Entenda a definição de dados pessoais na LGPD, reconheça identificações indiretas e aplique critérios práticos no cadastro, atendimento e recrutamento.

Antes de contratar uma ferramenta, compartilhar uma planilha ou criar um formulário, você precisa saber se as informações envolvidas entram no escopo da LGPD. A dúvida costuma surgir quando o arquivo não contém apenas nome e CPF: há códigos de cliente, históricos de atendimento, gravações, endereços de e-mail, registros de acesso e observações feitas por funcionários.

Principais pontos

• Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável, mesmo quando o nome não aparece.
• A identificação pode resultar da combinação de códigos, registros, características e bases complementares disponíveis no contexto da empresa.
• Dado público, criptografado ou substituído por código não deixa automaticamente de ser dado pessoal.
• Dado pessoal sensível é uma categoria específica que exige análise mais cuidadosa, mas nem todo dado pessoal é sensível.
• A anonimização depende da possibilidade razoável de reidentificação, e não apenas da retirada do nome.
• O diagnóstico começa com um processo real, como cadastro de clientes ou recrutamento, e não com uma política genérica copiada.
• Uma classificação útil registra finalidade, acesso, compartilhamento, retenção e justificativa para cada conjunto de dados.

Sua empresa trata dados pessoais mesmo quando não percebe?

Ao compartilhar uma planilha com uma plataforma de atendimento, você não deve decidir pela extensão do arquivo nem pelo nome do sistema. A pergunta é se há informação relacionada a uma pessoa natural identificada ou identificável, como estabelece o artigo 5º, inciso I, da Lei nº 13.709/2018, a LGPD. Assim, um cadastro de cliente, uma mensagem de suporte ou um currículo podem estar sujeitos à lei, ainda que tenham sido criados internamente.

A definição acompanha o contexto de uso. Um número de pedido pode parecer apenas comercial, mas se a empresa consegue vinculá-lo ao comprador por meio do CRM, do histórico de vendas ou de outro registro acessível, ele participa de um conjunto de dados pessoais. O mesmo raciocínio se aplica a registros digitais, documentos impressos, áudios e imagens: o suporte utilizado não determina, sozinho, a incidência da LGPD.

Para priorizar a análise sem tentar revisar todos os arquivos ao mesmo tempo, comece pelos dados que circulam entre áreas ou fornecedores, sustentam decisões sobre clientes e funcionários ou permanecem armazenados por longos períodos. Depois, registre quais informações são usadas, por quem e para qual finalidade. Esse recorte ajuda a concentrar esforço nos conjuntos com maior exposição operacional, sem presumir que todo documento empresarial contenha dados pessoais.

A menção a sete anos exige cautela: a LGPD não estabelece um prazo geral de retenção de sete anos para todos os dados pessoais. Esse período pode aparecer em uma obrigação específica, em contrato ou em política interna, mas sua adoção precisa ser justificada pelo caso concreto. Se não houver fundamento documentado, trate o prazo como uma decisão a revisar, considerando a finalidade e a obrigação aplicável, e não como regra automática.

• Atenda primeiro aos conjuntos compartilhados com terceiros.
• Verifique registros usados para decisões sobre pessoas.
• Reavalie arquivos mantidos além da necessidade operacional.

Como saber se uma informação identifica ou pode identificar uma pessoa?

Quando a informação aponta para uma pessoa sem depender de outra fonte, há identificação direta. Isso ocorre com nome completo, CPF, documento de identidade, fotografia reconhecível ou voz associada a alguém. Um endereço de e-mail com nome e sobrenome geralmente permite essa associação, enquanto “contato@empresa.com.br” pode exigir contexto adicional. O critério é verificar se uma pessoa natural pode ser reconhecida a partir do próprio dado, considerando sua apresentação e finalidade de uso.

Já a identificação indireta depende da combinação com outras informações. Um código de cliente, protocolo ou matrícula pode não revelar o nome isoladamente, mas passa a se relacionar a uma pessoa quando sua empresa mantém uma tabela de correspondência ou consegue consultar outra base. Cidade, profissão, horário e características específicas também podem tornar alguém distinguível quando o conjunto reduz significativamente as alternativas, mesmo sem conter um identificador evidente.

