Entenda o que são dados pessoais, como reconhecê-los nas rotinas da empresa e como organizar um primeiro levantamento prático para a LGPD.

Quando sua empresa guarda nome, telefone, CPF ou histórico de compras de clientes, surge uma dúvida prática: isso já é tratamento de dados pessoais ou apenas uma rotina administrativa? A resposta começa pelo conceito da Lei Geral de Proteção de Dados Pessoais (LGPD): dado pessoal é a informação relacionada a uma pessoa natural identificada ou identificável. \n\nSaber o que são dados pessoais não exige começar por um projeto enorme. Você pode escolher uma atividade, como formulário de orçamento ou atendimento, e documentar o caminho da informação desde a coleta até a eliminação. O objetivo deste artigo é separar quatro decisões: reconhecer o dado, mapear a operação, entender o alcance jurídico e transformar o diagnóstico em controles verificáveis.

Em poucas palavras

• Dado pessoal é toda informação relacionada a uma pessoa natural identificada ou identificável, mesmo quando a identificação depende da combinação de registros.
• O contexto de uso importa tanto quanto o campo armazenado: o mesmo e-mail pode servir ao atendimento, à autenticação ou ao marketing.
• Dados públicos continuam relacionados a pessoas e não ficam automaticamente livres de finalidade, transparência e segurança.
• Pseudonimizar ou retirar o nome não basta para transformar uma informação em dado anonimizado.
• Um levantamento útil registra atividade, finalidade, categorias de dados, acessos, compartilhamentos, evidências e prazo ou critério de retenção.
• Controles proporcionais podem ser acompanhados por indicadores, como percentual de atividades mapeadas, acessos revisados e registros sem prazo definido.

O que são dados pessoais, em termos simples?

Imagine uma pequena loja que recebe um pedido por telefone. O atendente anota nome, número, endereço de entrega, forma de pagamento e produtos escolhidos. Cada registro pode parecer apenas uma parte da venda, mas o conjunto descreve uma pessoa específica. Dado pessoal é a informação relacionada a uma pessoa natural identificada ou identificável, conforme o art. 5º, I, da LGPD.

A identificação pode ser direta. Nome completo, CPF, fotografia, telefone e e-mail costumam apontar para alguém sem exigir muita investigação. Também pode ser indireta: um identificador de dispositivo, um endereço associado a uma conta, o histórico de pedidos ou a combinação entre bairro, horário e produto podem permitir a vinculação quando comparados com outros registros disponíveis.

O nome do campo no sistema não resolve a questão. Uma coluna chamada “código do cliente” pode ser pessoal se sua empresa consegue relacioná-la a uma ficha individual. Um registro sem nome pode continuar identificável quando está ligado a telefone, endereço, conta, token ou outra base acessível. A análise deve considerar os meios razoavelmente disponíveis no contexto, e não uma possibilidade meramente abstrata de associação.

Para aplicar a definição sem transformar cada análise em uma investigação extensa, use um teste curto. Se você responder “sim” a qualquer uma das duas primeiras perguntas, trate o registro como potencial dado pessoal até documentar uma conclusão diferente:

O registro se refere a uma pessoa natural, ainda que o nome não esteja preenchido?

Você ou um fornecedor consegue associá-lo a alguém usando dados que já possui ou pode acessar legitimamente?

O contexto também importa. Um e-mail pode ser usado para responder a uma solicitação, autenticar uma conta ou enviar publicidade. O campo é o mesmo, mas as expectativas, os acessos e a finalidade mudam. A definição identifica o objeto da proteção; ela não autoriza, por si só, qualquer uso.

Dado público segue lógica semelhante. A publicidade não converte automaticamente a informação em dado anônimo nem elimina a necessidade de avaliar finalidade, transparência, segurança e a base legal aplicável. O uso de um telefone publicado em uma página, por exemplo, deve ser analisado de acordo com a finalidade concreta e com as regras aplicáveis, sem concluir que toda prospecção é permitida ou proibida apenas por causa da origem pública.

Como reconhecer dados pessoais nas atividades da empresa?

