Por A Lei Geral de Proteção de Dados Pessoais regula o tratamento de informações relacionadas a pessoas naturais. O fato de um dado estar acessível ao público não elimina a necessidade de finalidade legítima, base legal e respeito aos princípios da lei.
Onde esse conceito aparece?
Tratamento inclui coleta, consulta, armazenamento, compartilhamento e outras operações. Em uma diligência jurídica, pode haver nomes, CPFs e registros processuais. Identifique quais dados pessoais são necessários, por quanto tempo serão usados e quem terá acesso. A origem pública não muda automaticamente a natureza pessoal do dado.
A quem a lei se aplica e o que é tratamento
A LGPD disciplina operações realizadas com dados pessoais por pessoas naturais ou jurídicas, de direito público ou privado, em meios digitais ou não, ressalvadas as hipóteses legais de exclusão. Dado pessoal é informação relacionada a pessoa natural identificada ou identificável; tratamento é conceito amplo que abrange coleta, acesso, consulta, classificação, armazenamento, compartilhamento, eliminação e outras operações. Assim, uma consulta pontual pode integrar um tratamento, mesmo sem criação de um grande banco de dados. Dados de empresas, considerados isoladamente, não são dados pessoais, mas documentos empresariais podem conter nomes, contatos e identificadores de pessoas naturais. Entender essa distinção ajuda a definir escopo e controles. Consulte também o conceito de dado pessoal e as operações de tratamento.
Princípios que orientam uma operação
O artigo 6º estabelece princípios que funcionam em conjunto: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização. Na prática, primeiro descreva o objetivo específico; depois verifique se cada categoria coletada é compatível e necessária. “Pesquisar por precaução” ou “guardar porque pode ser útil” são justificativas vagas e não demonstram, por si, adequação. Qualidade exige cuidado com dados inexatos ou desatualizados; transparência requer informações claras ao titular quando aplicável; segurança e prevenção pedem medidas técnicas e administrativas proporcionais. A base legal não substitui esses princípios: mesmo um tratamento amparado em hipótese legal pode ser excessivo ou inseguro.
Bases legais: escolha ligada à finalidade
A lei prevê hipóteses diferentes para dados pessoais comuns, como consentimento, obrigação legal ou regulatória, execução de contrato, exercício regular de direitos e proteção do crédito, entre outras. Não existe uma base universal para qualquer pesquisa. A organização deve identificar quem decide a finalidade e os meios — o controlador —, descrever a operação concreta e justificar a hipótese aplicável. O legítimo interesse, quando pertinente, exige avaliação contextual e salvaguardas; não deve ser tratado como autorização automática para monitorar pessoas. Para dados pessoais sensíveis, aplicam-se hipóteses específicas do artigo 11, mais restritas. Documente a análise e reveja-a se a finalidade, os dados ou o público mudarem. A ANPD oferece orientações sobre hipóteses legais e legítimo interesse, que complementam a leitura da lei sem substituir a análise jurídica do caso.
Dados públicos e novas finalidades
A LGPD continua relevante quando os dados estão acessíveis ao público. O artigo 7º determina que o tratamento de dados cujo acesso é público considere a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização; dados tornados manifestamente públicos pelo titular também não ficam fora da lei. Se a organização pretende usar uma informação para finalidade nova, deve avaliar legitimidade, especificidade, compatibilidade e preservação dos direitos do titular. Uma publicação oficial destinada à transparência não equivale a autorização para republicação massiva, enriquecimento de perfis ou decisão discriminatória. A análise considera contexto, natureza dos dados, expectativas razoáveis, impactos e salvaguardas. Para aprofundar essa distinção, consulte o uso responsável de dados públicos.
Direitos dos titulares e atendimento
Entre os direitos previstos estão confirmação da existência de tratamento, acesso, correção, anonimização ou bloqueio de dados excessivos ou tratados em desconformidade, portabilidade nos termos aplicáveis, informação sobre compartilhamentos e possibilidade de revogar consentimento quando essa for a base utilizada. O titular também pode apresentar requerimentos ao controlador e, conforme o caso, peticionar à ANPD ou a órgãos de defesa do consumidor. A empresa precisa estabelecer canal, autenticar o solicitante com cautela, localizar os dados e responder dentro das regras legais. Não se deve prometer exclusão absoluta quando a conservação for necessária por obrigação legal ou exercício regular de direitos; a resposta deve explicar o fundamento e o escopo. Processos de atendimento bem desenhados tornam os direitos praticáveis e reduzem improvisos.
Segurança, incidentes e governança
A segurança deve ser adequada ao risco, considerando natureza e volume dos dados, finalidade, acesso, compartilhamento e possíveis danos. Controle de permissões, autenticação, criptografia quando apropriada, registro de acessos, treinamento, cópias de segurança e descarte seguro são exemplos que precisam ser avaliados no contexto, não uma lista que garante conformidade isoladamente. Defina papéis entre controlador, operador e encarregado, mantenha contratos e instruções coerentes e registre operações relevantes. Em incidentes, acione plano de resposta, preserve evidências, contenha o acesso e avalie comunicação à ANPD e aos titulares conforme a regulamentação vigente e o risco ou dano relevante. A responsabilidade demonstrável depende de medidas efetivas, não apenas de uma política publicada. Veja também segurança da informação.
