LGPD no desenvolvimento de software, o que o seu sistema precisa ter

A Lei Geral de Proteção de Dados (Lei 13.709/2018) costuma ser tratada como assunto do jurídico, mas boa parte dela só se cumpre dentro do sistema. Termo de privacidade bem escrito não adianta se o banco de dados guarda tudo para sempre, sem controle de quem acessa. Este é um roteiro do que a lei pede, traduzido em requisitos técnicos.

Não é aconselhamento jurídico. As bases legais e a política de privacidade da sua empresa devem ser definidas com um profissional da área. O papel do sistema é tornar essas decisões possíveis de cumprir.

Colete só o que precisa

O princípio da necessidade diz que você deve tratar o mínimo de dados para a finalidade. No sistema, isso significa revisar cada campo do cadastro com uma pergunta: para que usamos isso?

Data de nascimento para dar desconto de aniversário talvez faça sentido. CPF num cadastro de newsletter, não. Cada campo a menos é um risco a menos se houver vazamento.

Saiba por que cada dado está ali

Todo tratamento precisa de uma base legal: consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras previstas na lei. O jurídico define a base; o sistema precisa registrar.

Quando a base é o consentimento, o sistema deve guardar quando, como e para o que a pessoa consentiu, e permitir que ela retire o consentimento com a mesma facilidade com que deu. Uma caixa já marcada no formulário não vale como consentimento.

Controle quem acessa o quê

• Cada usuário com o próprio login. Nada de senha compartilhada pela equipe.
• Permissões por função: o vendedor vê os clientes dele, o financeiro vê pagamentos e o suporte não precisa ver tudo.
• Registro de acessos e alterações em dados pessoais, com quem, quando e o quê.
• Autenticação em dois fatores para perfis administrativos.

Esses registros são o que permite responder, depois de um incidente, o que foi exposto e para quem.

Proteja os dados em trânsito e em repouso

• HTTPS em tudo, inclusive nas APIs internas.
• Senhas guardadas com hash forte (bcrypt, scrypt ou argon2), nunca em texto puro nem com criptografia reversível.
• Dados especialmente sensíveis (saúde, biometria, documentos) criptografados no banco.
• Backups criptografados, testados e com acesso restrito. Backup aberto num servidor esquecido é uma das origens mais comuns de vazamento.
• Chaves, tokens e certificados fora do código-fonte.

Atenda os direitos do titular

A pessoa tem direito de saber quais dados você tem sobre ela, corrigir, pedir a exclusão (quando não houver outra base que justifique manter) e levar os dados para outro fornecedor. O sistema precisa ter, no mínimo, um jeito de localizar todos os dados de uma pessoa e exportá-los ou apagá-los.

Parece simples até descobrir que o mesmo cliente está no CRM, no sistema de pedidos, na planilha do financeiro e no histórico do WhatsApp. Por isso o mapeamento de onde os dados moram deve acontecer no projeto, não depois.

Defina por quanto tempo guardar

Dado pessoal não deve ficar para sempre. Algumas informações têm prazo legal mínimo (notas fiscais, por exemplo, por cinco anos), outras podem ser apagadas ou anonimizadas quando a relação acaba. O sistema deve aplicar essas regras sozinho, com rotinas de limpeza, em vez de depender de alguém lembrar.

Fornecedores também contam

Serviço de e-mail, hospedagem, meio de pagamento, emissão de nota, IA. Cada fornecedor que recebe dados pessoais é um operador, e a sua empresa responde junto. Confira contratos e onde os dados ficam armazenados, principalmente se forem para fora do país. Vale também para assistentes de IA, como discutimos em IA na empresa, por onde começar.

Quando acontece um incidente

Vazamento, acesso indevido ou perda de dados que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD (Autoridade Nacional de Proteção de Dados) e às pessoas afetadas. A regulamentação da ANPD prevê o prazo de três dias úteis a partir do conhecimento do incidente.

Tenha um plano escrito antes de precisar: quem decide, quem investiga, quem comunica. Os registros de acesso e os backups são o que permite agir rápido.

As sanções da lei vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além da publicização do caso. Na prática, o dano à reputação costuma pesar mais que a multa.

Coloque isso no escopo

Privacidade é muito mais barata quando entra no projeto desde o início. Se você está planejando um sistema, inclua estes pontos na seção de restrições do escopo, como sugerimos em como escrever o escopo de um projeto de software.