← todos os posts
Segurança 6 min de leitura

"LGPD pra quem tem um app pequeno: o mínimo honesto"

Você guarda nome, telefone e CPF de cliente num app que a IA gerou. O que a lei diz, lido no texto dela, e as seis coisas a fazer hoje.

"Imagina você exportar dados de pacientes para o seu sistema que fica armazenada na sua conta pessoal?"

É de um programador, num fórum brasileiro, sobre os sistemas que cada setor anda montando com IA. Ele diz como quem assusta. Eu respondo como quem constrói: sim, imagina. É o que uma clínica, um escritório, uma loja faz quando troca a planilha por um app. Nome, telefone, CPF, às vezes o motivo da consulta. Isso agora mora num banco que a plataforma criou, numa conta com o seu e-mail.

Duas reações aparecem aqui, e as duas erram: o pânico ("vou ser multado em 50 milhões") e o "isso é pra empresa grande". Este post é o meio: o que a lei diz, lido no texto dela e no material da ANPD (a Autoridade Nacional de Proteção de Dados, o órgão que fiscaliza), e a lista do que fazer hoje. Não é consultoria jurídica. É o mínimo operacional de quem construiu o sistema.

A frase que muda a cabeça

A LGPD (Lei 13.709/2018) resolve a dúvida "mas eu não programei isso" numa definição. O artigo 5º chama de controlador a "pessoa natural ou jurídica [...] a quem competem as decisões referentes ao tratamento de dados pessoais". Quem decide o que é feito com o dado, não quem escreveu o código.

Você decidiu cadastrar cliente com CPF. Você decidiu guardar. Você é o controlador; a plataforma que gerou o app não é, e a IA muito menos. E a lei fecha a porta do "sou pessoa física": o artigo 4º só exclui o tratamento "realizado por pessoa natural para fins exclusivamente particulares e não econômicos". Um app que serve o seu negócio é econômico.

Não é pra assustar. É pra tirar da mesa a ideia de que a responsabilidade foi junto com o código pra conta da plataforma. Ficou com quem manda, que é o que este blog chama de ser dono.

O que a lei pede, traduzido

Três artigos bastam.

Artigo 6º, os princípios. Dois interessam a app pequeno. Necessidade: "limitação do tratamento ao mínimo necessário". Transparência: "informações claras, precisas e facilmente acessíveis" sobre o que você faz com o dado.

Artigo 18, os direitos do cliente. Ele pode pedir a você, "a qualquer momento", a "confirmação da existência de tratamento", o "acesso aos dados", a "correção" e a "eliminação". Se um cliente pedir pra apagar o cadastro, você precisa saber onde ele está e conseguir apagar.

Artigo 46, a segurança. "Medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados", e o parágrafo 2º diz que isso vale "desde a fase de concepção do produto". O teste dos dois usuários, em que a conta B tenta ver o dado da A, é a versão de cinco minutos desse artigo. Isolamento de dado é requisito da lei antes de ser requisito técnico.

Sobre a multa: o artigo 52 prevê advertência com prazo pra corrigir, e multa "de até 2% do faturamento [...] limitada, no total, a R$ 50 milhões por infração". "Até" é teto, e a advertência vem antes. Isso não prova que app pequeno não é punido; prova que o número do susto é o máximo, não a regra.

O regime pra quem é pequeno

A ANPD tem regra própria pra "agentes de tratamento de pequeno porte" (Resolução CD/ANPD nº 2/2022), que inclui microempresa, startup e "pessoas naturais [...] que realizam tratamento de dados pessoais". Três coisas dela cabem no seu bolso: não precisa nomear encarregado, só ter um canal de comunicação com o titular (um e-mail que funciona); o registro das operações pode ser simplificado, em modelo que a ANPD fornece; e os prazos de incidente contam em dobro.

Um limite: o regime não vale pra "tratamento de alto risco", que inclui dado sensível (saúde, por exemplo) em larga escala. Clínica com prontuário no app está na zona cinza; é onde este post para e um advogado começa.

O mínimo, em seis linhas

Cada linha com o artigo que a sustenta e o que você faz hoje.

  1. Só peça o dado que usa (art. 6º, III). Abra o cadastro do seu app e apague o campo que nunca consultou. CPF de quem não recebe nota fiscal é o primeiro candidato.
  2. Diga na tela pra que serve (art. 6º, VI). Uma frase embaixo do formulário: "usamos seu telefone só pra confirmar o agendamento". Não é termo de 40 páginas.
  3. Saiba onde ele está guardado (art. 6º, X, prestação de contas). O inventário de uma folha: serviço, conta, em nome de quem.
  4. Saiba quem mais tem acesso (art. 46). Quem tem a senha da plataforma e do banco. O checklist de segurança da ANPD pra pequeno porte pede "autenticação multifator para acessar sistemas ou base de dados que contenham dados pessoais": ligue o segundo fator na conta do banco hoje.
  5. Saiba apagar quando o cliente pedir (art. 18, VI). Teste com um cadastro seu: apague e confira se sumiu do banco, não só da tela.
  6. Tenha backup (art. 46, "perda, alteração"). O mesmo checklist pede "backups offline, periódicos". Um que já foi restaurado.

E a sétima, que ninguém quer ler: se vazar, a Resolução CD/ANPD nº 15/2024 dá três dias úteis pra comunicar a ANPD e os clientes, contados "do conhecimento pelo controlador de que o incidente afetou dados pessoais". Pequeno porte, seis. Não é pra decorar; é pra saber que o prazo existe e é curto.

O que este post não é

Não é parecer, não substitui advogado, não cobre dado sensível em escala. É a lista que separa "nunca pensei nisso" de "sei onde está, sei quem acessa, sei apagar". É o N do ciclo: não aceitar que está protegido sem conferir.

E é uma parede no meio de outras. Saber onde o dado mora depende de ser dono do banco; apagar de verdade depende de regra de acesso que funciona; backup depende de saber restaurar. Tem ordem. A lei não pede que você vire programador. Pede que você seja quem decide, e responda pelo que decidiu.

Fontes