Depois de identificar o conceito, mapeie uma operação concreta, não todos os sistemas ao mesmo tempo. Escolha uma atividade com começo e fim claros, como receber um pedido, selecionar candidatos ou responder a reclamações. Registre a atividade em uma ficha única e atribua um responsável de negócio e um responsável técnico. Essa separação evita que o inventário fique apenas com a equipe de tecnologia.

A ficha deve mostrar o percurso da informação: quem fornece o dado, quais campos entram, onde são armazenados, quais sistemas o recebem, quem consulta, com quem ocorre compartilhamento e em que momento a informação é eliminada ou revisada. Inclua evidências, como captura da tela do formulário, modelo de contrato, configuração de acesso, política interna, registro de fornecedor e amostra dos campos. Não é necessário copiar uma base inteira; use amostras minimizadas e proteja os próprios dados durante a documentação.

Tratamento é o conjunto de operações realizadas com a informação, incluindo coletar, registrar, consultar, organizar, utilizar, compartilhar, armazenar, alterar e eliminar. Uma empresa trata dados quando recebe um currículo por e-mail, consulta o cadastro para responder a uma reclamação ou envia uma lista de contatos a um fornecedor de atendimento. O inventário deve registrar a operação real, e não apenas o nome genérico “cadastro”.

A finalidade precisa ser escrita como resultado específico. “Melhorar o negócio” é amplo demais; “responder ao pedido de orçamento em até dois dias úteis” permite verificar necessidade e acesso. Para cada finalidade, descreva a categoria de pessoas, os dados indispensáveis, os dados opcionais e o que aconteceria se o campo não fosse coletado. Se um formulário tem 12 campos e apenas 7 são necessários para entregar o produto, os cinco restantes devem ser justificados, tornados opcionais ou retirados.

A retenção também precisa sair do campo da intenção. Defina um prazo ou um evento de encerramento, como “até a conclusão do atendimento e mais 30 dias para resolver contestação”. Quando houver obrigação legal, exercício regular de direitos ou outra razão documentada para guardar o registro, indique essa razão e a data da próxima revisão. Não existe um prazo único aplicável a todos os dados pessoais; conservar indefinidamente por conveniência não é um critério suficiente.

Para tornar o levantamento auditável, registre cada resposta em uma planilha ou ferramenta de inventário com, no mínimo, atividade, finalidade, categorias de dados, sistemas, acessos, destinatários, evidência, prazo ou evento de eliminação, responsável, data da análise e pendências. Faça uma revisão inicial em até 30 dias para operações críticas e estabeleça revisão periódica de 6 ou 12 meses, conforme o risco e a frequência de mudança. Esses são parâmetros de gestão interna, não prazos impostos pela LGPD.

1. Escolha uma atividade e dê a ela um nome específico.
2. Liste entradas, campos, sistemas, usuários e destinatários.
3. Colete evidências mínimas sem duplicar ou expor bases completas.
4. Defina finalidade, necessidade e prazo ou evento de retenção.
5. Registre dúvidas, responsável, data de revisão e medidas pendentes.

Quando a LGPD se aplica e como diferenciar conceitos próximos?

Em regra, a LGPD se aplica ao tratamento de dados pessoais realizado por pessoa natural ou por pessoa jurídica, de direito público ou privado, independentemente do meio utilizado, quando presentes as hipóteses territoriais e de alcance previstas no art. 3º. O fato de a empresa ser pequena, usar uma planilha ou não vender cadastros não retira automaticamente a operação do campo de análise.

O art. 4º prevê situações que não se submetem à LGPD ou possuem tratamento específico. Entre elas estão o tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos; atividades exclusivamente jornalísticas e artísticas; e tratamentos voltados exclusivamente à segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. Há ainda previsão própria para fins acadêmicos. As exceções não devem ser ampliadas por analogia: uma empresa comercial não deve chamar sua campanha, seleção ou atendimento de atividade jornalística ou de segurança pública apenas para afastar a lei.

A fonte primária para esse alcance é a própria Lei nº 13.709/2018, especialmente os arts. 3º, 4º e 5º. A ANPD também publica orientações e regulamentos sobre temas específicos. Como a aplicação depende do contexto, a consulta à redação vigente da lei e aos materiais oficiais é mais segura do que usar listas genéricas encontradas na internet.

