LGPD no sistema da sua empresa: o mínimo obrigatório
O que a LGPD exige do sistema da sua empresa na prática: base legal, controle de acesso, registro, prazo de retenção e resposta ao titular.
Resposta rápida
Na prática, a LGPD exige cinco coisas do sistema: saber qual dado pessoal você guarda e por quê, restringir o acesso a quem precisa dele, registrar quem acessou e alterou, definir por quanto tempo o dado fica e eliminá-lo depois, e conseguir responder quando o titular pedir acesso ou exclusão. Nenhuma dessas é funcionalidade avançada — são decisões de projeto que custam pouco quando feitas desde o começo e caro quando adaptadas depois.
Neste artigo
LGPD costuma chegar à empresa como documento jurídico: política de privacidade, termo de consentimento, aviso de cookies. Isso é a parte visível.
A parte que importa para quem desenvolve o sistema é outra, e é bem mais concreta: o sistema precisa conseguir fazer certas coisas. Se ele não consegue, nenhuma política resolve.
Este texto não é orientação jurídica — é o que, na prática, costuma ser exigido do software.
As cinco capacidades
1. Saber o que você guarda e por quê
Antes de qualquer medida técnica: liste onde há dado pessoal. No sistema, nas planilhas, nos e-mails, nas pastas compartilhadas, no backup.
Para cada conjunto, responda: qual a finalidade e qual a base legal.
Base legal não é só consentimento. Executar um contrato, cumprir obrigação legal e legítimo interesse são bases igualmente válidas — e frequentemente mais adequadas. Pedir consentimento para algo que a empresa precisa fazer de qualquer jeito cria um problema: o titular pode revogar.
2. Restringir acesso a quem precisa
Permissão por pessoa, não por empresa inteira.
É aqui que planilha compartilhada falha estruturalmente, como descrito em riscos de planilha compartilhada: ou a pessoa abre tudo, ou não abre nada.
No sistema, isso significa perfis definidos pelo que cada função precisa ver. Atendente não precisa ver salário. Estagiário não precisa ver dado de saúde.
3. Registrar quem acessou e alterou
Se houver incidente, a empresa precisa conseguir dizer o que aconteceu. Sem registro, não há resposta.
O mínimo: quem acessou qual registro, quando, e quem alterou o quê. Para dado sensível, isso deixa de ser boa prática e passa a ser esperado.
4. Definir prazo e eliminar depois
Dado pessoal não deve ser guardado para sempre. Fica pelo tempo necessário à finalidade, mais o que a lei exigir de guarda.
O erro comum não é guardar demais por decisão — é nunca ter decidido. Definir prazo por tipo de dado e eliminar automaticamente é uma das medidas mais simples e mais eficazes.
Isso vale também para backup e para o arquivo antigo da migração, assunto de migrar dados sem perder histórico.
5. Responder ao titular
A pessoa pode pedir para saber quais dados você tem, corrigir o que está errado e pedir exclusão.
Na prática, o sistema precisa permitir:
- Localizar todos os dados de uma pessoa, não só o cadastro principal.
- Exportar isso de forma legível.
- Excluir o que não tem obrigação legal de manter, sem quebrar o histórico contábil.
Esse último ponto é o que mais pega sistemas antigos: excluir o cliente apaga a venda, e a venda tem obrigação fiscal de ser mantida. A solução é anonimizar o dado pessoal preservando o registro da transação — e isso precisa ser pensado antes do primeiro pedido chegar.
O que custa pouco se feito desde o começo
Se você está contratando um sistema agora, inclua no escopo:
- Perfis de acesso definidos por função.
- Registro de acesso e alteração.
- Campo de data de criação em tudo, para viabilizar política de retenção.
- Capacidade de anonimizar sem apagar transação.
- Exportação dos dados de um titular.
Nenhum desses é caro quando pensado no projeto. Todos são caros quando adaptados depois, com dados em produção.
O que fazer hoje, de graça
Sem trocar nada:
- Liste onde há dado pessoal, incluindo planilhas e pastas.
- Revise quem tem acesso, incluindo ex-funcionários e links de compartilhamento esquecidos.
- Separe dado sensível — saúde, biometria, origem racial — que exige cuidado maior.
- Confira os backups. Costumam ser o ponto mais esquecido e o que mais guarda dado antigo.
O item 2 normalmente revela mais acesso do que a empresa imagina, e revogar o que não deveria existir é ganho imediato sem custo.
Um aviso honesto
Nada aqui substitui orientação jurídica. A LGPD tem nuances que dependem do seu setor e do tipo de dado, e empresa que trata dado sensível em volume deveria ter apoio especializado.
O que este texto cobre é o lado do software — e esse lado é condição para o resto funcionar.
Se quiser avaliar o que o seu sistema atual consegue ou não fazer dessa lista, me chame.
Perguntas frequentes
Minha empresa é pequena, a LGPD vale para mim?
Vale. A lei se aplica a qualquer tratamento de dado pessoal no Brasil, independentemente do porte. O que muda com o tamanho é a proporcionalidade das medidas esperadas, não a obrigação de ter alguma medida. Empresa pequena com dado sensível tem exigência maior que empresa grande com dado trivial.
Preciso de consentimento para tudo?
Não. Consentimento é só uma das bases legais, e nem sempre a melhor. Executar um contrato, cumprir obrigação legal e legítimo interesse são outras. Pedir consentimento para algo que você precisa fazer de qualquer forma cria o problema de o titular poder revogá-lo.
Por quanto tempo posso guardar os dados?
Pelo tempo necessário à finalidade, mais o que a lei exigir de guarda, como documento fiscal. O erro comum é guardar tudo para sempre por não ter decidido nada. Definir prazo por tipo de dado é uma das medidas mais simples e mais eficazes.
O que fazer se o cliente pedir para excluir os dados dele?
Avaliar se existe obrigação legal de manter parte deles, como registro fiscal, e eliminar o restante, comunicando o que foi mantido e por quê. O sistema precisa permitir isso sem quebrar o histórico contábil — e é melhor pensar nisso antes do primeiro pedido chegar.
Quem escreve
Thainan Prado
Desenvolvedor full stack sênior com mais de 8 anos de experiência, responsável por sistemas em produção para empresas como OXXO, Ambev e Shell Select. Desenvolve sistemas sob medida, automações e integrações para PMEs e empresas médias de todo o Brasil.