Para decidir se a associação é razoavelmente possível, examine os meios que sua empresa realmente pode usar durante o tratamento. Registre quais bases complementares existem, quem possui permissão para consultá-las, quantas etapas são necessárias, quanto tempo e recurso técnico seriam exigidos e se a finalidade depende dessa ligação. Não há um prazo universal, como 24 horas: uma associação que exige poucos cliques merece avaliação diferente daquela que depende de acesso restrito, cruzamentos complexos ou terceiros.

Em contratos e cadastros empresariais, separe a sociedade da pessoa natural relacionada a ela. A razão social, o CNPJ e dados operacionais da empresa não se tornam dados pessoais apenas por descreverem uma pessoa jurídica. Porém, telefone ou e-mail nominal de um representante, dados de sócio, assinatura, informações de empresário individual e registros que revelem sua atuação podem identificar uma pessoa natural e devem ser analisados nessa condição.

Quanto ao conteúdo, pessoa natural pode ser identificada por dados comuns ou por uma categoria especialmente protegida. São dados pessoais sensíveis as informações sobre origem racial ou étnica, religião, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético e dado biométrico vinculado à pessoa natural. Um telefone comercial nominal continua sendo pessoal, mas não sensível apenas por aparecer em um cadastro profissional.

Por fim, anonimizar não significa apenas retirar o nome. Substituir identificadores por códigos, ocultar uma coluna ou criptografar um arquivo pode manter a possibilidade de associação, especialmente se alguém conservar a tabela que permite desfazer a substituição. A informação só será considerada anonimizada quando a identificação não puder ocorrer pelos meios próprios e razoáveis disponíveis no momento do tratamento. Se houver chave de reversão, controle de acesso ou outra forma prática de reconectar o registro ao titular, trate o conjunto como dado pessoal.

Como aplicar a definição de dados pessoais no diagnóstico da sua empresa?

Comece por um processo que combine volume, circulação e impacto, como cadastro de clientes, folha de pagamento ou atendimento. Defina o processo escolhido por escrito, indique seu início e fim e nomeie uma pessoa para coordenar o levantamento. Em uma empresa pequena, essa função pode ficar com o gestor da área, desde que ele consiga consultar vendas, tecnologia, financeiro e os prestadores envolvidos.

O primeiro entregável é uma ficha do fluxo, não uma política pronta. Para cada informação, registre o campo ou documento, a origem, a finalidade, o sistema, a área que utiliza, os destinatários e o prazo praticado de retenção. Delimite também o que ficou fora da análise. Se o cadastro passa por CRM, atendimento e marketing, trate a passagem entre os três sistemas como parte do mesmo percurso.

A responsabilidade precisa aparecer ao lado de cada resposta. O responsável pelo fluxo confirma como o processo funciona; a tecnologia informa integrações, perfis de acesso e cópias; compras ou jurídico conferem contratos e compartilhamentos. Quando houver dúvida, anexe uma evidência de origem, como formulário, tela do sistema, contrato ou procedimento interno. Assim, outra pessoa consegue revisar o registro sem depender apenas da memória da equipe.

Não limite a busca ao sistema oficial. Verifique planilhas, e-mails, aplicativos de mensagens, gravações, pastas compartilhadas e arquivos físicos usados para executar a mesma finalidade. Para um diagnóstico inicial, escolha de uma a três áreas com maior circulação de informações e conclua a coleta em dois a cinco dias úteis, registrando pendências em vez de preencher lacunas com suposições.

Considere o fluxo suficientemente mapeado somente quando houver um critério de encerramento verificável. O registro deve permitir que você localize a entrada e a saída da informação, identifique as áreas e terceiros envolvidos, explique os acessos e a retenção e aponte o que ainda não foi confirmado. Use os seguintes testes antes de encerrar a ficha:

],

Quais cuidados evitam erros na classificação?