Dado pessoal sensível é uma categoria definida no art. 5º, II, da LGPD. Ela inclui dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou dado biométrico quando vinculado a uma pessoa natural. A hipótese depende do vínculo e do contexto: uma biometria associada a uma pessoa para controlar acesso não deve ser tratada como simples código operacional. Imagens, medidas ou registros técnicos exigem análise sobre o que efetivamente revelam e como são usados.

Anonimização também exige precisão. Pela LGPD, dado anonimizado é aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento. Retirar o nome não basta se um código pode ser cruzado com outra base acessível ou se a combinação de poucos registros permite reidentificação. A conclusão deve considerar as bases disponíveis, o acesso, o custo e o esforço razoavelmente necessários no contexto avaliado. Se o risco de associação for plausível e não houver controles que o reduzam, trate a informação como pessoal.

Dado de pessoa jurídica, como razão social ou CNPJ, não é dado pessoal por si só porque identifica uma entidade, não uma pessoa natural. Porém, e-mail nominal, telefone direto, nome de representante e histórico associado a um profissional podem ser dados pessoais. A tabela abaixo é uma triagem inicial, não substitui a análise da operação concreta.

Dados públicos tampouco autorizam qualquer finalidade. A LGPD determina, no art. 7º, § 3º, que o tratamento cujo acesso foi público deve considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. O art. 7º, § 4º, trata de dados tornados manifestamente públicos pelo titular, ressalvando direitos e princípios da lei. Portanto, a origem pública é um elemento da análise, não uma permissão geral para copiar, enriquecer, combinar e abordar pessoas sem avaliar o uso.

Diferenças úteis para a triagem inicial

Conceito	Relação com pessoa natural	Exemplo	O que muda na prática
Dado pessoal	Relaciona-se a pessoa identificada ou identificável	Nome, e-mail, telefone ou histórico de compra	Avaliar finalidade, necessidade, acesso, retenção, compartilhamento e segurança
Dado pessoal sensível	É dado pessoal ligado às categorias específicas do art. 5º, II, da LGPD	Dado de saúde, biométrico, genético ou sobre origem racial ou étnica	Exige cuidado reforçado e análise da hipótese legal específica do art. 11
Dado anonimizado	Não permite associação razoável com uma pessoa natural no contexto avaliado	Relatório estatístico sem reidentificação razoável por meios disponíveis	Pode deixar de ser dado pessoal enquanto permanecer efetivamente anonimizado
Dado de pessoa jurídica	Refere-se à empresa, não a uma pessoa natural	Razão social ou CNPJ	Não é dado pessoal por si só; contatos e representantes podem ser

Como transformar o diagnóstico em prioridades e controles?

Identificar dados é apenas o começo. O diagnóstico precisa entregar um inventário datado, um mapa de fluxos, uma relação de responsáveis, evidências verificáveis, riscos classificados e um plano de ação com prazo. Ele não comprova, sozinho, conformidade com a LGPD. Conformidade depende da execução contínua, da documentação atualizada e da adequação das medidas ao tratamento realizado.

Para não priorizar apenas o processo mais visível, use uma pontuação interna de 1 a 3 para quatro fatores: volume de registros, sensibilidade, número de destinatários e impacto de um incidente. Multiplique ou some os resultados e classifique de 4 a 6 como prioridade baixa, de 7 a 9 como média e de 10 a 12 como alta, desde que a empresa documente esse método e o aplique de forma consistente. Essa faixa é um instrumento de gestão, não uma classificação legal.

Volume pode ser medido por registros ativos ou por pessoas afetadas. Como referência operacional, até 1.000 pessoas, entre 1.001 e 10.000 e acima de 10.000 podem formar faixas internas; não são limites definidos pela LGPD. Um processo com 200 registros de saúde pode merecer atenção antes de uma base com 8.000 nomes usados apenas para emitir pedidos, porque sensibilidade e impacto também pesam.

Os controles devem corresponder ao resultado. Se três equipes precisam acessar o mesmo sistema, defina perfis por função, revise usuários mensalmente em processos de alta prioridade e pelo menos a cada trimestre nos demais, e remova acessos no desligamento. Para arquivos exportados, registre quem gera, onde armazena, por quanto tempo e quando elimina. Para fornecedores, mantenha contrato, instruções documentadas e evidência de revisão periódica.

