Descubra o que é tratamento de dados pessoais, como ele aparece na rotina da empresa e quais critérios ajudam a priorizar a adequação à LGPD.

Se você administra uma loja, clínica, escritório ou prestadora de serviços e quer descobrir se atividades comuns entram na LGPD, a resposta curta é: tratamento de dados pessoais é qualquer operação feita com uma informação ligada a uma pessoa natural identificada ou identificável. Coletar nome e telefone, consultar um cadastro, emitir uma nota, enviar um endereço à transportadora, guardar uma conversa e apagar um arquivo são exemplos possíveis. A palavra-chave tratamento de dados pessoais não se limita a grandes bancos de dados nem a sistemas sofisticados: uma ficha em papel, uma planilha compartilhada e uma conversa usada para prestar atendimento também podem estar dentro desse conceito.

Em poucas palavras

• Tratamento de dados pessoais inclui ações digitais e físicas, desde a coleta até a eliminação.
• O mesmo dado pode passar por tratamentos diferentes, e cada finalidade precisa ser analisada separadamente.
• Consentimento não é uma autorização genérica para qualquer uso; a justificativa depende do objetivo e do contexto.
• Uma planilha simples pode revelar quem acessa dados, por que acessa, com quem compartilha e por quanto tempo guarda.
• Segurança começa com controles proporcionais, como permissões restritas, revisão de acessos e descarte organizado.
• Privacidade custa menos quando entra no processo antes de a empresa acumular dados sem finalidade clara.

O que é tratamento de dados pessoais?

Imagine uma pequena loja virtual. Você recebe nome, telefone e endereço para concluir uma compra. A equipe registra o pedido, o sistema gera a cobrança, a transportadora recebe o endereço, o suporte consulta o histórico e o financeiro guarda os registros necessários. Mesmo que tudo aconteça em poucos minutos, existem várias operações de tratamento. O conceito não descreve apenas um banco de dados; ele acompanha o caminho da informação desde a obtenção até a eliminação ou a retenção justificada.

A Lei Geral de Proteção de Dados Pessoais (LGPD) considera dado pessoal a informação relacionada a uma pessoa natural identificada ou identificável. Nome, e-mail, telefone, endereço, identificador de conta, voz, imagem e histórico de compras podem se enquadrar nessa ideia quando permitem associar a informação a alguém. Dado pessoal sensível é uma categoria específica, que inclui, entre outros exemplos legais, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético e dado biométrico vinculado a uma pessoa natural.

Tratamento é o conjunto de ações realizadas com esses dados. A definição legal abrange operações como coletar, produzir, receber, classificar, utilizar, acessar, reproduzir, transmitir, distribuir, processar, arquivar, armazenar, eliminar, avaliar, controlar, modificar, comunicar, transferir ou extrair. Por isso, consultar uma ficha, corrigir um telefone, fazer um backup ou enviar um endereço a um parceiro podem ser tratamentos diferentes dentro do mesmo fluxo.

A pergunta prática não é apenas “temos um sistema?”. É “o que fazemos com informações de pessoas?”. Uma conversa em aplicativo pode orientar um atendimento; uma pasta física pode guardar contratos; uma ferramenta de marketing pode segmentar contatos. O fato de uma operação ser manual, rápida ou feita por um fornecedor não retira automaticamente sua natureza de tratamento. Quando a informação deixa de permitir associação com alguém por meios razoáveis, a análise pode mudar, mas a anonimização precisa ser efetiva e avaliada no contexto, não presumida apenas porque o nome foi retirado.

Como o tratamento de dados pessoais acontece na rotina da empresa?

Depois de reconhecer as operações, observe quem executa cada etapa. Em vez de registrar somente “a empresa usa dados”, atribua responsabilidades verificáveis: a área de atendimento pode ser responsável por consultar o cadastro; o gestor do processo pode aprovar novos acessos; a equipe de tecnologia pode administrar contas, backups e registros de atividade; o jurídico ou o encarregado, quando houver, pode apoiar dúvidas sobre direitos e bases legais. A pessoa que executa uma tarefa não deve ganhar acesso a todo o banco por conveniência.

Para transformar a rotina em inventário, escolha um processo real, como vendas, recrutamento ou suporte, e registre em até 30 minutos uma primeira versão com seis campos: etapa, sistema ou arquivo, perfil de acesso, responsável, fornecedor envolvido e evento que encerra a necessidade. Essa fotografia inicial não substitui uma análise completa, mas ajuda a localizar cópias esquecidas e permissões que ninguém consegue explicar. Depois, valide a informação com pelo menos uma pessoa que executa o trabalho, porque o procedimento escrito nem sempre corresponde ao que acontece na prática.

