1. Riscos de segurança

Mistura de dados pessoais e corporativos: O utilizador pode sincronizar ficheiros pessoais no OneDrive ou SharePoint pessoal, o que pode confundir fronteiras entre dados pessoais e empresariais. Isto pode levar à exposição acidental de dados corporativos.

Perda de controlo sobre dados corporativos:  Se o utilizador guardar ficheiros da empresa na sua conta pessoal, a organização não terá forma de aplicar políticas de retenção, DLP (Data Loss Prevention) ou encriptação nesses dados.

Falta de monitorização e auditoria:  Contas pessoais não estão sob o controlo do Azure AD/Microsoft Entra ID da empresa. Logo, não se aplicam políticas de MFA, logging centralizado, alertas de segurança ou gestão de dispositivos.

Risco de malware ou aplicações não autorizadas: Contas pessoais podem permitir a instalação de add-ins ou apps que não são aprovados pela empresa, criando pontos de entrada para ataques (phishing, malware, etc.).

2. Riscos de compliance e legais

Violação de políticas internas:  Muitas empresas proíbem o uso de contas pessoais em dispositivos corporativos por questões de conformidade (GDPR, ISO 27001, etc.).

Responsabilidade sobre incidentes:  Se dados corporativos forem comprometidos através da conta pessoal, a empresa poderá não conseguir investigar ou remediar adequadamente, tornando difícil apurar responsabilidades.

Possíveis fugas de informação na saída do colaborador: Se o colaborador sair da empresa e tiver dados corporativos na sua conta pessoal, não existe forma de revogar o acesso.

3. Controlo técnico

É possível mitigar alguns riscos usando:

Políticas de Conditional Access (bloquear login de contas pessoais).

Políticas do Intune / MDM para impedir contas pessoais em apps Microsoft.

Bloquear OneDrive pessoal via GPO ou configurações do Office.

Perfis separados (ex.: contas pessoais só em perfis locais não corporativos).

4. Quando pode ser aceitável?

a) O computador for BYOD (Bring Your Own Device) e tiver segmentação clara entre perfis pessoais e corporativos (Windows Hello for Business, WIP).

b) A empresa tiver políticas claras e técnicas para isolar dados pessoais e corporativos.

c) A subscrição pessoal não for usada para armazenar dados corporativos e estiver documentado no regulamento interno.