LGPD em automações e sistemas: checklist para manter a conformidade

Para manter uma automação em conformidade com a LGPD, cada fluxo que trata dados pessoais precisa ter uma base legal definida (o consentimento é só uma das hipóteses previstas na lei), uma finalidade clara, apenas os dados necessários, acesso restrito, registro do que foi feito e um caminho para atender os pedidos do titular. O checklist deste artigo organiza esses pontos para automações e sistemas, mas não substitui a orientação de um advogado para o seu caso.

LGPD em poucas palavras

A Lei Geral de Proteção de Dados (Lei 13.709/2018) (abre em nova aba) regula como empresas e órgãos públicos tratam dados pessoais no Brasil. Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I): nome, telefone, e-mail, CPF, endereço, histórico de compras. Alguns dados são sensíveis, como os referentes à saúde, à origem racial ou étnica, à convicção religiosa e os dados genéticos ou biométricos (art. 5º, II), e têm regras mais rígidas.

Para a lei, tratamento é toda operação realizada com dados pessoais, incluindo coleta, recepção, classificação, utilização, transmissão, armazenamento e eliminação (art. 5º, X). Ou seja: praticamente tudo o que uma automação faz.

As sanções administrativas, aplicadas pela ANPD, vão da advertência à multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). A lei prevê ainda a publicização da infração e o bloqueio ou a eliminação dos dados envolvidos, entre outras medidas.

Por que automações exigem atenção extra?

Uma automação trata dados em escala e sem ninguém olhando cada caso. Um erro de configuração que, feito à mão, afetaria um cliente, numa automação afeta todos. Além disso, os fluxos costumam:

• Copiar o mesmo dado para vários sistemas, como CRM, planilha, ferramenta de e-mail e WhatsApp, multiplicando os lugares onde ele precisa ser protegido e, um dia, eliminado.
• Guardar registros de execução (logs) com dados pessoais, que ficam esquecidos.
• Passar dados por ferramentas de terceiros, que atuam como operadores e devem seguir as instruções da sua empresa (art. 39).
• Usar IA para classificar ou decidir sobre pessoas, o que envolve o direito de revisão de decisões automatizadas (art. 20).

Preciso de consentimento para tudo? As bases legais do art. 7º

Não, e esse é o equívoco mais comum. O artigo 7º lista as hipóteses em que o tratamento de dados pessoais é permitido, e o consentimento é apenas uma delas. As mais frequentes no dia a dia de empresas privadas:

Os exemplos servem para ilustrar; a base de cada fluxo deve ser definida com apoio jurídico. Quando a base é o legítimo interesse, a lei pede atenção especial ao registro das operações (art. 37).

Quando a base é o consentimento, ele precisa ser uma manifestação livre, informada e inequívoca, para uma finalidade determinada (art. 5º, XII). A lei acrescenta que:

• O consentimento deve ser dado por escrito ou por outro meio que demonstre a vontade do titular, e cabe à empresa provar que o obteve (art. 8º, caput e § 2º).
• Autorizações genéricas são nulas: o consentimento se refere a finalidades determinadas (art. 8º, § 4º).
• O titular pode revogá-lo a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º).

Para a automação, isso significa registrar o consentimento com data, hora, canal, texto exibido e finalidade, e fazer a revogação interromper todos os fluxos que dependem dele.

Princípios da LGPD na prática da automação

O artigo 6º lista os princípios que todo tratamento deve seguir, além da boa-fé. Os que mais aparecem em automações:

• Finalidade: o dado é usado para o propósito informado ao titular. Quem deixou o telefone para receber um orçamento não autorizou, com isso, entrar numa lista de promoções.
• Necessidade: colete o mínimo necessário. Se o fluxo não usa CPF ou data de nascimento, não peça.
• Transparência: informe com clareza quem trata os dados, para quê e por quanto tempo.
• Segurança e prevenção: medidas técnicas e administrativas contra acesso indevido, perda e vazamento.
• Responsabilização e prestação de contas: a empresa precisa conseguir demonstrar o que fez para cumprir a lei.

