LGPD na operação: o que muda no registro de dados em campo

Uma operação bem organizada é, por natureza, uma máquina de registrar dados. Cada ordem de serviço guarda nome, telefone, endereço e, às vezes, foto do local e assinatura de quem atendeu. Cada vistoria ou atendimento público envolve identificar pessoas. A Lei Geral de Proteção de Dados (LGPD) mudou o que se espera desse registro: não basta anotar, é preciso saber por que se anota, guardar apenas o necessário e conseguir comprovar como o dado foi tratado. Este artigo traduz essas exigências para o dia a dia de quem gerencia operações.

O que é a LGPD e a quem ela se aplica

A LGPD é a Lei nº 13.709, de 14 de agosto de 2018, que disciplina o tratamento de dados pessoais no Brasil. Ela se aplica a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, o que inclui tanto empresas quanto órgãos públicos. Ou seja, a mesma lógica de proteção vale para a prestadora de serviços que gerencia equipes em campo e para a prefeitura que registra solicitações de cidadãos.

A fiscalização e a regulamentação ficam a cargo da Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública federal responsável por editar normas, orientar e aplicar sanções. Isso significa que, além do texto da lei, a operação precisa acompanhar os regulamentos que a ANPD publica, como o de comunicação de incidentes, tratado mais adiante.

Os princípios que orientam cada registro

O artigo 6º da LGPD lista princípios que devem guiar toda atividade de tratamento. Para quem opera no dia a dia, três deles são especialmente concretos:

• Finalidade: o tratamento deve ter propósito legítimo, específico, explícito e informado ao titular, sem uso posterior incompatível com essa finalidade. Cada campo coletado deveria responder à pergunta "para que isso serve?".
• Adequação: o tratamento precisa ser compatível com a finalidade informada, considerando o contexto.
• Necessidade: o tratamento se limita ao mínimo necessário para cumprir a finalidade, com dados pertinentes, proporcionais e não excessivos. É o chamado princípio da minimização.

Na prática, minimização é o princípio que mais mexe com a rotina de campo. Um formulário que pede documento, filiação e estado civil "por garantia" quando bastaria o nome e o protocolo está coletando dado em excesso, e isso passa a ser um risco, não uma precaução.

Registro das operações: o que a lei espera

A LGPD não trata só do dado coletado, mas do rastro de como ele foi tratado. O artigo 37 determina que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais que realizarem, especialmente quando o tratamento se apoia no legítimo interesse. Em uma operação de campo, isso conversa diretamente com a ideia de trilha de auditoria: saber quem acessou, quando e por quê.

Há ainda o princípio da qualidade dos dados, que garante ao titular exatidão, clareza, relevância e atualização das informações. E o artigo 16 estabelece que os dados pessoais devem ser eliminados após o término do tratamento, salvo hipóteses específicas de conservação. Traduzindo: guardar tudo para sempre, sem critério, deixou de ser uma opção neutra. Boa parte desse controle é a mesma disciplina que sustenta a governança de atividades e a rastreabilidade da operação.

Controlador, operador e encarregado: quem é quem

A LGPD organiza responsabilidades em papéis. O controlador é quem toma as decisões sobre o tratamento; o operador realiza o tratamento em nome do controlador. Uma prefeitura que contrata uma empresa para digitalizar vistorias costuma ser controladora, enquanto a empresa atua como operadora, e o contrato entre elas deveria deixar esses papéis claros.

Há também o encarregado (conhecido como DPO, na sigla em inglês). O artigo 41 determina que o controlador indique um encarregado pelo tratamento de dados pessoais, cuja identidade e contato devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site. A ANPD pode estabelecer hipóteses de dispensa da indicação conforme a natureza e o porte da entidade e o volume de operações, mas o ponto de partida é ter esse responsável definido.

Segurança da informação não é opcional

O artigo 46 exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação indevida. Na operação, isso significa coisas bem tangíveis: controle de quem acessa cada informação, senhas individuais em vez de logins compartilhados, e registro dos acessos.

Esse é um dos motivos pelos quais planilhas soltas e grupos de mensagens se tornam um problema: não há controle de acesso nem trilha de quem viu o quê. É um tema que se conecta com os sinais de que a operação já passou do ponto de usar planilhas.

Incidente de segurança: o prazo de 3 dias úteis

Quando algo dá errado (um vazamento, um dispositivo perdido, um acesso indevido), a LGPD impõe obrigações. O artigo 48 estabelece que o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

O detalhe operacional está no prazo. Segundo o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, a comunicação à ANPD e aos titulares deve ser feita pelo controlador no prazo de 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Para agentes de pequeno porte, esse prazo é contado em dobro. Se faltarem informações completas, é possível comunicar em etapas (preliminar e complementar), com o complemento em até 20 dias úteis.

Repare que o prazo começa a correr quando a organização toma conhecimento do incidente. Sem registro confiável de acessos e eventos, é difícil sequer saber que houve um incidente, quanto mais responder dentro do prazo. A capacidade de comunicar rápido depende da capacidade de detectar.

Um ponto de partida prático

A adequação à LGPD é um processo contínuo, não uma tarefa de um dia. Alguns movimentos, porém, costumam ser bons pontos de partida para uma operação:

• Mapear quais dados pessoais a operação coleta e para qual finalidade cada um serve.
• Rever formulários de campo e eliminar campos que não têm finalidade clara (minimização).
• Definir quem pode acessar cada informação e substituir logins compartilhados por acessos individuais.
• Registrar acessos e alterações, criando trilha de auditoria.
• Indicar o encarregado e divulgar o contato publicamente.
• Ter um plano de resposta a incidentes que caiba no prazo de 3 dias úteis.