Seis erros de base legal que aparecem em projeto de LGPD

Depois de montar o inventário de dados, é comum descobrir que as bases legais foram preenchidas por hábito, não pela operação real. Corrigir essa etapa evita registros inconsistentes, políticas desconectadas da rotina e respostas frágeis a clientes, titulares e auditorias.

1. Usar consentimento para obrigações trabalhistas, fiscais e contratuais

Um dos erros comuns LGPD empresa é marcar consentimento para qualquer tratamento que envolva cadastro, documento ou assinatura. Isso ocorre muito em folha de pagamento, emissão de nota fiscal, controle de ponto, admissão e cobrança.

Consentimento LGPD quando usar não significa “quando for mais simples pedir uma autorização”. Ele deve ser livre, informado e inequívoco. Se a pessoa não tem uma escolha real, como um empregado que precisa informar dados para receber salário, o consentimento tende a ser uma base inadequada.

Para aprofundar: Resolução 2/2022 e a empresa de pequeno porte.

Em folha de pagamento e cumprimento de deveres trabalhistas, previdenciários e tributários, a hipótese costuma ser o cumprimento de obrigação legal ou regulatória. Na emissão de nota fiscal, a mesma lógica normalmente se aplica, considerando as regras fiscais pertinentes.

Já no cadastro necessário para prestar um serviço contratado, a base legal LGPD pode ser a execução de contrato ou de procedimentos preliminares relacionados ao contrato, a pedido do titular.

A correção não é trocar o nome da base na matriz. Revise a finalidade, identifique qual obrigação ou qual etapa contratual exige o dado e registre apenas os dados necessários. Se houver uso adicional, como oferta de outro serviço ou envio de conteúdo promocional, ele precisará de análise própria.

2. Aplicar legítimo interesse sem teste de balanceamento documentado

O legítimo interesse é uma hipótese legal possível, mas não é uma autorização genérica para marketing, prevenção a fraudes, segurança ou reaproveitamento de cadastros. A empresa precisa demonstrar por que seu interesse é legítimo e por que ele não supera os direitos e liberdades do titular.

O legítimo interesse teste deve ser feito por operação. Não basta escrever “legítimo interesse” na coluna de uma planilha e concluir que o caso está resolvido.

O que registrar no teste

O documento pode ser simples, desde que seja objetivo e recuperável. Para cada tratamento, registre:

• a finalidade específica e o benefício esperado;
• o interesse legítimo da empresa ou de terceiro;
• a necessidade do tratamento, inclusive se há alternativa menos invasiva;
• os dados envolvidos e os titulares afetados;
• os riscos de impacto ao titular;
• as salvaguardas adotadas, como limitação de acesso, prazo de retenção, canal de oposição e transparência;
• a conclusão, com responsável e data de revisão.

Por exemplo, um e-commerce pode avaliar o uso de dados de compra para prevenir fraude. Isso não significa que poderá usar os mesmos dados para enviar ofertas sem critério, compartilhar listas com parceiros ou manter perfis indefinidamente.

O que costuma dar errado é confundir interesse comercial com legítimo interesse. O interesse da empresa existe, mas precisa ser compatível com a expectativa razoável do titular e proporcional ao impacto causado. Quando houver dúvida relevante, a revisão jurídica e de privacidade deve ocorrer antes de liberar a operação.

3. Tratar dado de saúde e biometria como se tivesse as bases comuns

Dados sobre saúde, biometria vinculada a uma pessoa, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual e genética são dados pessoais sensíveis. Eles seguem a lista própria de hipóteses prevista na LGPD.

O erro aparece quando uma clínica registra “legítimo interesse” para prontuários ou quando uma empresa usa a mesma base legal de um cadastro comum para controlar acesso por biometria. Legítimo interesse não é hipótese aplicável ao tratamento de dados pessoais sensíveis.

Para dados sensíveis, a LGPD prevê, entre outras situações, consentimento específico e destacado, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, proteção da vida, tutela da saúde em procedimento realizado por profissionais ou serviços de saúde, e prevenção à fraude e segurança do titular em processos de identificação e autenticação.

A hipótese correta depende do processo. Uma clínica pode tratar dados de saúde necessários ao atendimento e à tutela da saúde, mas isso não autoriza usar essas informações para campanhas comerciais. Uma empresa que utiliza biometria para acesso deve avaliar se a medida é realmente necessária, quais riscos existem e se há alternativa menos invasiva.

A correção exige separar o processo principal dos usos acessórios. Também é necessário restringir acessos, definir retenção, prever descarte seguro e atualizar avisos de privacidade. Dado sensível pede um nível maior de precisão operacional.

4. Escolher uma base legal por sistema, e não por operação

Um CRM, um sistema escolar ou uma plataforma de RH não têm uma única base legal. O mesmo sistema pode reunir operações com finalidades completamente diferentes.

