Dados acessíveis ao público continuam sujeitos à LGPD quando identificam pessoas naturais. Saiba como avaliar finalidade, base legal, riscos e transparência.

Você encontra o nome, o cargo e o e-mail profissional de uma pessoa em uma página aberta e pensa em importar tudo para o CRM. A dúvida surge imediatamente: se a própria informação está acessível, a empresa pode usá-la para prospecção, enriquecimento de cadastro ou compartilhamento com um fornecedor? A resposta curta é: a LGPD pode se aplicar, mesmo quando o dado foi publicado em uma fonte pública. O ponto decisivo não é apenas onde a informação está, mas o que a empresa pretende fazer com ela, em qual contexto, com qual justificativa e quais efeitos o tratamento pode produzir. Este guia apresenta um método prático para avaliar a situação sem confundir publicidade com autorização irrestrita.

Principais pontos

• A publicidade de uma informação não transforma seu uso em autorização geral para qualquer finalidade.
• A LGPD pode alcançar nome, telefone, e-mail profissional, perfil e outras informações que identifiquem uma pessoa natural.
• O tratamento de dado pessoal tornado público deve observar a finalidade, a boa-fé, o interesse público que justificou a divulgação e os direitos do titular.
• A finalidade pretendida, a necessidade dos campos, a escala e o impacto sobre o titular definem o nível de cautela exigido.
• Consentimento e legítimo interesse não corrigem um tratamento excessivo, incompatível ou mal documentado.
• Uma pequena empresa pode começar com um único fluxo, registrar a decisão e revisar o processo antes de ampliar a coleta.

O que a LGPD considera dado pessoal tornado público?

A Lei nº 13.709/2018 define dado pessoal como a informação relacionada a pessoa natural identificada ou identificável. Assim, nome, e-mail individual, telefone profissional associado a uma pessoa, fotografia, perfil de rede profissional e combinação de cargo com local de trabalho podem continuar sendo dados pessoais quando permitem identificar alguém. O fato de estarem em uma página aberta, em um diário oficial, em um cadastro acessível ou em uma rede social não elimina essa característica.

A própria LGPD trata de dados pessoais cujo acesso foi tornado público pelo titular. O art. 7º, § 3º, determina que o tratamento deve considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. Para dados pessoais sensíveis, o art. 11, § 1º, também prevê regra específica para informações tornadas públicas pelo titular, sem afastar os princípios e os direitos previstos na lei. Portanto, a condição de dado público influencia a análise, mas não cria uma permissão geral.

Há uma diferença importante entre dado pessoal público e dado não pessoal. Razão social e CNPJ, considerados isoladamente, identificam uma pessoa jurídica e não se enquadram automaticamente como dados pessoais. Contudo, o nome, o e-mail, o telefone ou a assinatura de um empregado, representante, sócio ou empresário individual podem identificar uma pessoa natural e devem ser analisados sob a LGPD. Não é seguro classificar toda informação empresarial como não pessoal.

Também não basta apagar o nome para afirmar que houve anonimização. Se cargo raro, cidade, empregador, idade, histórico profissional ou outros atributos permitirem reidentificação por meios razoáveis, a informação pode continuar pessoal. Pseudonimização, criptografia e substituição de identificadores reduzem a exposição, mas não equivalem automaticamente à anonimização.

• Verifique se a informação se refere a uma pessoa natural identificada ou identificável.
• Registre a fonte, o contexto e, quando possível, a finalidade aparente da publicação.
• Separe informações da pessoa jurídica de contatos e atributos ligados a pessoas naturais.
• Avalie se a combinação de campos permite reidentificação.

Como fazer um teste de compatibilidade antes de usar o dado?

A compatibilidade precisa ser transformada em uma decisão verificável, e não em uma impressão subjetiva de que o uso parece razoável. Comece descrevendo o fluxo completo: qual dado será consultado ou copiado, de qual fonte veio, sobre quem se refere, qual finalidade concreta será atendida, por quanto tempo ficará armazenado, quem terá acesso e se haverá compartilhamento, segmentação ou decisão sobre a pessoa.