Acompanhe indicadores que mostrem mudança real, e não apenas produção de documentos. Você pode medir o percentual de atividades mapeadas, a proporção de registros com finalidade e prazo definidos, o percentual de acessos revisados no período, o número de compartilhamentos sem evidência contratual e o tempo médio para atender uma solicitação ou eliminar dados vencidos. Defina uma linha de base, uma meta interna e uma data de acompanhamento, sem apresentar esses números como garantia de conformidade.

• Prioridade alta: dados sensíveis, crianças, biometria, grande volume, muitos destinatários ou impacto elevado.
• Prioridade média: operação recorrente com acesso interno amplo ou prazo de retenção ainda indefinido.
• Prioridade baixa: baixo volume, finalidade delimitada, poucos acessos e descarte já controlado.

1. Concluir o inventário inicial em até 30 dias para os processos prioritários.
2. Definir responsável e medida corretiva para cada pendência.
3. Revisar acessos e prazos em 90 dias após a primeira implementação.
4. Recalcular prioridades a cada 6 ou 12 meses ou quando houver mudança relevante.

Perguntas frequentes

Nome, CPF e e-mail são sempre dados pessoais?

Quando estão relacionados a uma pessoa natural identificada ou identificável, sim. O contexto importa: um e-mail nominal ligado a um profissional pode continuar sendo pessoal, mesmo usado em atividade empresarial.

Dado público também é protegido pela LGPD?

A publicidade da informação não elimina sua relação com a pessoa. O uso deve ser analisado conforme finalidade, boa-fé, interesse público que justificou a divulgação, transparência, segurança e a hipótese legal aplicável. Dado público não é uma autorização geral para qualquer finalidade.

Dados de uma empresa, como CNPJ, são dados pessoais?

CNPJ e razão social identificam a pessoa jurídica e não são dados pessoais por si só. Telefone, e-mail nominal ou nome de um representante vinculado ao cadastro podem ser dados pessoais.

Qual é a diferença entre dado pessoal e dado pessoal sensível?

Dado sensível é uma categoria específica de dado pessoal definida no art. 5º, II, da LGPD. Inclui, entre outros, informações sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos e dados biométricos vinculados a uma pessoa natural.

Retirar o nome torna o dado anônimo?

Não necessariamente. Se a informação puder ser vinculada novamente a alguém por códigos, combinações ou outra base razoavelmente acessível no contexto, pode continuar sendo dado pessoal. A avaliação deve considerar meios técnicos razoáveis e disponíveis na ocasião do tratamento.

Uma pequena empresa também precisa se preocupar com dados pessoais?

Sim. O porte reduzido não impede que a empresa trate dados de clientes, funcionários, candidatos, prestadores e usuários. A intensidade dos controles deve ser proporcional à atividade, ao volume, à sensibilidade e aos riscos.

O que registrar depois de identificar os dados pessoais?

Registre atividade, finalidade, categorias de dados, sistemas, acessos, compartilhamentos, evidências, prazo ou evento de retenção, responsável, data da análise e pendências. Depois, priorize processos de maior volume ou risco e acompanhe o plano de ação.

Resumindo

Comece pela rotina que você consegue observar hoje: um formulário, uma planilha, uma caixa de e-mails ou um sistema de atendimento. Registre quais informações entram, a finalidade de cada uso, quem acessa, com quem ocorre compartilhamento, quais evidências comprovam o fluxo e quando a retenção deixa de fazer sentido. Depois, aplique uma prioridade interna baseada em volume, sensibilidade, destinatários e impacto.\n\nUm diagnóstico de maturidade bem definido deve entregar inventário, mapa de processos, lacunas, responsáveis, indicadores e plano de ação. Ele não é um certificado automático de conformidade: serve para orientar decisões e acompanhar a evolução. Se aparecerem biometria, saúde, crianças, decisões automatizadas, grande volume ou compartilhamentos complexos, considere buscar orientação especializada antes de alterar o processo.

Fontes

1. Cartilha de Segurança para Internet. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Explica golpes, ataques, códigos maliciosos e outras técnicas usadas para induzir vítimas a revelar informações ou permitir o acesso indevido a contas e dispositivos.