Como aplicar a LGPD em consultas jurídicas
Uma consulta para análise de risco deve começar com pergunta delimitada: qual decisão será apoiada e qual dado é indispensável? Prefira fontes oficiais, limite identificadores, controle quem vê o resultado e registre data, finalidade e limitações. Diferencie pessoa homônima, alegação e decisão; ofereça procedimento para corrigir inexatidões e reavalie a retenção quando a operação terminar. Se a análise for usada para decisão exclusivamente automatizada que afete interesses do titular, examine as regras do artigo 20 e as garantias de revisão e informação pertinentes. Um relatório não deve revelar mais dados do que o necessário para explicar o achado. A combinação de consultas jurídicas por CPF com princípios de minimização e transparência precisa ser avaliada pelo contexto, e não presumida legítima apenas porque a fonte é pública.
Controlador, operador e encarregado
Controlador é quem toma as principais decisões sobre as finalidades e os elementos essenciais do tratamento; operador trata dados em nome do controlador, conforme instruções; encarregado atua como canal de comunicação nas condições previstas pela lei e pela regulamentação. Uma mesma organização pode ocupar papéis diferentes em operações distintas. Contratos devem refletir a prática: quem define a finalidade, decide quais dados consultar, determina retenção e atende solicitações? Não basta chamar fornecedor de operador se ele usa os dados para objetivos próprios. Distribua responsabilidades, restrinja acessos e documente instruções, subcontratações e resposta a incidentes. Essa clareza é especialmente importante quando ferramentas externas recebem dados identificáveis.
Retenção, eliminação e prestação de contas
A LGPD não estabelece um prazo único de guarda para todos os dados. A conservação precisa estar conectada à finalidade e às hipóteses legais aplicáveis, inclusive obrigações legais, exercício regular de direitos e outras previsões. Crie uma tabela de retenção por categoria e atividade, defina gatilhos de revisão e elimine ou anonimize de forma segura quando a conservação não for mais necessária, ressalvadas as hipóteses permitidas. A organização também deve conseguir demonstrar as medidas adotadas: inventário, registros, avaliações, contratos, controles e decisões documentadas. Um relatório de impacto à proteção de dados pode ser instrumento útil para tratamentos que apresentem riscos relevantes, conforme o contexto e orientações da ANPD; não é um formulário que substitua a gestão contínua.
Lista prática para uma nova consulta
Antes da coleta, escreva a finalidade em uma frase e identifique a base legal adequada; delimite quais dados e fontes são indispensáveis; informe o titular quando exigido e avalie expectativas e possíveis impactos. Durante o tratamento, limite acesso, proteja arquivos, preserve a origem e a data, e registre alterações. Na análise, diferencie fatos, inferências e lacunas, revise homônimos e não use dado sensível sem verificar as condições específicas do artigo 11. Ao concluir, defina prazo de retenção, descarte seguro e canal para solicitações. Se houver compartilhamento, confirme compatibilidade, papéis e salvaguardas. Esse fluxo simples não garante conformidade por si só, mas cria perguntas concretas para governança e reduz improvisação em consultas recorrentes.
Por que importa em uma decisão?
Antes de buscar informações sobre alguém, formule a finalidade e avalie a hipótese legal pertinente. Depois, reduza os campos ao mínimo necessário e permita que a conclusão seja auditável: fonte, data, contexto e limitações. Essa disciplina protege o titular e melhora a qualidade da decisão.
Limites e cuidados de interpretação
Consentimento não é a única base legal, mas também não se deve escolher uma base de forma genérica para justificar qualquer consulta. Dados sensíveis e decisões automatizadas têm cuidados adicionais. A aplicação concreta depende do contexto, da finalidade e das regras específicas de cada fonte.
A LGPD se aplica ao tratamento de dados pessoais
A Lei 13.709/2018 estabelece regras para operações com dados pessoais realizadas por pessoas naturais ou jurídicas, públicas ou privadas, observados âmbito territorial e exceções legais. Coleta, consulta, uso, armazenamento, compartilhamento e eliminação podem ser tratamento. Dado publicamente acessível não fica automaticamente fora da lei.
Princípios orientam o ciclo
Finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização orientam decisões sobre dados. Defina propósito específico, limite elementos ao necessário, explique o uso e implemente controles compatíveis com risco. Uma base legal não dispensa os demais princípios.
Direitos e papéis
O titular pode exercer direitos previstos na lei perante os agentes de tratamento. Controlador decide finalidades e elementos essenciais; operador trata dados em nome do controlador sob instruções, conforme contexto real. Contratos ajudam a distribuir tarefas, mas o papel depende de quem efetivamente decide e executa.
Governança e incidentes
Mantenha inventário, bases legais, contratos, controles, canal do titular e resposta a incidentes. A comunicação à ANPD e aos titulares segue regulamento e depende de risco ou dano relevante, com prazo previsto na Resolução CD/ANPD 15/2024. Não comunique automaticamente todo evento nem oculte ocorrência relevante; avalie e documente. Veja dado pessoal sensível e compartilhamento de dados.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.