A primeira pergunta do teste é: qual é a finalidade específica? “Melhorar o marketing” é amplo demais. “Convidar representantes de fornecedores já contratados para uma reunião sobre renovação contratual” é mais delimitado. A segunda é: existe relação entre o contexto da publicação e o novo uso? Um contato divulgado para comunicação profissional pode ter alguma conexão com uma abordagem empresarial, mas isso não autoriza automaticamente perfilização, venda de base ou mensagens em massa.

A terceira pergunta é: quais campos são indispensáveis? Para validar um fornecedor, nome, cargo e canal corporativo talvez sejam suficientes. Localização residencial, interesses pessoais, renda estimada, histórico de navegação e inferências de comportamento exigem justificativa própria. Se a empresa não consegue explicar por que determinado campo é necessário, a decisão mais segura é não coletá-lo.

A quarta pergunta é: qual será o impacto para o titular? Uma consulta pontual para confirmar a identidade de um representante tende a produzir efeito diferente de uma classificação automática que define prioridade comercial, crédito, contratação ou acesso a um serviço. Escala, perfilização, combinação de fontes, dados sensíveis e possibilidade de discriminação aumentam a exigência de avaliação.

Por fim, registre o resultado. O fluxo pode ser aprovado quando a finalidade é definida, os campos são necessários, a base legal é compatível, os riscos têm salvaguardas e a empresa consegue explicar o tratamento. Deve ser reduzido ou bloqueado quando a finalidade é vaga, o uso se distancia claramente do contexto, há dados excessivos, a origem não pode ser verificada ou o impacto não foi controlado.

1. Defina a finalidade em uma frase que descreva uma atividade concreta.
2. Compare o contexto da publicação com o uso pretendido.
3. Liste os campos indispensáveis e elimine os coletados apenas por conveniência.
4. Avalie escala, combinação de fontes, perfilização e possíveis impactos.
5. Registre aprovação, redução ou bloqueio e a justificativa correspondente.

Exemplos de decisão conforme finalidade, escala e impacto

Situação	Tratamento pretendido	Resultado provável do teste	Salvaguarda
Registro público consultado para validar fornecedor	Conferência pontual de dados necessários à contratação	Pode ser compatível se limitado à validação e à finalidade contratual	Registrar fonte, limitar campos e evitar reutilização automática em campanhas
Perfil profissional aberto usado em prospecção	Coleta de contato e abordagem comercial	Exige análise de contexto, expectativa, canal, escala, base legal e oposição	Identificar a empresa, usar abordagem proporcional e oferecer saída simples
Lista pública enriquecida com outras bases	Criação de perfis, segmentação ou priorização	Risco elevado por combinação, inferências, escala e possíveis efeitos discriminatórios	Revisar a necessidade, limitar campos e bloquear o fluxo até avaliar os impactos

Como escolher a base legal e cumprir a transparência?

A publicidade do dado não é uma base legal autônoma para qualquer tratamento. A empresa deve identificar a hipótese aplicável ao fluxo concreto entre as previstas na LGPD, como cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, legítimo interesse ou consentimento. A escolha depende da finalidade, do tipo de dado, da relação entre as partes e dos efeitos do tratamento; não é uma autorização antecipada para importar contatos públicos.

No legítimo interesse, o art. 10 da LGPD exige atenção à finalidade legítima, à necessidade e à proteção dos direitos e liberdades fundamentais do titular. A empresa deve documentar o benefício buscado, explicar por que o tratamento é necessário, considerar as expectativas razoáveis da pessoa e adotar salvaguardas, como limitação de dados, transparência, controle de acesso e oposição. A ANPD, em sua orientação sobre legítimo interesse, recomenda justamente uma avaliação estruturada dessas etapas, sem tratar a hipótese como presunção automática.

O consentimento também não é uma solução universal. Ele precisa ser livre, informado e relacionado a finalidades determinadas, além de poder ser revogado nas condições legais. Se a coleta é excessiva, a finalidade é incompatível ou o titular não recebe informação adequada, pedir consentimento depois não elimina necessariamente os demais problemas. Em alguns fluxos, a obtenção de consentimento pode ser inviável ou inadequada; em outros, pode ser a hipótese pertinente. A conclusão depende do caso.

