LGPD

A Lei Geral de Proteção de Dados Pessoais deve ser incorporada à rotina dos conselhos como um modelo de governança, e não como um conjunto isolado de formulários. Conselhos recebem cadastros de conselheiros, listas de presença, contatos de usuários, denúncias, requerimentos, currículos, documentos de entidades, registros de reuniões, imagens, gravações e informações sobre beneficiários de políticas públicas. Parte desse acervo pode revelar saúde, deficiência, origem racial, convicção religiosa, opinião política, filiação sindical ou outros dados pessoais sensíveis.

A proteção de dados não impede transparência, participação social ou controle público. Ela exige que cada divulgação tenha finalidade legítima, base jurídica, conteúdo proporcional e medidas de segurança. O desafio é equilibrar dois deveres públicos: permitir o acesso à informação e evitar exposição desnecessária de pessoas. Publicar uma resolução pode ser obrigatório; divulgar telefone pessoal, assinatura, endereço residencial ou documento de identidade geralmente não é necessário para atender essa finalidade.

Este manual apresenta uma metodologia prática para presidentes, secretarias executivas, conselheiros, encarregados, equipes de tecnologia, comunicação, arquivo, jurídico e controle interno. A adequação deve ser proporcional à realidade do órgão, documentada e continuamente revisada.

O objetivo central é criar um ciclo de vida seguro para os dados pessoais, desde a coleta até o descarte. Isso inclui saber quais informações entram no conselho, onde ficam armazenadas, quem acessa, com quem são compartilhadas, quais documentos são publicados e como pedidos de titulares e incidentes serão tratados.

• Reduzir coletas excessivas e formulários sem justificativa.
• Definir papéis, permissões e responsabilidades.
• Evitar exposição indevida em atas, portais, grupos de mensagens e redes sociais.
• Estabelecer prazos de retenção e descarte seguro.
• Manter evidências de conformidade e decisões administrativas.
• Garantir canal acessível para exercício de direitos.
• Preparar resposta coordenada a incidentes de segurança.

O resultado esperado não é “risco zero”, algo irreal em ambientes humanos e tecnológicos, mas risco conhecido, tratado e monitorado. A governança deve ser simples o suficiente para funcionar na rotina e robusta o suficiente para demonstrar responsabilidade.

A Lei nº 13.709/2018 disciplina o tratamento de dados pessoais por pessoas naturais e jurídicas, de direito público ou privado. Para conselhos vinculados à administração pública, merecem atenção especial as regras sobre tratamento pelo poder público, a execução de políticas públicas, a prestação de serviços e o uso compartilhado de dados. A análise deve considerar também a Constituição Federal, a Lei de Acesso à Informação, a legislação arquivística, a Lei de Governo Digital, normas locais, regimento interno e regras setoriais da política pública.

Os princípios da LGPD orientam toda decisão: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização. Na prática, isso significa coletar apenas o necessário, manter dados corretos, informar o titular com clareza, restringir acessos, prevenir danos e registrar as providências adotadas.

A escolha da hipótese legal deve ser feita por atividade. Cumprimento de obrigação legal, execução de política pública, exercício regular de direitos, proteção da vida, tutela da saúde e consentimento possuem requisitos distintos. O consentimento precisa ser livre, informado, inequívoco e relacionado a finalidade determinada, podendo ser inadequado quando há desequilíbrio entre o órgão e o cidadão ou quando o tratamento decorre de dever público.

Dados de crianças e adolescentes exigem avaliação reforçada do melhor interesse. Dados sensíveis demandam maior cautela, acesso restrito e justificativa específica. Dados tornados públicos pelo próprio titular não perdem automaticamente a proteção legal.

A adequação funciona quando responsabilidades deixam de ser nebulosas. O órgão ou entidade que determina as finalidades e os meios do tratamento atua, em regra, como controlador. Prestadores que tratam dados conforme instruções podem atuar como operadores. O enquadramento depende da realidade, não apenas do nome escrito no contrato.

O encarregado é canal de comunicação com titulares e com a Autoridade Nacional de Proteção de Dados, além de apoiar orientação interna. Sua identidade e informações de contato devem ser divulgadas de forma clara. A função exige recursos, acesso à direção, independência técnica compatível e prevenção de conflitos de interesse. O encarregado não substitui jurídico, tecnologia, arquivo ou controle interno: ele articula a governança.

