discos rígidos, cartões de memória e estruturas semelhantes.
- LGPD: exige a eliminação dos dados pessoais ao término do tratamento, e o descarte do hardware é o momento em que essa obrigação se torna física e verificável.
- PNRS: mantém a empresa corresponsável pela destinação, inclusive pelo que o operador contratado fizer com os equipamentos.
O decreto trata de produtos de uso doméstico e não alcança diretamente o parque corporativo. Mas o critério regulatório fica explícito: no Brasil, apagar os dados é parte do ato de descartar, não uma etapa opcional que o antecede.
Qual método de apagamento é considerado válido?
Nenhuma norma brasileira define tecnicamente como o apagamento deve ser executado. A LGPD exige o resultado, não o procedimento.
Na prática, o mercado adota como referência a norma norte-americana NIST SP 800-88. Ela não tem força legal no Brasil, mas é o padrão mais citado em certificados de destruição e em auditorias ISO. Exigir essa referência em contrato é uma forma prática de verificar a capacidade técnica do fornecedor. Entenda os métodos válidos no guia sobre eliminação de dados conforme a LGPD.
Até onde vai a responsabilidade da empresa após a coleta?
Muitas empresas consideram o processo encerrado quando o caminhão do reciclador sai do estacionamento. Esse é o ponto cego mais caro do descarte de TI, porque as duas normas mantêm a empresa na linha de frente:
- PNRS: pela responsabilidade compartilhada ao longo do ciclo de vida, a empresa geradora permanece corresponsável pela destinação final mesmo depois de transferir a posse física dos equipamentos.
- LGPD: o prestador de serviço é operador de dados, mas a empresa permanece como controladora e responde por incidentes originados nesse elo da cadeia.
Que impacto contratual e reputacional o descarte irregular gera?
Além das sanções regulatórias, o descarte irregular gera exposições que raramente aparecem no cálculo inicial de custo:
- Cláusulas contratuais com clientes: contratos corporativos e de setores regulados frequentemente exigem comprovação de destruição de dados ao fim do relacionamento.
- Auditorias de certificação: a ISO 27001:2022 traz controles específicos sobre descarte seguro de equipamentos (A.7.14) e eliminação de informação (A.8.10). A empresa pode excluí-los do escopo, mas precisa justificar a exclusão na Declaração de Aplicabilidade, e o auditor vai questionar.
- Due diligence em operações societárias: lacunas na cadeia de custódia de ativos aparecem em processos de fusão, aquisição ou captação.
- Exposição pública: um vazamento originado em equipamento descartado tem impacto reputacional desproporcional ao volume de dados envolvido.
O que a LGPD e a PNRS exigem no descarte de equipamentos de TI?
As duas normas incidem sobre o mesmo ato de descarte, mas com objetos de proteção distintos. Cumprir uma não substitui a outra, e cada uma exige sua própria prova documental.
| Aspecto | LGPD | PNRS |
|---|---|---|
| O que protege | Os dados pessoais contidos no equipamento | O meio ambiente e a destinação do resíduo |
| O que exige | Eliminação segura ao fim do tratamento, com método adequado ao suporte | Destinação final ambientalmente adequada por operador licenciado |
| Quem responde | A empresa como controladora, mesmo com prestador terceirizado | O gerador do resíduo, em responsabilidade compartilhada com toda a cadeia |
| Prova documental | Certificado de eliminação ou destruição de dados | Manifesto de Transporte de Resíduos (MTR) e certificado de destinação final |
| Órgão fiscalizador | ANPD | Órgãos ambientais estaduais e municipais, IBAMA |
A PNRS (Lei 12.305/2010) classifica equipamentos eletroeletrônicos como resíduos sujeitos à logística reversa obrigatória. Empresas geradoras precisam manter registro da destinação e, dependendo do volume e do estado, elaborar um Plano de Gerenciamento de Resíduos Sólidos.
Já a LGPD (Lei 13.709/2018) determina que os dados pessoais sejam eliminados ao término do tratamento. O descarte de hardware é justamente o momento em que essa obrigação se torna física e verificável.
O ponto crítico é a interseção: um operador com licença ambiental impecável pode não ter capacidade certificada de sanitização de dados. E um fornecedor especializado em destruição de dados pode não estar habilitado a dar destinação ambiental ao resíduo. As duas competências precisam estar cobertas e documentadas.
