Privacidade de dados: Coleta e armazenamento sob LGPD e GDPR

Para que serve

A regulamentação de privacidade estabelece regras para o tratamento de dados pessoais em formatos físicos e digitais. No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD), instituída pela Lei nº 13.709/2018, visa resguardar direitos fundamentais de liberdade e privacidade. Na União Europeia, o Regulamento Geral sobre a Proteção de Dados (GDPR) cumpre função equivalente.

Essas normas definem o que é tratamento: qualquer atividade que utilize dados pessoais. Isso engloba operações como coleta, recepção, classificação, acesso, reprodução, processamento, arquivamento, armazenamento, transmissão, distribuição, modificação e eliminação.

A legislação divide as informações tratadas em três categorias técnicas principais:

• Dado pessoal: qualquer dado referente a uma pessoa natural identificada ou identificável.
• Dado pessoal sensível: informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, além de registros sobre saúde, vida sexual, características genéticas ou biometria.
• Dado anonimizado: informação relativa a um titular que não pode ser identificado com o uso de meios técnicos razoáveis e disponíveis no momento do processamento.

Para a engenharia e a infraestrutura de tecnologia, compreender esses termos serve para planejar bancos de dados e repositórios. Isso garante o cumprimento de princípios como a autodeterminação informativa, a segurança e a inviolabilidade da imagem e dos direitos fundamentais.

Quando faz sentido para a sua empresa

A aplicação das exigências regulatórias ocorre em operações específicas de negócio e arquitetura técnica.

A LGPD incide obrigatoriamente quando:

• A operação de tratamento de dados é executada no território brasileiro.
• A atividade de tratamento visa a oferta ou o fornecimento de bens ou serviços para indivíduos situados no Brasil.
• Os dados pessoais tratados tenham sido coletados no território nacional, considerando-se coletados aqueles cujo titular estava no país no momento da coleta.

A localização dos servidores físicos não afasta essas obrigações. A lei aplica-se independentemente do meio utilizado, do país da sede da companhia ou do país onde os dados estão armazenados.

A conformidade também se torna prioritária em fluxos internacionais. Dados provenientes do exterior estão sujeitos a regras específicas caso envolvam comunicação, compartilhamento com outros agentes brasileiros ou transferência para terceiros países. Nesses casos, exige-se grau de proteção equivalente ou a utilização de salvaguardas formais, como decisões de adequação, cláusulas contratuais padrão (SCC) e regras corporativas vinculativas (BCR), conforme estabelecido no âmbito do GDPR.

Por outro lado, a LGPD traz exceções expressas. A lei não se aplica ao tratamento de dados feito por pessoa natural exclusivamente para fins particulares e não econômicos. Também não atinge dados tratados para fins puramente jornalísticos, artísticos ou de segurança pública e defesa do Estado, que contam com regimes legais específicos.

Passo a passo para começar

A estruturação dos ciclos de coleta e armazenamento deve seguir etapas claras de conformidade:

1. Mapear e classificar os dados coletados: Registre todas as entradas de dados nos sistemas da empresa. Separe dados cadastrais comuns de dados sensíveis (biometria, dados de saúde ou convicções pessoais) para aplicar controles rigorosos e isolar bases com criticidade elevada.

2. Definir os papéis dos agentes de tratamento: Identifique quem assume o papel de controlador (responsável pelas decisões do tratamento) e de operador (que executa o processamento a mando do controlador). Essa divisão determina responsabilidades técnicas e contratuais entre plataformas contratadas e a sua operação.

3. Designar formalmente o encarregado: Indique a pessoa responsável por atuar como canal de comunicação entre a empresa, os titulares dos dados e a autoridade pública fiscalizadora, como a Agência Nacional de Proteção de Dados (ANPD).

4. Configurar os bancos de dados para armazenamento seguro: Estruture os bancos de dados eletrônicos estabelecendo controles estritos de controle de acesso, modificação, reprodução e descarte. Avalie a aplicação de anonimização nos dados que não demandem a identificação direta do titular.

5. Adequar o registro de operações ao nível de risco: Mantenha documentação técnica das operações de tratamento. Nos modelos internacionais inspirados na simplificação regulatória de 2025 para pequenas e médias empresas (organizações com menos de 750 funcionários), a manutenção obrigatória desses registros concentra-se em operações que apresentem alto risco ao titular.

6. Preparar procedimentos para transferências e solicitações: Caso existam integrações e transferências para centros de dados internacionais, confirme o enquadramento em decisões de adequação ou cláusulas padrão reconhecidas pelas autoridades. Prepare os canais técnicos para responder a pedidos de acesso e eliminação de informações.

Cuidados e erros comuns

• Ignorar a presença territorial do titular: Um erro frequente é acreditar que bases hospedadas fora do território brasileiro não respondem à legislação local. Se o indivíduo estava no país no momento da coleta, a LGPD é aplicada integralmente.

• Tratar dados sensíveis sem segmentação técnica: Tratar biometria, informações de saúde ou dados sindicais da mesma forma que identificadores simples aumenta o risco regulatório. Esses registros exigem isolamento em repositórios controlados.

• Misturar atribuições de controlador e operador: Não definir por contrato quem determina as diretrizes de tratamento gera passivos regulatórios. Cada agente responde conforme seus limites de atuação técnica e decisória.

• Negligenciar exigências em transferências internacionais: O envio de dados para servidores ou parceiros no exterior deve obedecer a instrumentos formais reconhecidos, como garantias contratuais de salvaguarda ou transferências para países com grau de proteção adequado.

• Armazenamento de dados sem finalidade definida: Reter dados pessoais de forma permanente sem processo de controle e descarte viola os princípios da proteção informativa. As operações de arquivamento devem prever fases para eliminação segura da informação.