LGPD
A LGPD regula como empresa e órgão público podem tratar dado pessoal no Brasil. Exige base legal para cada tratamento, transparência com o titular e um encarregado indicado. Não proíbe usar dado: exige saber por que se usa.
O mal-entendido mais comum é achar que a lei exige consentimento para tudo. Consentimento é apenas uma das bases legais, e costuma ser a pior escolha para operação: pode ser retirado a qualquer momento, e aí o tratamento precisa parar.
Existem outras bases que sustentam melhor o uso corriqueiro, como a execução de contrato, o cumprimento de obrigação legal e o legítimo interesse. Escolher a base certa por tratamento é trabalho de análise, e é o que evita construir a operação sobre uma autorização que pode sumir.
O segundo ponto é o direito do titular. A pessoa pode pedir acesso ao que a empresa guarda sobre ela, correção e, em certos casos, eliminação. O prazo é curto, e sem saber onde o dado está, ele é gasto procurando.
O terceiro é a cadeia de fornecedores. O sistema de folha, a ferramenta de marketing e o serviço de nuvem também tratam esse dado. A empresa continua controladora, e a responsabilidade não é transferida junto com o contrato.
Dado sensível tem regra mais rígida: saúde, biometria, origem racial, opinião política. Clínica, laboratório e escritório de advocacia lidam com isso por natureza da atividade.
Quando se aplica
- A empresa coleta qualquer dado de pessoa física, o que inclui cliente, funcionário e candidato.
- Chegou pedido de titular, ou exigência de cliente pedindo o encarregado indicado.
- A operação usa fornecedor que também toca esse dado.
- A atividade envolve dado sensível, como saúde ou conteúdo de processo.
Quando não se aplica
- Como certificado. Não existe selo de conformidade, e quem vende isso vende tranquilidade.
- Como projeto com fim. Sistema novo e fornecedor novo alteram o mapa.
- Apoiando tudo em consentimento. Cria fragilidade onde havia base mais sólida disponível.
Mapeamento, base legal por tratamento e atendimento ao titular no prazo.
Termos relacionados
A adequação começa por saber onde o dado pessoal está.
O diagnóstico mapeia quais sistemas guardam dado pessoal, sob qual base legal, e o que expõe a empresa hoje.
Agendar diagnóstico