LGPD: Guia Técnico de Implementação para Times de TI

Fundamentos da LGPD para Times de TI

A LGPD (Lei Geral de Proteção de Dados - Lei 13.709/2018) não e apenas responsabilidade do jurídico ou compliance. Times de TI e desenvolvimento são fundamentais para implementação efetiva, pois os controles técnicos determinam se a organização realmente protege dados pessoais ou apenas tem políticas no papel.

O que e dado pessoal na prática

• Óbvios: Nome, CPF, RG, email, telefone, endereço
• Menos óbvios: IP, cookies, device fingerprint, localização GPS
• Combinados: Dados que sozinhos não identificam, mas combinados sim (cargo + empresa + cidade)
• Sensíveis: Biometria (foto facial, digital), dados de saúde, religiao, orientação sexual, filiacao sindical

Mapeamento de Dados Pessoais (Data Mapping)

O primeiro passo técnico e mapear onde estão os dados pessoais na organização. Sem visibilidade, não ha como proteger.

Inventário de dados estruturado

Para cada sistema/banco de dados, documente:

• Quais dados pessoais: Campos específicos (nome, email, CPF, etc.)
• Categoria de titulares: Clientes, funcionários, leads, fornecedores
• Finalidade: Por que coletamos e usamos
• Base legal: Qual das 10 bases legais justifica
• Retenção: Quanto tempo mantemos
• Compartilhamento: Com quem compartilhamos (internamente e externamente)
• Transferência internacional: Se dados vão para fora do Brasil
• Medidas de segurança: Criptografia, controle de acesso, logs

// Exemplo de estrutura de data mapping em JSON
{
  "sistema": "CRM Salesforce",
  "dados_pessoais": [
    {
      "campo": "email",
      "tipo": "dado_pessoal",
      "titulares": ["clientes", "leads"],
      "finalidade": "comunicação comercial",
      "base_legal": "consentimento",
      "retenção": "5 anos após último contato",
      "criptografado": true,
      "compartilhado_com": ["Mailchimp", "time comercial"]
    }
  ]
}

Ferramentas para descoberta automática

• Data discovery: Varonis, BigID, OneTrust para escanear repositórios
• Database scanning: Scripts para identificar campos com padrões de PII (CPF, email)
• Cloud DLP: Google Cloud DLP, AWS Macie para dados em cloud
• Network monitoring: Identificar fluxos de dados entre sistemas

Bases Legais na Prática Técnica

Todo tratamento de dados precisa de uma base legal. A escolha impacta diretamente a implementação técnica:

Implementação técnica de consentimento

Consentimento e a base legal mais complexa tecnicamente:

• Granularidade: Consentimentos separados para finalidades diferentes
• Registro: Armazenar quando, como e para que consentiu
• Revogação: Permitir retirada tão fácil quanto concessao
• Renovação: Mecanismo para solicitar novo consentimento quando necessário

// Estrutura de registro de consentimento
{
  "titular_id": "hash_do_email",
  "consentimentos": [
    {
      "finalidade": "marketing_email",
      "concedido": true,
      "data_concessao": "2026-01-15T10:30:00Z",
      "método": "checkbox_cadastro",
      "versão_termos": "v2.3",
      "ip_origem": "hash_ip",
      "revogado": false
    }
  ]
}

Legítimo interesse - Legimate Interest Assessment (LIA)

Legítimo interesse requer balanceamento documentado entre interesse do controlador e direitos do titular. Documente tecnicamente:

• Qual o interesse legítimo específico
• O tratamento e necessário para esse interesse?
• O interesse prevalece sobre direitos do titular?
• Quais medidas de mitigação implementadas

Implementando Direitos dos Titulares

A LGPD garante 9 direitos aos titulares (Art. 18). Sua infraestrutura precisa suportar todos:

Medidas Técnicas de segurança (Art. 46)

A LGPD exige "medidas técnicas e administrativas aptas a proteger dados pessoais". Implemente defesa em profundidade:

Criptografia

• Em trânsito: TLS 1.3 para todas as comunicações, certificados válidos
• Em repouso: AES-256 para bancos de dados e storage
• Campo-nível: Criptografia específica para campos sensíveis (CPF, dados de saúde)
• Chaves: Gerenciamento adequado (HSM, KMS) com rotação periódica