Como descartar equipamentos de TI corretamente, passo a passo?
Um processo de descarte defensável em auditoria segue sete etapas encadeadas. A ordem importa: pular a classificação de risco ou emitir o certificado antes da verificação compromete toda a cadeia probatória.
- Inventário e baixa formal dos ativos.
- Classificação por risco de dados.
- Sanitização ou destruição física.
- Emissão do certificado de destruição.
- Seleção do operador de destinação.
- Transporte com MTR.
- Conciliação documental.
Registrar número de série, tipo de equipamento, localização e data de retirada de operação. Esse registro é o ponto de partida da cadeia de custódia. Ativos que chegaram ao fim do suporte do fabricante entram nessa lista, mas nem sempre precisam ser descartados de imediato. Avalie antes as alternativas disponíveis para equipamentos no fim de vida.
Separar os ativos entre os que contêm mídia de armazenamento, os que retêm configurações sensíveis e os que não armazenam nada. Essa triagem define o método exigido em cada caso.
Aplicar o método adequado ao tipo de mídia. Sobrescrita certificada, desmagnetização ou trituração, conforme o suporte e o nível de criticidade da informação.
Documentar por número de série o método aplicado, a data, o responsável técnico e o padrão seguido. Sem vínculo ao serial, o certificado tem valor probatório limitado.
Verificar licença ambiental vigente e compatível com a classe do resíduo. A licença precisa ser do operador que efetivamente recebe o material, não apenas do intermediário que faz a coleta.
Emitir o Manifesto de Transporte de Resíduos no sistema do órgão ambiental competente. O MTR acompanha a carga e comprova a rastreabilidade entre gerador, transportador e destinador.
Fechar o ciclo confrontando o inventário inicial com os certificados de destruição e o certificado de destinação final. Todo serial que saiu precisa ter um documento correspondente. Divergências não conciliadas são exatamente o que uma auditoria identifica.
Quer entender o processo completo de ITAD?
Conheça como funciona o ciclo de IT Asset Disposition, da coleta à certificação, e por que ele é a base de um descarte auditável.
Quais equipamentos exigem destruição física e quais podem ser sanitizados?
A decisão não depende do tipo de equipamento, mas do que ele armazena e de quão recuperável essa informação é. A tabela abaixo organiza os ativos mais comuns por nível de risco.
| Equipamento | Retém dados? | Método recomendado | Documento exigido |
|---|---|---|---|
| Servidores e storage | Sim, alto volume e criticidade | Sanitização certificada ou destruição física da mídia | Certificado por número de série de cada disco |
| HDs magnéticos | Sim | Sobrescrita certificada ou desmagnetização e trituração | Certificado de destruição |
| SSDs e mídias flash | Sim, com blocos residuais inacessíveis | Destruição física, preferencialmente à sobrescrita | Certificado de destruição física |
| Switches, roteadores e firewalls | Sim, configurações, VPNs, credenciais e topologia de rede | Reset de fábrica verificado e destruição da memória quando aplicável | Registro de sanitização de configuração |
| Impressoras multifuncionais | Sim, disco interno com histórico de digitalização e impressão | Remoção e destruição do disco interno | Certificado de destruição da mídia |
| Fitas de backup | Sim, frequentemente com dados históricos completos | Desmagnetização e destruição física | Certificado de destruição |
| Nobreaks, PDUs e racks | Não | Destinação ambiental direta | MTR e certificado de destinação final |
Os dois pontos cegos clássicos são equipamentos de rede e impressoras multifuncionais. Switches e firewalls carregam configurações que revelam a arquitetura interna da rede, chaves de VPN e credenciais administrativas. Multifuncionais corporativas mantêm discos internos com imagens de tudo o que foi digitalizado, copiado ou impresso, incluindo documentos de RH, contratos e informações financeiras.
Nenhum dos dois costuma aparecer nas listas de “equipamentos com dados” elaboradas internamente, e ambos saem da empresa sem qualquer tratamento na maioria dos processos de descarte.
Que documentos exigir do fornecedor de descarte de TI?
Em uma fiscalização ou auditoria, a empresa não é avaliada pela qualidade do fornecedor que contratou, mas pelos documentos que consegue apresentar. Esta é a lista mínima a exigir antes de assinar contrato.