Os níveis de acesso devem acompanhar a tarefa. Um perfil de leitura pode bastar para atendimento; alteração deve ficar com quem precisa corrigir ou atualizar; exportação e exclusão merecem autorização mais restrita. Use contas individuais, autenticação forte quando disponível e bloqueio de contas de pessoas que deixam a função. Uma revisão trimestral, ou seja, a cada 90 dias, pode ser adequada para processos de alto volume, muitos usuários ou dados sensíveis. Não é prazo legal geral: em processos pequenos e de baixo risco, a frequência pode ser menor; em sistemas críticos, mudanças de equipe, incidentes ou troca de fornecedor justificam revisão imediata.

Defina a retenção por eventos e critérios, não por hábito. Exemplos são o encerramento do atendimento, o fim do contrato, a conclusão do processo seletivo ou o término da obrigação que exige determinado registro. Antes de eliminar, verifique se existe dever legal, exercício regular de direitos, auditoria, garantia ou outra necessidade documentada de conservação. Se não houver motivo para manter o dado identificável, elimine-o com método compatível com o suporte, devolva-o ao responsável ou avalie uma anonimização tecnicamente adequada.

A segurança também precisa acompanhar cada etapa. Na entrada, limite os campos obrigatórios e confira solicitações incomuns. No uso, restrinja permissões e evite enviar dados completos por canais desnecessários. Na circulação, confirme destinatário e contrato do fornecedor. Na manutenção, proteja backups e mantenha registro de alterações relevantes. Na saída, remova cópias e documente exceções de retenção. A Cartilha de Segurança para Internet do CERT.br, especialmente o conteúdo sobre privacidade e cuidados no uso de contas, senhas, mensagens e compartilhamento de informações, sustenta medidas como reduzir a exposição, desconfiar de solicitações inesperadas e controlar credenciais; ela não substitui uma política de segurança personalizada.

Para que serve o tratamento e quais cuidados ele exige?

Uma empresa trata dados porque precisa operar: receber pedidos, entregar produtos, emitir documentos, atender clientes, contratar pessoas, administrar benefícios, prevenir fraudes ou melhorar um serviço. O uso pode ser legítimo e necessário sem ser ilimitado. Para avaliar uma atividade, comece pela finalidade concreta e pergunte se o dado é adequado, necessário e proporcional ao resultado pretendido. Pedir data de nascimento para confirmar uma entrega, por exemplo, exige uma justificativa diferente de pedir a mesma informação para criar um perfil comercial.

A base legal deve ser analisada conforme a finalidade, o contexto e a categoria de dado. A LGPD prevê hipóteses como cumprimento de obrigação legal ou regulatória, execução de contrato ou de procedimentos preliminares, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse, proteção do crédito e consentimento, entre outras. A escolha não deve ser feita apenas pela preferência da empresa nem alterada para parecer mais conveniente depois. Para dados sensíveis, aplicam-se hipóteses próprias do artigo 11, e o cuidado deve ser maior.

Consentimento é uma possibilidade, não uma autorização universal para tudo o que você deseja fazer. Ele deve estar ligado a finalidades determinadas e pode ser revogado nas condições legais. Interesse legítimo também não funciona como fórmula pronta: exige avaliar a situação concreta, a expectativa da pessoa, a necessidade do uso, as salvaguardas e os impactos. Uma compra pode exigir dados para execução do pedido, enquanto uma comunicação promocional posterior pede análise própria. Isso não significa necessariamente escolher uma base legal completamente diferente em toda campanha futura; significa reavaliar finalidade, compatibilidade, transparência e hipótese aplicável ao novo uso.

Priorize correções com critérios objetivos. Dê preferência a processos que reúnam dados sensíveis, informações de crianças ou adolescentes, dados financeiros, grande volume de pessoas, decisões automatizadas, exposição pública, muitos fornecedores ou histórico de incidentes. Entre problemas do mesmo processo, corrija primeiro o que combina maior impacto potencial com maior facilidade de exploração: uma planilha pública ou uma conta compartilhada, por exemplo, tende a merecer atenção antes de uma melhoria meramente documental. Registre por que uma prioridade foi escolhida e qual evidência será usada para confirmar a correção.