A transparência deve permitir que a pessoa compreenda, em linguagem clara, quais categorias de dados são usadas, para qual finalidade, de onde vieram, com quem podem ser compartilhadas, por quanto tempo serão conservadas e como exercer seus direitos. A fonte pública não elimina esse dever. A comunicação pode ser proporcional ao risco e ao contexto, mas não deve esconder a origem ou o uso pretendido quando essa informação for relevante para o titular.

As referências principais para essa análise são a LGPD, especialmente os arts. 5º, 7º, § 3º, 10, 11, 18 e 19, e os materiais orientativos publicados pela ANPD sobre legítimo interesse, agentes de tratamento, direitos dos titulares e segurança. Essas fontes não substituem a avaliação do caso concreto nem transformam uma orientação geral em autorização para uma operação específica.

Como aplicar o método em uma pequena ou média empresa?

Uma empresa pequena não precisa começar tentando mapear todos os tratamentos ao mesmo tempo. Escolha um fluxo real, como a importação de contatos profissionais para o CRM, a validação de fornecedores ou o envio de convites para um evento. Desenhe o percurso do dado: entrada, armazenamento, uso, compartilhamento, retenção e descarte. Esse mapa mostra quem toca na informação e onde uma cópia pode permanecer sem necessidade.

Um registro simples pode ser preenchido assim: “Fonte: página institucional de fornecedor, consultada em 10 de março; dados: nome, cargo e e-mail corporativo; finalidade: confirmar o representante responsável por uma negociação em andamento; base legal em análise: execução das medidas relacionadas à relação contratual, conforme o caso; acesso: compras e jurídico; retenção: até o encerramento da negociação e do prazo necessário para documentação; compartilhamento: não previsto; decisão: aprovado somente para validação, proibido para campanha comercial”. O exemplo não é autorização geral: ele mostra o nível de especificidade esperado.

O fluxo deve ser aprovado apenas quando a finalidade estiver delimitada, os campos forem necessários, a fonte puder ser explicada, os acessos estiverem controlados, a retenção tiver justificativa e o titular puder receber informações e exercer seus direitos. Deve ser bloqueado quando a equipe pretende raspar milhares de páginas sem filtro, usar dados sensíveis, criar perfis sem avaliação, compartilhar a base com vários fornecedores ou não consegue identificar a origem dos registros.

A revisão anual pode funcionar como lembrete administrativo, mas não é um prazo obrigatório que torne o tratamento seguro por si só. O período de 12 meses é útil porque fontes, cargos, fornecedores, tecnologias e finalidades mudam ao longo de um ciclo operacional. Ainda assim, a empresa deve revisar antes disso quando houver alteração relevante, reclamação, incidente, mudança de escala, nova finalidade, inclusão de dados sensíveis ou contratação de outra plataforma.

Fornecedores também precisam ser avaliados. Uma ferramenta de CRM, enriquecimento ou disparo pode atuar em diferentes papéis e executar operações distintas. O contrato deve refletir instruções, segurança, acessos, subcontratação, retenção, eliminação e atendimento a solicitações. Termos de uso e política de privacidade ajudam a entender a operação, mas não substituem a análise da empresa sobre a finalidade e a necessidade do tratamento.

1. Escolha um fluxo concreto e nomeie o responsável pela decisão.
2. Mapeie fonte, campos, finalidade, acessos, compartilhamentos, retenção e descarte.
3. Elimine dados excedentes e registre a origem e a data de consulta.
4. Preencha a justificativa da base legal, da necessidade e das salvaguardas.
5. Aprove, reduza ou bloqueie o fluxo segundo critérios previamente definidos.
6. Reavalie o processo quando houver mudança relevante e, no máximo, como lembrete periódico definido pela empresa.

O que muda em prospecção, marketing direto e mensagens individuais?