- Licença ambiental de operação vigente. Emitida pelo órgão estadual competente e compatível com a classe de resíduo tratada. Verificar a validade e se a licença cobre a atividade específica de tratamento de eletroeletrônicos, não apenas transporte ou armazenamento temporário.
- Cadastro Técnico Federal do IBAMA (CTF/APP). Exigível quando a atividade do operador consta nas listas de atividades potencialmente poluidoras do IBAMA, o que abrange coleta, transporte, tratamento e destinação de resíduos. Atenção: o CTF é um registro de controle federal e não equivale a licenciamento ambiental. Peça os dois.
- Manifesto de Transporte de Resíduos (MTR). Emitido no sistema do órgão ambiental competente antes de cada movimentação. Documenta a cadeia gerador, transportador e destinador.
- Certificado de destruição de dados por número de série. Deve especificar o ativo individualmente, o método aplicado, o padrão técnico seguido, a data e o responsável pela execução. Certificados genéricos por lote não permitem rastrear um ativo específico e perdem valor em auditoria.
- Certificado de destinação final. Comprova o encerramento do ciclo do resíduo e fecha a responsabilidade compartilhada prevista na PNRS.
- Relatório de rastreabilidade consolidado. Conciliação entre os ativos entregues e os documentos emitidos, permitindo verificar que não há lacunas na cadeia.
- Seguro de responsabilidade civil e apólice de transporte. Cobre a janela de exposição entre a saída dos equipamentos e a destruição efetiva, que é o período de maior risco do processo.
- Certificações de gestão. ISO 27001 para segurança da informação e ISO 14001 para gestão ambiental indicam processos auditados por terceira parte.
O certificado de destruição é legalmente obrigatório?
A LGPD não menciona o certificado de destruição pelo nome. O que a lei exige é que o controlador demonstre a adoção de medidas eficazes de proteção (art. 6º) e mantenha registro das operações de tratamento, o que inclui a eliminação (art. 37).
Na prática, o certificado é o instrumento que materializa essa comprovação. Sem ele, a empresa afirma ter eliminado os dados, mas não tem como provar. Em uma investigação da ANPD após um incidente, o ônus de demonstrar a conformidade recai sobre a empresa.
O documento se torna diretamente exigível em três situações:
- Contratos com cláusula de destruição: quando o cliente exige comprovação ao fim do relacionamento comercial.
- Auditorias de certificação: a ISO 27001:2022 avalia o descarte seguro de equipamentos pelo controle A.7.14, e o certificado é a evidência que o auditor solicita.
- Requisitos setoriais: normas do Banco Central para instituições financeiras e da ANS para operadoras de saúde.
Descartar, remanufaturar ou revender: como decidir?
Nem todo equipamento retirado de operação precisa ser destruído. A decisão adequada considera duas variáveis independentes: o valor residual do ativo no mercado secundário e o risco associado aos dados que ele contém.
| Cenário | Decisão recomendada | Requisito indispensável |
|---|---|---|
| Equipamento funcional, geração recente, sem mídia crítica | Revenda ou remanufatura no mercado secundário | Sanitização certificada antes da transferência de posse |
| Equipamento funcional com discos de dados sensíveis | Revenda do chassi com destruição física da mídia | Certificado separado para a mídia destruída |
| Equipamento obsoleto, sem valor de mercado | Reciclagem com destinação ambiental | MTR e certificado de destinação final |
| Equipamento de setor regulado com dados críticos | Destruição física integral | Certificado por serial, com testemunho ou registro em vídeo quando exigido |
A revenda e a remanufatura têm um benefício adicional relevante para empresas com metas ambientais: prolongar a vida útil de um equipamento evita as emissões associadas à fabricação de um substituto, um impacto normalmente muito superior ao da operação. É um dos pilares mais mensuráveis de uma estratégia de TI sustentável.
O erro comum é tratar essa decisão como puramente financeira. Um equipamento com bom valor de revenda mas com dados não sanitizados adequadamente representa um passivo que supera qualquer receita recuperada.
Como a Evernex apoia o descarte responsável de ativos de TI?
A Evernex atua nas duas frentes que o descarte exige, eliminação de dados e destinação ambiental, com documentação integrada que fecha a cadeia de responsabilidade.