O tratamento de dados de crianças e adolescentes exige cautela adicional. O artigo 14 da LGPD determina que o tratamento deve observar o melhor interesse dessas pessoas. Para crianças, consideradas pela legislação brasileira como pessoas até 12 anos incompletos, a lei prevê consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, além de regras sobre informações, participação em jogos e aplicações e esforços razoáveis para verificar a idade. Adolescentes também exigem avaliação orientada pelo melhor interesse e pelas normas de proteção aplicáveis. Antes de coletar, confirme a faixa etária, reduza os dados solicitados, explique o uso em linguagem compreensível e busque orientação jurídica quando o caso envolver perfilização, publicidade, escola, saúde ou exposição relevante.

Proteja a transparência sem transformar avisos em textos incompreensíveis. Explique, no momento adequado, quem usa o dado, para qual finalidade, com quem ele pode ser compartilhado e por quanto tempo se pretende mantê-lo. Se a finalidade mudar, avalie compatibilidade e comunique o necessário. O objetivo é fazer cada informação cumprir uma função definida, com proteção proporcional ao risco, e não obter o maior volume possível de dados para usos futuros incertos.

Quando a LGPD não se aplica e como o tratamento se diferencia de conceitos próximos?

A LGPD não deve ser apresentada como aplicável a toda situação nem como automaticamente afastada por uma simples alegação. O artigo 4º exclui do tratamento da lei o realizado por pessoa natural para fins exclusivamente particulares e não econômicos; o realizado exclusivamente para fins jornalísticos e artísticos; e o realizado exclusivamente para fins acadêmicos, observadas, neste último caso, as regras dos artigos 7º e 11. A mesma norma trata separadamente atividades de segurança pública, defesa nacional, segurança do Estado e investigação ou repressão de infrações penais. Nesses casos, a LGPD não se aplica diretamente como regra geral, mas devem ser observadas legislação específica, princípios gerais de proteção e direitos fundamentais, além das limitações previstas na própria lei.

Uma empresa comercial não pode invocar essas exceções apenas porque seu processo envolve segurança, pesquisa ou comunicação.

Também há uma distinção importante para dados anonimizados. A LGPD define anonimização como a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento para retirar a possibilidade de associação, direta ou indireta, a uma pessoa. O artigo 12 prevê que dados anonimizados não são considerados dados pessoais para a lei, salvo quando o processo de anonimização for revertido, com meios próprios ou mediante esforços razoáveis. A análise depende do risco de reidentificação, levando em conta fatores como custo, tempo, tecnologia disponível e contexto. Remover o nome não basta se endereço, data, imagem, identificador ou combinação de campos ainda permitir reconhecer alguém.

Confusões de linguagem também atrapalham o inventário. Coleta é a obtenção do dado, enquanto tratamento é o conjunto mais amplo de ações. Armazenamento é guardar, mas consultar e atualizar também são tratamentos. Compartilhamento é disponibilizar a informação a outro destinatário, não uma categoria fora da proteção de dados. Dado sensível é uma categoria específica que merece cuidados adicionais; não é sinônimo de todo dado valioso para o negócio.

Use as distinções para fazer perguntas diferentes. Se a questão for escopo, verifique quem realiza a atividade, qual é a finalidade e se há uma das hipóteses do artigo 4º. Se for anonimização, documente o método, os campos removidos, as possibilidades de cruzamento e a avaliação de reidentificação. Se for vocabulário, descreva a operação concreta em vez de tratar “sistema”, “cadastro” ou “compartilhamento” como respostas suficientes.

Diferenças entre operações frequentemente confundidas

Conceito	O que descreve	Relação com o tratamento	Exemplo
Coleta	Obtenção de uma informação junto à pessoa ou a outra fonte.	É uma operação dentro do tratamento.	Receber nome e telefone em um cadastro.
Armazenamento	Manutenção da informação em sistema, arquivo, dispositivo ou papel.	Também é tratamento, mas não representa todo o ciclo.	Guardar um cadastro em um sistema de clientes.
Compartilhamento	Disponibilização ou transmissão a outro destinatário.	É uma operação específica, com finalidade e controle próprios.	Enviar endereço a uma transportadora.
Anonimização	Transformação que busca impedir associação razoável com uma pessoa, considerando risco, custo, tempo e tecnologia disponível.	Pode alterar a classificação quando for efetiva e não houver reversão por meios próprios ou esforços razoáveis.	Remover ou transformar identificadores de um conjunto e testar se ainda é possível reidentificar alguém.