Um resultado documentado pode ser objetivo: “Código de chamado 8472: dado pessoal no suporte, porque a equipe consulta a tabela que relaciona código, nome e telefone; manter acesso restrito e retenção conforme a política do processo”. Para um fornecedor que recebe apenas contagens mensais sem identificadores nem possibilidade razoável de associação, registre a conclusão diferente e os campos efetivamente enviados.

A informação pública exige o mesmo cuidado contextual. Se sua empresa copia perfis profissionais para uma planilha de recrutamento, documente origem, finalidade, campos coletados, responsáveis e prazo de revisão. Já a criptografia, a pseudonimização ou a remoção do nome não encerram a análise por si mesmas: quando a empresa conserva a chave, a tabela de correspondência ou combinações acessíveis, trate o conjunto de acordo com essa possibilidade.

Estabeleça um gatilho de revisão em vez de confiar em uma classificação permanente. Reabra o registro quando houver novo uso, integração, mudança de fornecedor, inclusão de campo ou acesso por outra equipe. Encaminhe ao responsável pela privacidade ou ao jurídico interno apenas os casos que permaneçam inconclusivos após o teste, documentando a pergunta, as evidências consultadas e a medida temporária adotada.

1. Delimite o processo, os campos avaliados e a finalidade de uso.
2. Mapeie cópias, integrações, perfis de acesso e destinatários.
3. Teste se a combinação disponível permite associar o registro a alguém.
4. Registre classificação, justificativa, responsável, data e pendências.
5. Defina revisão quando mudar finalidade, sistema, destinatário ou conjunto de campos.

Perguntas frequentes

Qual é a definição de dado pessoal na LGPD?

É a informação relacionada a uma pessoa natural identificada ou identificável, conforme o artigo 5º, inciso I, da Lei nº 13.709/2018. O conceito inclui identificações diretas e indiretas.

Nome e CPF são os únicos exemplos de dados pessoais?

Não. Telefone, e-mail nominal, imagem, voz, endereço, currículo, histórico de atendimento, código interno e registro de acesso podem ser dados pessoais quando relacionados a uma pessoa identificada ou identificável.

Um dado que não contém o nome ainda pode identificar uma pessoa?

Sim. Um código ou conjunto de características pode permitir a identificação quando combinado com uma chave, outra base ou informações disponíveis no contexto da empresa.

Dado público deixa de ser protegido pela LGPD?

Não necessariamente. A disponibilidade pública não elimina automaticamente o caráter pessoal. É preciso avaliar finalidade, contexto, forma de uso e demais elementos do tratamento.

Qual é a diferença entre dado pessoal e dado pessoal sensível?

Dado sensível é uma categoria específica de dado pessoal que inclui informações como saúde, origem racial ou étnica, religião, opinião política, vida sexual, genética e biometria vinculada a uma pessoa natural.

Qual é a diferença entre dado anonimizado e pseudonimizado?

Na anonimização, a identificação não deve ser possível considerando meios próprios e razoáveis disponíveis. Na pseudonimização, normalmente existe uma chave ou informação complementar que permite reidentificar o titular.

Dados de funcionários e candidatos também entram na definição de dados pessoais?

Sim. Currículos, contatos, avaliações, registros funcionais, dados salariais e informações de saúde podem estar relacionados a pessoas naturais e devem ser avaliados conforme o contexto.

Por onde uma pequena empresa deve começar?

Escolha um processo frequente, como cadastro de clientes ou recrutamento, liste seus campos e sistemas, identifique acessos e compartilhamentos, marque possíveis dados sensíveis e registre as dúvidas para revisão.

Conclusão

Para aplicar a definição de dados pessoais segundo a LGPD, comece por uma informação concreta e pergunte se ela se relaciona a uma pessoa natural identificada ou identificável. Verifique identificadores diretos, combinações indiretas, dados sensíveis e possibilidade de reidentificação. Depois, registre finalidade, acesso, compartilhamento e retenção no fluxo real.