Toda empresa que contrata ou desenvolve software trata dado pessoal em algum ponto: cadastro de clientes, dados de colaboradores, registros de acesso. A LGPD não traz um checklist técnico. Ela exige que a proteção seja pensada desde a concepção do produto ou do serviço até a sua execução (art. 46, § 2º). Na prática, os requisitos de privacidade precisam estar no escopo do projeto, e não num ajuste feito depois que o sistema entra no ar.
Este texto é orientação técnica de quem implementa sistemas, não parecer jurídico. Decisão sobre base legal, contrato e risco regulatório deve passar por advogado.
Antes do código: saber quais dados o sistema vai tratar
Nenhum requisito técnico faz sentido sem um inventário dos dados. A lei chama isso de registro das operações de tratamento (art. 37). Num projeto de software, esse levantamento cabe no documento de escopo e deve responder, para cada conjunto de dados pessoais:
- Que dado é coletado (nome, CPF, telefone, histórico de compra);
- Para quê: a finalidade específica, não "para melhorar o atendimento";
- Onde fica: em qual sistema, banco de dados, integração ou arquivo;
- Quem acessa: quais perfis de usuário e quais fornecedores;
- Por quanto tempo, e o que acontece depois;
- Com que base legal: por exemplo, consentimento, execução de contrato, obrigação legal ou legítimo interesse.
Esse levantamento costuma revelar riscos maiores que qualquer questão jurídica: cópia do banco de produção usada em ambiente de teste, backup antigo sem controle de acesso, integração que envia mais campos do que o sistema de destino precisa.
Consentimento não é a base legal padrão
O erro mais comum é achar que tudo precisa de consentimento. A LGPD prevê dez bases legais para dados pessoais (art. 7º), e consentimento costuma ser a pior escolha: o titular pode revogá-lo a qualquer momento, e aí o tratamento apoiado nele precisa parar.
Para dado de cliente necessário à entrega do serviço, a base natural é execução de contrato. Para emissão de nota e guarda fiscal, é obrigação legal. Consentimento faz sentido para o que é genuinamente opcional, como comunicação de marketing. A escolha da base define requisitos do sistema: tratamento apoiado em consentimento exige registrar quando e como ele foi dado e permitir a revogação.
Os requisitos técnicos que devem constar do escopo
Da perspectiva de quem constrói sistemas, cinco medidas entregam a maior parte da proteção. Elas devem aparecer no escopo como requisito, com critério de aceite:
- Acesso por perfil. Cada usuário vê apenas o dado de que precisa para a sua função. É a medida mais eficaz e a mais negligenciada: é comum todos terem acesso de administrador "porque é mais prático";
- Autenticação individual e segundo fator. Login compartilhado inviabiliza qualquer rastreabilidade: sem saber quem fez, não há como responder a um incidente;
- Registro de acesso. Log de quem consultou ou alterou dado pessoal, com data. É o que permite responder "seus dados foram acessados indevidamente?";
- Criptografia em trânsito e em repouso. HTTPS é o básico; banco de dados e backups também devem estar cifrados;
- Backup testado. A LGPD exige proteger os dados contra perda e destruição acidental (art. 46), e backup que nunca foi restaurado em teste não garante nada.
Retenção: eliminar também é requisito
É a parte que quase todo projeto deixa de fora. A lei exige eliminar o dado quando a finalidade termina: guardar tudo para sempre é descumprimento, além de aumentar o tamanho do prejuízo em caso de vazamento.
Na prática: defina prazo por tipo de dado, respeitando as guardas legais (fiscal e trabalhista têm prazos próprios), e trate a eliminação ou a anonimização como funcionalidade do sistema. Rotina de expurgo agendada resolve o que política escrita não resolve.
Direitos do titular: o sistema precisa responder
O titular pode pedir confirmação de tratamento, acesso, correção, portabilidade e eliminação. O sistema não precisa de portal de autoatendimento, mas precisa permitir localizar, exportar e corrigir os dados de uma pessoa sem consulta manual ao banco de dados. A declaração completa deve sair em até 15 dias (art. 19), prazo difícil de cumprir quando os dados estão espalhados em sistemas que não conversam. Agentes de pequeno porte têm regras simplificadas pela Resolução CD/ANPD nº 2/2022, mas o canal de atendimento ao titular continua obrigatório.
Incidentes: o registro vem antes do problema
Quando um incidente de segurança pode causar risco ou dano relevante aos titulares, a empresa deve comunicá-lo à ANPD e aos titulares afetados (art. 48). Sem registro de acesso e sem saber quais dados estão em cada sistema, não há como dizer o que foi exposto, e a comunicação não sai com a precisão que a lei exige.
Fornecedores: o que exigir em contrato
Quem desenvolve ou hospeda um sistema com dados dos seus clientes atua como operador, e a sua empresa continua responsável perante o titular. O operador deve seguir as instruções do controlador (art. 39) e responde solidariamente quando descumpre a lei ou essas instruções (art. 42). Por isso, o contrato de desenvolvimento e de hospedagem deve deixar claro onde os dados ficam hospedados, quais medidas de segurança são obrigatórias, como e em que prazo um incidente é comunicado, e o que acontece com os dados ao fim do contrato.
Revisar esses pontos antes de assinar costuma evitar mais risco do que uma auditoria de código feita depois.