Controle de acesso

• Princípio do mínimo privilégio: Acesso apenas ao necessário para função
• RBAC/ABAC: Controle baseado em papéis ou atributos
• MFA: Autenticação multi-fator para acesso a dados pessoais
• Segregação: Ambientes de produção isolados de desenvolvimento
• Revisão periódica: Auditar acessos trimestralmente

Logs e auditoria

• Quem: Usuário que acessou/modificou
• O que: Qual dado foi acessado/modificado
• Quando: Timestamp preciso
• De onde: IP, dispositivo
• Retenção: Mínimo 6 meses, idealmente 2 anos
• Integridade: Logs protegidos contra alteração

Anonimizacao e pseudonimizacao

Privacy by Design e by Default

Privacy by Design (Art. 46 §2) significa incorporar privacidade desde a concepcao de sistemas. Princípios práticos:

Minimização de dados

• Coletar apenas dados necessários para a finalidade
• Questionar cada campo: "realmente precisamos disso?"
• Definir retenção máxima na concepcao
• Automatizar expurgo quando período expirar

Privacy by Default

• Configurações mais privadas como padrão
• Compartilhamento desabilitado por padrão
• Coleta opcional como opt-in, não opt-out
• Mínimo de dados visíveis por padrão

Checklist de desenvolvimento

• [ ] Data mapping atualizado para nova feature
• [ ] Base legal definida para cada tratamento
• [ ] Campos de PII identificados e protegidos
• [ ] Retenção definida com expurgo automático
• [ ] Logs de acesso implementados
• [ ] Endpoints de direitos dos titulares atualizados
• [ ] Testes de segurança incluindo PII

DPIA - Relatório de Impacto a Proteção de Dados

O DPIA (Data Protection Impact Assessment), chamado de RIPD na LGPD, e obrigatório quando tratamento pode gerar alto risco aos titulares. A ANPD pode exigir a qualquer momento.

Quando elaborar DPIA

• Tratamento de dados sensíveis em larga escala
• Monitoramento sistemático de áreas públicas
• Decisões automatizadas com efeitos legais
• Profiling extensivo
• Transferência internacional de dados
• Novas tecnologias com risco desconhecido

Conteúdo do DPIA

1. Descrição do tratamento e finalidades
2. Avaliação de necessidade e proporcionalidade
3. Identificação de riscos aos titulares
4. Medidas de mitigação implementadas
5. Parecer do DPO
6. Aprovação da liderança

Gestão de Incidentes de Dados Pessoais

A LGPD exige comunicação a ANPD e titulares em caso de incidente de segurança que possa acarretar risco ou dano relevante (Art. 48).

Prazo de comunicação

A LGPD diz "prazo razoável" - a ANPD definiu em regulamentação: 2 dias úteis para comunicação inicial. Cronograma prático:

• 0-24h: Detecção, contenção inicial, avaliação de impacto
• 24-48h: Notificação a ANPD com informações preliminares
• 48-72h: Notificação a titulares se risco relevante
• Contínuo: Atualizações conforme investigação avança

Conteúdo da Notificação

• Descrição da natureza dos dados afetados
• Informações sobre os titulares envolvidos
• Medidas técnicas de segurança utilizadas
• Riscos relacionados ao incidente
• Medidas adotadas para reverter/mitigar
• Contato do encarregado (DPO)

Perguntas Frequentes

Conclusão

Implementar LGPD tecnicamente vai muito além de termos de uso e políticas de privacidade. Requer mudanças fundamentais em como sistemas são projetados, dados são armazenados e acessos são controlados.

O mapeamento de dados e o alicerce - sem saber onde estão os dados pessoais, não ha como protege-los ou atender direitos dos titulares. Invista tempo nesta etapa antes de implementar controles.

Automatizacao e essencial para escala. Processos manuais de atendimento a solicitações de titulares colapsam rapidamente. Construa APIs internas que permitam exercício de direitos programaticamente, com propagação automática entre sistemas.

Por fim, trate LGPD como requisito de engenharia, não como burocracia de compliance. Privacy by Design significa pensar em proteção de dados na concepcao de cada feature, não como adicao posterior. Sistemas bem projetados são naturalmente mais faceis de manter em conformidade.

Inteligência Brasil

Consultoria especializada em Privacidade, Proteção de Dados e Compliance Regulatório.