Segurança em sistemas e automações: o básico

O artigo 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados, e o seu § 2º determina que elas sejam observadas desde a concepção do produto ou serviço. Em sistemas e automações, o básico inclui:

• Acesso por função: cada pessoa e cada integração acessa só o que precisa.
• Credenciais protegidas: senhas e chaves de API guardadas em local seguro, nunca coladas em planilhas ou mensagens.
• Conexões criptografadas: HTTPS em todas as telas e integrações.
• Validação de entrada: o sistema verifica os dados que chegam por formulários e integrações, o que previne ataques como a injeção de SQL.
• Autenticação reforçada: senhas fortes, limite de tentativas de login e verificação em duas etapas para acessos administrativos.
• Logs sob controle: registros de execução com prazo de retenção e sem dados desnecessários.
• Backups testados e atualizações em dia: uma cópia que nunca foi restaurada não é garantia.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48). Registros organizados são o que permite responder rápido o que aconteceu, com quais dados e com quem.

Quais são os direitos do titular e os prazos?

O artigo 18 garante ao titular, entre outros direitos, a confirmação da existência de tratamento, o acesso aos dados, a correção, a anonimização, o bloqueio ou a eliminação de dados desnecessários, a portabilidade, a informação sobre compartilhamento e a revogação do consentimento. Para confirmar a existência de tratamento ou dar acesso aos dados, o artigo 19 prevê dois formatos: simplificado, imediatamente, ou uma declaração clara e completa, em até 15 dias contados do requerimento.

Quando uma decisão é tomada unicamente com base em tratamento automatizado e afeta os interesses do titular, como a definição de um perfil de consumo ou de crédito, ele pode pedir a revisão (art. 20). Se a sua automação aprova, recusa ou classifica pessoas, defina quem revisa e como.

A empresa também deve indicar um encarregado pelo tratamento de dados (art. 41), mas a ANPD pode prever dispensas. A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte, desde que mantenham um canal de comunicação com o titular, e essa dispensa não vale para quem realiza tratamento de alto risco, entre outras exceções.

WhatsApp e mensagens automáticas: opt-in e finalidade

Mensagens automáticas são onde a LGPD mais aparece no dia a dia. Além da base legal e da finalidade, há as regras da plataforma: na Plataforma WhatsApp Business, a Meta exige opt-in antes de a empresa enviar mensagens, deixando claro que a pessoa aceita receber comunicações e de qual empresa. Boas práticas:

• Separe mensagens de serviço (pedido, agenda, cobrança) de mensagens promocionais, cada uma com a sua base legal.
• Ofereça uma forma simples de parar de receber e respeite o pedido em todos os fluxos.
• Não compre listas de contatos.

O guia de automação de WhatsApp para empresas detalha esses fluxos, e a página de automação de atendimento mostra como eles se encaixam na operação.

Checklist de LGPD para cada automação

Use a tabela abaixo para revisar cada fluxo, novo ou já em funcionamento.

Conformidade não é um documento assinado uma vez: é cada fluxo saber por que trata um dado, por quanto tempo e quem pode vê-lo.

Automações que ajudam a cumprir a LGPD

A automação também pode trabalhar a favor da conformidade:

1. Registro de consentimento: cada aceite e cada revogação gravados com data, hora, canal e finalidade.
2. Eliminação por prazo: um fluxo que elimina ou anonimiza dados quando o tratamento termina, respeitadas as hipóteses de conservação do art. 16, como o cumprimento de obrigação legal.
3. Relatório do titular: reunir, a partir dos vários sistemas, os dados de uma pessoa para responder dentro do prazo do art. 19.
4. Trilha de auditoria: registrar quem acessou, alterou ou exportou dados pessoais.

Para isso funcionar, os sistemas personalizados e as integrações precisam ser pensados com esses pontos desde o início, e não remendados depois. Se você vai automatizar um processo que envolve dados de clientes, leve este checklist para a conversa com quem vai desenvolver, inclusive no diagnóstico da Lutz Solution.