Eliminação certificada de dados
Sanitização e destruição física executadas conforme padrões internacionais, com certificado emitido por número de série. A documentação é válida para comprovação de conformidade com LGPD, GDPR e ISO 27001.
Recuperação de valor residual
Avaliação individual dos ativos para identificar o que pode ser remanufaturado ou recomercializado com segurança, convertendo parte do custo do descarte em retorno financeiro.
Rastreabilidade documental completa
Cada ativo é acompanhado desde a coleta até a destinação final, com relatório consolidado que permite conciliar o inventário de saída com os documentos emitidos.
Cobertura global com execução local
Presença em mais de 160 países com processos padronizados, aplicando os requisitos regulatórios específicos de cada mercado. Para operações multinacionais, isso significa um único parceiro com conformidade local em cada jurisdição.
Precisa descartar equipamentos de TI com segurança e conformidade?
A Evernex executa o descarte completo dos seus ativos de TI: eliminação certificada de dados, destinação ambiental licenciada e rastreabilidade documental de ponta a ponta.
Perguntas frequentes sobre descarte de equipamentos de TI
É obrigatório registrar o descarte de equipamentos de TI?
Sim. A PNRS exige que o gerador mantenha registro da destinação dos resíduos, comprovado pelo Manifesto de Transporte de Resíduos (MTR) e pelo certificado de destinação final. A LGPD, por sua vez, exige o registro das operações de tratamento de dados, o que inclui a eliminação. Na prática, isso significa manter inventário dos ativos descartados, certificados de destruição de dados por número de série e a documentação ambiental correspondente, disponíveis para eventual fiscalização.
O que acontece com os dados quando descarto um servidor?
Se nada for feito, os dados permanecem recuperáveis. A formatação padrão remove apenas o índice de arquivos, não o conteúdo gravado na mídia. Em SSDs, o wear leveling mantém blocos de dados em áreas de sobreprovisionamento que comandos convencionais de apagamento não alcançam. A eliminação efetiva exige sanitização certificada ou destruição física da mídia, sempre com certificado que vincule o método ao número de série do ativo. A legislação brasileira exige o resultado, não define o procedimento técnico: o mercado adota como referência a norma norte-americana NIST SP 800-88, que não tem força legal no Brasil mas é o padrão mais citado em certificados e auditorias.
Posso vender servidores velhos em vez de descartar?
Sim, e em muitos casos é a decisão mais eficiente. A revenda no mercado secundário recupera valor residual e reduz o impacto ambiental associado à fabricação de novos equipamentos. A condição indispensável é a sanitização certificada de toda a mídia de armazenamento antes da transferência de posse. Quando os dados são especialmente sensíveis, a prática recomendada é destruir fisicamente os discos e revender o chassi separadamente, com certificados distintos para cada parte.
Qual a multa por descarte irregular de TI no Brasil?
Existem duas exposições independentes. Na frente ambiental, a Lei de Crimes Ambientais prevê multas administrativas que variam conforme o órgão competente, o volume e a gravidade da infração, e podem incluir sanções como embargo da atividade. Na frente de proteção de dados, a LGPD prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de sanções como publicização da infração e bloqueio dos dados envolvidos. Um mesmo descarte irregular pode acionar as duas frentes simultaneamente.
Quem é responsável pelo descarte de TI: TI ou facilities?
A responsabilidade é compartilhada e precisa estar formalmente atribuída. A área de TI responde pela identificação dos ativos, pela classificação de risco de dados e pela validação da sanitização. Facilities normalmente coordena a logística física e a relação com o operador de resíduos. O DPO ou a área de compliance valida a adequação à LGPD e a guarda da documentação. O problema mais frequente não é a divisão em si, mas a ausência de definição clara: quando ninguém é formalmente responsável pela conciliação final, é exatamente aí que surgem as lacunas documentais.
O que é certificado de destruição e quando é necessário?
É o documento que comprova que os dados de um ativo específico foram eliminados, especificando o número de série, o método aplicado, o padrão técnico seguido, a data e o responsável pela execução. A LGPD não o exige nominalmente, mas determina que a empresa demonstre a adoção de medidas eficazes de proteção. O certificado é o instrumento que torna essa comprovação possível. Torna-se diretamente exigível em contratos que preveem comprovação de destruição, em auditorias de certificação ISO 27001 e em requisitos setoriais específicos, como os aplicáveis a instituições financeiras e operadoras de saúde.