LGPD em sistema próprio: o mínimo obrigatório
O que a LGPD exige de um sistema desenvolvido sob medida: base legal, prazo de retenção, direitos do titular e registro de tratamento, na prática.
O mínimo que um sistema precisa ter é base legal definida para cada dado coletado, prazo de retenção com descarte automático, um caminho para o titular exercer seus direitos e registro de quem acessou o quê. Nada disso aparece na tela, mas é o que responde a uma fiscalização.
Adequar um sistema à LGPD não é colocar um banner de cookies e um texto de política de privacidade no rodapé. O mínimo obrigatório é estrutural: cada dado pessoal guardado precisa de uma base legal, um prazo de descarte, um caminho para o titular exercer direitos e um registro de acesso. Este texto explica o que isso significa dentro do software. Não é aconselhamento jurídico, as decisões de enquadramento devem ser validadas com advogado.
Qual base legal justifica cada dado que o sistema guarda
O artigo 7º da LGPD lista dez hipóteses que autorizam tratar dado pessoal. Consentimento é só uma delas, e raramente é a melhor para sistema corporativo, porque pode ser revogado a qualquer momento e obriga a apagar o dado.
As que mais aparecem em sistemas de empresa:
| Base legal | Quando costuma se aplicar | Cuidado |
|---|---|---|
| Execução de contrato | Dados do cliente necessários para prestar o serviço contratado | Só cobre o que é necessário, não o extra |
| Obrigação legal ou regulatória | Nota fiscal, folha de pagamento, registro contábil | Guarde só pelo prazo que a norma exige |
| Legítimo interesse | Prevenção a fraude, segurança do sistema, analytics interno | Exige avaliação documentada e teste de balanceamento |
| Consentimento | Marketing, comunicação opcional, cookies não essenciais | Precisa ser livre, informado e revogável com o mesmo esforço |
| Proteção do crédito | Análise de risco e cobrança | Regras específicas, valide com jurídico |
Dados sensíveis (saúde, biometria, origem racial, opinião política, filiação sindical) seguem o artigo 11, com lista própria e mais restrita. Se o sistema guarda esse tipo de informação, o enquadramento precisa ser feito com apoio jurídico antes de escrever a primeira linha de código.
Na prática: monte uma planilha com uma linha por campo de dado pessoal do banco. Colunas: campo, finalidade, base legal, prazo de retenção, quem acessa. Se algum campo não tiver finalidade clara, ele não deveria existir. Esse é o teste de minimização.
Por quanto tempo guardar e como descartar
A LGPD manda eliminar o dado quando a finalidade se esgota (artigo 15/16). Não existe prazo único na lei, cada tipo de dado tem o seu, cruzando finalidade de negócio com prazos legais de guarda.
O erro comum é tratar retenção como política em PDF. Política sem implementação não protege ninguém. O sistema precisa de:
- Campo de data de referência em cada registro que dispara a contagem
- Rotina automática que anonimiza ou apaga o que passou do prazo
- Log do descarte, para provar que aconteceu
- Tratamento de exceção: registro sob litígio ou fiscalização não pode ser apagado
Anonimizar costuma ser melhor que apagar quando você precisa manter o histórico estatístico. Mas anonimização de verdade é irreversível: se sobra um identificador que permite reidentificar a pessoa cruzando com outra tabela, você fez pseudonimização, e pseudonimização continua sendo dado pessoal.
Quais direitos o titular pode exercer
O artigo 18 dá ao titular o direito de pedir confirmação, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. Um sistema adequado precisa conseguir responder a esses pedidos sem um desenvolvedor rodando SQL na unha.
O que implementar, em ordem de esforço:
- Exportar tudo de um titular em formato legível (JSON ou CSV) a partir do CPF ou e-mail. Resolve confirmação, acesso e portabilidade de uma vez.
- Corrigir dados pela própria interface, com registro de quem alterou.
- Excluir ou anonimizar um titular, respeitando o que precisa ser mantido por obrigação legal.
- Listar com quem o dado foi compartilhado, integrações, gateways, provedores.
Sobre prazos: o artigo 19 prevê resposta em formato simplificado de imediato ou declaração completa em até 15 dias para o pedido de acesso. Os demais pedidos não têm prazo expresso na lei, e o entendimento aplicável ao seu caso deve ser confirmado com o jurídico.
O que precisa estar registrado
Dois registros importam para fiscalização:
Registro das operações de tratamento (artigo 37). É o inventário: quais dados, para quê, com que base legal, por quanto tempo, com quem compartilhados. Aquela planilha do começo do texto é exatamente isso.
Trilha de auditoria dentro do sistema. Quem visualizou, alterou ou exportou dado pessoal, quando e de qual IP. Sem isso, você não consegue nem detectar um acesso indevido nem provar que ele não aconteceu.
Segurança e incidente
O artigo 46 exige medidas técnicas e administrativas de proteção, sem listar quais. Na prática, o piso é: senha com hash forte, controle de permissão por perfil, HTTPS, banco não exposto à internet, backup testado e dependências atualizadas.
Se houver incidente com risco relevante aos titulares, existe obrigação de comunicar a ANPD e os afetados. A Resolução CD/ANPD nº 15/2024 fixou prazo de 3 dias úteis para a comunicação à autoridade a partir do conhecimento do incidente. Tenha um procedimento escrito antes de precisar dele, no dia do vazamento não sobra tempo para decidir quem liga para quem.
Checklist mínimo antes de colocar em produção
- Inventário de dados pessoais com base legal e prazo de retenção
- Rotina automática de descarte ou anonimização, com log
- Exportação e exclusão de titular disponíveis na interface
- Trilha de auditoria de acesso e alteração
- Política de privacidade que descreve o que o sistema realmente faz
- Canal de contato para o titular, divulgado
- Contrato com cada operador (hospedagem, e-mail, gateway) com cláusulas de proteção de dados
- Procedimento de resposta a incidente definido por escrito
As sanções chegam a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração, além de bloqueio e eliminação dos dados. Mas o motivo prático de fazer isso direito é outro: sistema com inventário, retenção e auditoria é mais fácil de manter, migrar e auditar, independentemente da lei.
Perguntas frequentes
Preciso pedir consentimento para tudo?
Não. O consentimento é apenas uma das dez bases legais do artigo 7º da LGPD. Execução de contrato, cumprimento de obrigação legal e legítimo interesse cobrem a maior parte dos sistemas corporativos, e costumam ser mais estáveis que o consentimento, que pode ser revogado a qualquer momento.
Por quanto tempo posso guardar os dados dos meus clientes?
Pelo tempo necessário para a finalidade que justificou a coleta, mais os prazos legais de guarda (fiscal, trabalhista, cível). Não existe um número único na lei, então o caminho é montar uma tabela de retenção por tipo de dado e implementar o descarte no sistema.
Sistema pequeno também precisa se adequar?
Sim. A LGPD não isenta empresas pelo porte. A Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações para agentes de pequeno porte, como a indicação formal de encarregado, mas as regras de base legal, finalidade, segurança e direitos do titular continuam valendo.
Tem um processo que consome o time?
Me conta como funciona hoje. Se der para automatizar, eu te digo por onde começar — a conversa de diagnóstico não é cobrada.
Natiam Gabriel é AI Engineer & Full-Stack Developer e fundador da Retti Tech, estúdio de desenvolvimento de software que atende empresas em todo o Brasil. Constrói sistemas web sob medida, automações e integrações, com ou sem inteligência artificial, do levantamento de requisitos até a operação em produção. Mais de 20 empresas usam em produção os sistemas que desenvolveu.