Perguntas frequentes

O que é tratamento de dados pessoais segundo a LGPD?

É qualquer operação realizada com dados ligados a uma pessoa natural identificada ou identificável. Coleta, consulta, uso, organização, armazenamento, compartilhamento, correção, anonimização e eliminação são exemplos.

Armazenar dados também é uma forma de tratamento?

Sim. Guardar um cadastro em sistema, planilha, backup, arquivo físico ou dispositivo mantém a informação sob tratamento. O armazenamento é apenas uma parte do ciclo.

Uma planilha com dados de clientes está sujeita à LGPD?

Uma planilha pode conter dados pessoais e, por isso, deve entrar no mapeamento. O formato simples não elimina a necessidade de avaliar finalidade, acessos, compartilhamentos, segurança e retenção.

Qual é a diferença entre coleta, tratamento e compartilhamento?

Coleta é obter o dado. Tratamento é o conjunto de operações feitas com ele. Compartilhamento é disponibilizá-lo a outro destinatário e representa uma operação específica dentro do tratamento.

Todo tratamento de dados pessoais exige consentimento?

Não necessariamente. A justificativa depende da finalidade e do contexto. A LGPD prevê outras hipóteses, como execução de contrato, cumprimento de obrigação legal e exercício regular de direitos. Consentimento não deve ser usado como autorização genérica para usos incompatíveis.

Quando um dado deixa de ser considerado pessoal?

A análise pode mudar quando a informação é efetivamente anonimizada e não permite associação razoável com uma pessoa, considerando custo, tempo, tecnologia disponível e contexto. Remover apenas o nome não basta se outros elementos permitirem reidentificação.

A LGPD se aplica a dados de funcionários e candidatos?

Esses processos podem envolver tratamento de dados pessoais, desde o recrutamento até a administração do vínculo. Você deve mapear finalidades, acessos, fornecedores e períodos de retenção, além de avaliar a hipótese legal aplicável.

Como uma pequena empresa pode começar a mapear seus tratamentos?

Escolha um processo relevante e registre dados, finalidade, origem, sistema, acessos, compartilhamentos, evento de retenção e responsável. Depois, priorize a lacuna que combina maior impacto potencial com maior exposição.

Qual é a diferença entre dado pessoal e dado pessoal sensível?

Dado pessoal é informação ligada a pessoa identificada ou identificável. Dado pessoal sensível pertence a categorias específicas previstas na LGPD, como saúde, biometria vinculada à pessoa, origem racial ou étnica e convicção religiosa, e exige análise mais cuidadosa.

O uso de ferramentas de marketing envolve tratamento de dados pessoais?

Pode envolver, especialmente quando a ferramenta recebe contatos, histórico, preferências ou identificadores. Separe a finalidade comercial da operação principal e verifique hipótese legal, transparência, acessos, fornecedores e comunicações.

A revisão de acessos precisa ocorrer sempre a cada 90 dias?

Não existe um prazo legal geral de 90 dias para todos os casos. Esse intervalo pode ser uma sugestão operacional para processos de maior volume, criticidade ou risco. Mudanças de função, desligamentos, incidentes e trocas de fornecedor justificam revisão imediata.

Como a LGPD trata dados de crianças e adolescentes?

O tratamento deve observar o melhor interesse. Para crianças, a LGPD prevê consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, além de outras cautelas. Em qualquer caso, avalie idade, finalidade, minimização, linguagem compreensível e riscos do processo.

Resumindo

Escolha agora um processo concreto da sua empresa: uma venda, um atendimento, uma contratação ou uma campanha. Liste os dados envolvidos, a finalidade, a origem, os sistemas, as pessoas com acesso, os fornecedores, o evento que inicia a retenção, o evento que encerra essa necessidade e a primeira medida de correção. Em seguida, confirme se há dados sensíveis, crianças ou adolescentes, exportação, decisão automatizada ou compartilhamento externo. Se o fluxo parecer maior do que uma planilha consegue organizar, faça um diagnóstico de maturidade para identificar prioridades antes de produzir documentos isolados. O diagnóstico não substitui uma avaliação adequada nem aconselhamento jurídico quando necessário, mas ajuda a transformar uma preocupação ampla em próximos passos verificáveis.

Fontes

1. Cartilha de Segurança para Internet. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Explica golpes, ataques, códigos maliciosos e outras técnicas usadas para induzir vítimas a revelar informações ou permitir o acesso indevido a contas e dispositivos.