LGPD para quem tem sistema próprio: o essencial sem juridiquês

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018), a LGPD, vale para qualquer empresa que trata dados pessoais no Brasil, de qualquer tamanho. E quase todo sistema trata: um cadastro de cliente, uma lista de pacientes, um formulário de contato, um controle de funcionários.

Este guia explica o essencial da lei do ponto de vista de quem tem um sistema próprio, e o que dá para fazer na parte técnica. Ele não é consultoria jurídica. Para decisões sobre a sua empresa, converse com um advogado especializado e consulte sempre o texto atual da lei e das normas da ANPD.

O que conta como dado pessoal

Dado pessoal é qualquer informação que identifica uma pessoa, ou que permite identificá-la: nome, CPF, telefone, e-mail, endereço, placa do carro, foto, até um número de cliente ligado a uma pessoa.

Alguns dados são chamados de sensíveis e pedem cuidado redobrado: saúde, origem racial ou étnica, religião, opinião política, filiação a sindicato, vida sexual, dados genéticos e biométricos. Se o seu sistema guarda qualquer um desses, a régua sobe.

Dados de crianças e adolescentes também têm regras próprias e devem ser tratados sempre no melhor interesse deles.

O que a lei pede, em linguagem simples

Ter um motivo válido

Para tratar um dado pessoal, a empresa precisa se apoiar em uma das hipóteses previstas na lei, chamadas de bases legais. As mais comuns no dia a dia de uma empresa são: cumprir um contrato com a pessoa, cumprir uma obrigação legal (como emitir nota fiscal), o consentimento da pessoa e o legítimo interesse da empresa, que tem regras próprias.

Na prática: para cada dado que o sistema guarda, você deveria saber responder "por que eu guardo isso?".

Usar só para o que foi informado

Se a pessoa deu o telefone para receber o aviso de entrega, usar esse número para propaganda é outra finalidade. A lei pede que o uso seja compatível com o motivo informado.

Guardar só o necessário

O princípio da necessidade diz para coletar apenas o mínimo para a finalidade. Se o sistema pede data de nascimento e ninguém usa, esse campo é só risco.

Respeitar os direitos das pessoas

A pessoa pode pedir para saber quais dados você tem sobre ela, corrigir dados errados, pedir a exclusão em certos casos, receber uma cópia e saber com quem eles foram compartilhados, entre outros direitos previstos na lei.

Proteger os dados

A empresa precisa adotar medidas de segurança para evitar acessos não autorizados, vazamentos e perdas.

Comunicar incidentes

Se acontecer um incidente de segurança que possa causar risco ou dano relevante às pessoas, a empresa deve comunicar à ANPD e às pessoas afetadas, dentro do prazo definido pela ANPD em regulamento.

E as empresas pequenas?

A ANPD (Autoridade Nacional de Proteção de Dados) publicou regras específicas para agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups, na Resolução CD/ANPD nº 2/2022. Entre outros pontos, ela prevê obrigações simplificadas, como a possibilidade de não indicar um encarregado de dados, desde que exista um canal de comunicação com as pessoas, e prazos maiores para algumas obrigações.

Atenção: essas facilidades não valem para quem faz tratamento considerado de alto risco, por exemplo, em larga escala ou com dados sensíveis. E simplificado não quer dizer dispensado. Os princípios da lei e a obrigação de proteger os dados continuam valendo.

O que fazer no sistema

A LGPD não diz qual tecnologia usar, mas muitas das obrigações viram decisões técnicas. Estas são as que mais fazem diferença:

1. Saiba o que você guarda

Liste todos os dados pessoais que o sistema coleta, onde ficam guardados (inclusive em serviços externos, como e-mail, planilhas e ferramentas de automação) e quem tem acesso. Esse mapa é o ponto de partida para tudo.

2. Colete menos

Revise formulários e cadastros. Cada campo que não é usado pode ser removido. Menos dados guardados significa menos risco.

3. Controle quem acessa

Cada pessoa da equipe deveria ver só o que precisa para o seu trabalho. O atendente não precisa ver o salário de ninguém, e o estagiário não precisa exportar a base inteira de clientes.

4. Registre quem fez o quê

Um registro de acessos e alterações em dados pessoais ajuda a investigar um problema e a mostrar que a empresa leva o assunto a sério.

5. Proteja o básico

Senhas guardadas de forma segura, conexão criptografada (HTTPS), banco de dados que não fica aberto na internet e chaves de acesso fora do código. O checklist de segurança cobre esses pontos de forma prática.

6. Prepare-se para os pedidos

Quando alguém pedir para ver ou apagar seus dados, você consegue atender? O ideal é que o sistema permita encontrar todos os dados de uma pessoa, exportá-los e removê-los ou anonimizá-los quando for o caso, sem precisar de uma busca manual em vários lugares.

7. Defina por quanto tempo guardar

Dados não precisam ficar para sempre. Algumas informações têm prazo de guarda definido em lei, como dados fiscais. Outras podem ser apagadas quando a relação com a pessoa termina. Definir esses prazos e automatizar a limpeza reduz o risco.

8. Cuide dos fornecedores

Se o sistema usa serviços externos que recebem dados pessoais (hospedagem, envio de e-mail, IA, ferramentas de atendimento), eles também tratam dados em seu nome. Vale saber onde esses dados ficam e o que o contrato diz sobre proteção.

E se der errado?

A lei prevê sanções que vão de advertência a multas que podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração, além de outras medidas, como a publicização da infração. Mas, para a maioria das empresas, o maior custo de um vazamento costuma ser a perda de confiança dos clientes.

Se você quer revisar como o seu sistema trata dados pessoais, vale uma conversa.