Em um CRM, por exemplo, pode haver cadastro de prospect, atendimento de cliente, execução de contrato, cobrança, envio de campanha, registro de reclamação e gestão de solicitações de titulares. Cada uma dessas atividades pode exigir análise própria.

Para não recomeçar essa análise a cada cliente, veja a base legal sugerida por setor do Mapadados.

A pergunta correta não é “qual é a base legal do CRM?”. É: “para qual finalidade este dado é tratado nesta operação, por quem, por quanto tempo e com qual justificativa?”

Como revisar a matriz sem recomeçar o inventário

1. Liste as operações reais dentro de cada sistema, evitando rótulos genéricos como “gestão de clientes”.
2. Descreva a finalidade em uma frase verificável, como “emitir cobrança mensal do contrato ativo”.
3. Relacione as categorias de dados estritamente necessárias.
4. Escolha a hipótese legal aplicável àquela finalidade.
5. Defina retenção, acessos, compartilhamentos e evidências que sustentem a decisão.
6. Revise usos secundários, especialmente marketing, relatórios, integrações e exportações.

Esse trabalho dá mais esforço do que preencher uma única célula por ferramenta, mas reduz retrabalho. Para uma consultoria que atende várias pequenas empresas, o ganho está em padronizar o método de análise, sem padronizar conclusões que dependem da rotina de cada cliente.

5. Errar no tratamento de dados de crianças e adolescentes

Dados de crianças e adolescentes exigem atenção ao princípio do melhor interesse. A LGPD determina que o tratamento de dados pessoais de crianças deve ser realizado com consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, salvo exceções legais restritas.

Não é suficiente incluir uma caixa genérica de aceite em um formulário. A empresa precisa verificar, de modo compatível com o risco da operação, quem fornece a autorização e quais dados são realmente necessários.

A lei permite a coleta de dados de criança sem consentimento em situações específicas, como para contatar os pais ou responsável legal uma única vez, sem armazenamento, ou para proteção da criança. Essas exceções não devem ser usadas como atalho para cadastro, marketing ou perfilamento.

No caso de adolescentes, a análise também deve considerar o melhor interesse, a finalidade e a transparência adequada à sua compreensão. Em operações de maior risco, como serviços de saúde, educação, plataformas digitais ou decisões automatizadas, vale envolver responsável, área jurídica e encarregado desde o desenho do processo.

O problema prático geralmente está no formulário. Revise campos obrigatórios, linguagem, documentos solicitados, compartilhamentos com fornecedores e procedimentos para pedidos de eliminação ou atualização. A base legal LGPD precisa refletir o fluxo efetivamente usado pela empresa.

6. Copiar a matriz do cliente anterior sem revisar finalidade e retenção

Modelos aceleram a entrega, mas copiar a matriz de tratamento de outro cliente pode produzir uma conformidade apenas aparente. Duas escolas, clínicas ou lojas virtuais podem usar o mesmo software e ainda ter finalidades, contratos, integrações e prazos de guarda diferentes.

Leitura complementar: Fiscalização da ANPD e o que vem.

A retenção é o ponto mais negligenciado. A LGPD não cria um prazo único para todos os dados. O período deve ser definido conforme a finalidade, obrigações legais ou regulatórias aplicáveis, necessidade de exercício de direitos, contratos e regras setoriais que possam variar.

Uma base legal correta no início pode deixar de justificar a manutenção do dado depois. Dados coletados para uma proposta comercial que não avançou, por exemplo, não devem permanecer para sempre apenas porque entraram no CRM.

Antes de reutilizar uma matriz, revise ao menos:

• finalidade e fluxo real da operação;
• categorias de dados tratadas;
• perfil dos titulares;
• operadores e compartilhamentos;
• base legal aplicável;
• prazo de retenção e critério de descarte;
• medidas de segurança e responsáveis pelo acesso.

Esse é um trabalho de revisão, não de reinvenção. A equipe pode manter uma biblioteca de processos e controles, mas deve validar o que muda em cada cliente. Isso é especialmente importante para quem atua como encarregado terceirizado e precisa sustentar as escolhas feitas em reuniões, relatórios e respostas a questionamentos.

Conclusão

Revisar bases legais não é uma tarefa isolada de documento. É a conferência entre finalidade, dado, processo, retenção e controle operacional. Quando a base não corresponde ao que a empresa faz, o inventário perde valor como instrumento de gestão e evidência de conformidade.

O Mapadados ajuda a organizar essa revisão a partir dos processos reais, como matrícula, atendimento, admissão, cobrança e checkout, em vez de começar por uma matriz abstrata. Para entender como isso se encaixa na rotina da sua consultoria ou empresa, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Mapadados.