Encontrar um contato em fonte pública e enviar uma mensagem individual ainda pode caracterizar prospecção ou marketing direto. A personalização da abordagem não elimina essa finalidade. Antes do envio, a empresa deve avaliar a pertinência do contato, o contexto em que a pessoa disponibilizou o canal, a expectativa razoável, a quantidade de mensagens, a base legal considerada e a possibilidade de oposição.

Uma abordagem proporcional deve identificar claramente a empresa e o motivo do contato, usar somente os dados necessários, evitar informações pessoais inferidas e oferecer uma forma simples de não receber novas mensagens. A empresa deve registrar a oposição e impedir novas abordagens pelo mesmo fluxo. Se o canal for inadequado, se a pessoa tiver indicado que não deseja contatos ou se a escala transformar a atividade em disparo automatizado, o envio deve ser reduzido ou bloqueado.

O exemplo prático seria uma mensagem única a um representante cujo e-mail corporativo foi publicado em uma página institucional para relacionamento com fornecedores, com apresentação objetiva da empresa, motivo profissional específico e opção clara de encerramento. Mesmo nesse cenário, a base legal não é presumida: a organização precisa documentar por que considerou o tratamento necessário e compatível. Uma lista raspada de contatos, enriquecida com interesses pessoais e distribuída a vendedores apresenta análise muito mais desfavorável.

Scraping, termos de uso, direitos autorais e origem legítima pertencem a regimes jurídicos que podem se relacionar, mas não são equivalentes. A LGPD trata da proteção de dados pessoais; regras contratuais do site podem limitar o acesso automatizado; direitos autorais podem incidir sobre a estrutura ou o conteúdo; e segurança da informação envolve riscos técnicos e acesso indevido. A página ser pública não resolve automaticamente nenhuma dessas questões.

Antes de automatizar, verifique se o processo consegue excluir dados sensíveis, evitar contas pessoais, respeitar bloqueios técnicos e limitar a coleta ao necessário. Avalie também se o fornecedor obtém os dados de modo transparente, se atualiza registros de oposição e se permite exclusão. Se não houver controle sobre esses pontos, a automação deve esperar uma avaliação jurídica e técnica mais completa.

Quais falhas exigem interrupção e como responder aos direitos?

Nem toda falha tem o mesmo peso. Um campo desnecessário, mas facilmente removível, pode admitir correção rápida e revisão do registro. Já a coleta de dados sensíveis sem avaliação, a criação de perfis com potencial discriminatório, o compartilhamento sem controle, a origem desconhecida ou a incapacidade de interromper uma campanha exigem suspensão imediata do fluxo até que a empresa entenda o problema.

A interrupção deve preservar evidências úteis para a apuração sem ampliar o uso. Suspenda novas coletas e envios, restrinja acessos, identifique cópias e fornecedores, registre o que ocorreu e avalie se houve incidente de segurança ou risco relevante aos titulares. A comunicação e as providências devem seguir a LGPD e as orientações aplicáveis da ANPD. Não se deve prometer uma conclusão antes de verificar os fatos.

Pedidos de confirmação, acesso, correção, eliminação, informação sobre compartilhamento e oposição precisam ser encaminhados a um responsável. A LGPD diferencia a confirmação da existência de tratamento do fornecimento de acesso completo: o art. 19 prevê confirmação em formato simplificado imediatamente ou declaração completa em prazo legal específico, observado o conteúdo da lei e a regulamentação aplicável. Outros direitos podem ter procedimentos próprios. Por isso, a frase genérica de que toda resposta deve ocorrer em 15 dias é imprecisa.

Para responder, a empresa precisa localizar o titular, identificar quais dados possui, verificar a finalidade, distinguir cópias operacionais de registros que precisam ser conservados e comunicar os limites legais de eventual eliminação. O fato de o dado ter vindo de uma fonte pública não impede o exercício de direitos. Também não é recomendável apagar indiscriminadamente registros necessários ao cumprimento de obrigação legal ou ao exercício regular de direitos.

A correção contínua exige revisar causa, não apenas apagar o sintoma. Se o erro foi importar campos em excesso, altere o formulário ou a integração. Se o problema foi ausência de oposição, crie uma lista de bloqueio. Se o fornecedor não informa a origem, suspenda a aquisição até obter esclarecimentos. Se a empresa não consegue explicar a finalidade, recomece a análise antes de reativar o tratamento.

• Interrompa imediatamente fluxos com dados sensíveis sem avaliação, origem desconhecida ou potencial discriminatório.
• Admita correção controlada para excesso pontual, desde que o uso seja suspenso enquanto o campo é removido.
• Registre acessos, cópias, fornecedores, decisões e medidas adotadas.
• Encaminhe direitos dos titulares conforme o direito exercido e o prazo aplicável.
• Ajuste processos e integrações para impedir a repetição da falha.

Perguntas frequentes

A LGPD se aplica a nomes e contatos publicados em sites e redes sociais?

Sim, quando essas informações identificam ou podem identificar uma pessoa natural. O contexto da publicação, a finalidade do novo uso, a necessidade dos campos e os direitos do titular continuam relevantes.

Dado encontrado em diário oficial pode ser usado livremente por uma empresa?

Não automaticamente. A publicação pode cumprir uma finalidade legal ou institucional específica. A empresa deve avaliar se o uso pretendido é compatível, necessário e sustentado por uma base legal adequada.

A publicação do dado pelo próprio titular equivale a consentimento?

Não. Publicar uma informação não significa consentir com qualquer tratamento futuro. Consentimento é uma hipótese específica de base legal e precisa atender aos requisitos da LGPD.

Posso usar dados públicos para prospecção comercial?

Pode haver situações permitidas, mas não existe autorização geral. Avalie expectativa razoável, pertinência do contato, base legal, escala, transparência, possibilidade de oposição e ausência de dados excessivos.

Qual base legal pode ser usada para tratar dados pessoais públicos?

Depende do tratamento. Podem ser aplicáveis, conforme o caso, obrigação legal, contrato, exercício regular de direitos, legítimo interesse ou consentimento. A escolha precisa ser documentada e coerente com a finalidade.

Preciso informar o titular quando coleto um dado em uma fonte aberta?

Em regra, a empresa deve oferecer transparência sobre o tratamento e os meios de exercício dos direitos, observando as exceções e limitações previstas na LGPD. A fonte pública não elimina esse dever.

Scraping de páginas públicas é permitido pela LGPD?

A visibilidade da página não resolve a análise. Scraping em escala pode envolver finalidade incompatível, excesso, dados sensíveis, retenção prolongada e compartilhamento com terceiros. O processo precisa ser avaliado antes da automação, inclusive sob aspectos contratuais, autorais e técnicos.

O que muda quando o dado público é sensível ou pertence a uma criança ou adolescente?

A análise se torna mais rigorosa. Existem regras específicas, riscos maiores e necessidade de controles proporcionais. A publicidade não afasta a proteção reforçada dessas situações.

Se eu remover o nome, o dado deixa de ser pessoal?

Não necessariamente. Se a combinação de atributos permitir identificar a pessoa, o dado pode continuar pessoal. Pseudonimização não equivale automaticamente à anonimização.

Quais registros uma pequena empresa deve manter para demonstrar que avaliou o tratamento?

Registre fonte, contexto, finalidade, campos utilizados, base legal, justificativa de necessidade, riscos, transparência, acessos, compartilhamentos, retenção, descarte e responsáveis pela revisão.

Conclusão

A resposta prática é direta, mas não simplista: a LGPD e dados pessoais públicos podem coexistir porque a acessibilidade da informação não elimina a identificação da pessoa nem os deveres de quem realiza o tratamento. A publicação pode ser considerada na análise, inclusive quanto ao contexto, à finalidade original e ao interesse público que justificou a divulgação, mas não equivale a autorização geral. Antes de importar, enriquecer, compartilhar ou usar um contato em prospecção, delimite a finalidade, reduza os campos, escolha e documente a base legal, avalie impactos, ofereça transparência, controle acessos e respeite os direitos do titular. Em caso de dúvida relevante, especialmente com dados sensíveis, grande escala, perfilização ou automação, suspenda a expansão e busque avaliação especializada.