Contratos com fornecedores devem definir objeto, finalidade, categorias de dados, obrigações de segurança, subcontratação, devolução ou eliminação ao término, cooperação em incidentes e auditoria. Cláusulas genéricas não substituem a compreensão real do fluxo.

O primeiro diagnóstico deve mapear processos, não apenas sistemas. Uma planilha pode conter riscos tão relevantes quanto um software. Entreviste cada área e acompanhe o percurso das informações: coleta, conferência, armazenamento, uso, publicação, compartilhamento, arquivo e descarte.

1. Liste atividades que utilizam dados pessoais: composição, eleição, reuniões, inscrições, denúncias, consultas, conferências, credenciamento, comunicação e prestação de contas.
2. Identifique categorias de titulares: conselheiros, servidores, representantes de entidades, cidadãos, crianças, beneficiários, fornecedores e visitantes.
3. Registre dados coletados, incluindo sensíveis, imagens, gravações, geolocalização e credenciais.
4. Indique finalidade, hipótese legal, origem, responsáveis, sistemas, documentos físicos e destinatários.
5. Avalie prazo de guarda, fundamento arquivístico e método de eliminação.
6. Classifique riscos e defina plano de ação com prioridade, responsável e prazo.

O inventário deve revelar duplicidades, formulários excessivos, contas compartilhadas, arquivos pessoais, grupos informais de mensagens, equipamentos sem proteção, publicações integrais de documentos e contratos sem regras de privacidade. Cada achado precisa gerar medida verificável.

A implementação deve ser conduzida em ciclos. Comece pelos processos com maior impacto e maior volume de dados, sem esperar que todos os documentos estejam perfeitos para iniciar melhorias.

1. Institua governança. Defina patrocinador, grupo de trabalho, encarregado, responsáveis locais e calendário de reuniões.
2. Mapeie tratamentos. Consolide inventário e registre fluxos entre conselho, secretaria, prefeitura, entidades e fornecedores.
3. Revise bases e avisos. Relacione cada finalidade à hipótese legal e informe titulares em linguagem simples.
4. Minimize. Remova campos, cópias, anexos e divulgações que não tenham necessidade demonstrável.
5. Organize acessos. Use contas individuais, menor privilégio, revisão periódica e retirada imediata em desligamentos.
6. Proteja documentos. Defina repositórios oficiais, classificação, nomenclatura, versão, cópia de segurança e restauração testada.
7. Revise transparência. Produza versões públicas com ocultação de dados desnecessários, preservando o conteúdo institucional.
8. Prepare atendimento. Crie fluxo para autenticação, análise, resposta, registro e recurso nos pedidos de titulares.
9. Prepare incidentes. Estabeleça canal, equipe, critérios de risco, comunicação e preservação de evidências.
10. Treine e monitore. Capacite por função, acompanhe indicadores e revise o programa pelo menos periodicamente.

Planos de ação devem conter medida, risco tratado, responsável, recursos, prazo, evidência e situação. A frase “adequar à LGPD” é vaga; “retirar CPF das atas públicas e publicar versão anonimizada até determinada data” é controlável.

Conselhos produzem documentos que precisam ser públicos. A resposta adequada não é ocultar toda informação nem publicar tudo sem filtro. Deve-se distinguir conteúdo necessário ao controle social de dados pessoais acessórios. Nome e função de autoridade em ato oficial podem ser essenciais; telefone particular, assinatura manuscrita, endereço, documento de identidade, dados bancários e informações médicas raramente precisam constar na versão pública.

Antes da publicação, aplique revisão de privacidade. Gere uma versão integral para arquivo institucional e, quando necessário, uma versão pública com tarjas definitivas ou substituições textuais. A simples sobreposição visual em PDF pode permitir recuperação do texto ocultado. Ferramentas de edição devem remover o conteúdo, não apenas cobri-lo.

• Listas de presença: publique apenas o necessário para comprovar participação.
• Atas: evite reproduzir dados pessoais relatados oralmente sem relevância deliberativa.
• Gravações: informe finalidade, acesso, prazo e eventual transmissão.
• Fotografias: avalie contexto, expectativa e exposição de crianças ou grupos vulneráveis.
• Pedidos de informação: aplique acesso parcial quando documento misturar conteúdo público e protegido.

Segurança envolve medidas administrativas, físicas e tecnológicas. Senhas fortes não compensam armários abertos; portas trancadas não compensam links públicos. O conjunto deve proteger confidencialidade, integridade, disponibilidade e autenticidade.

Grupos pessoais de mensagens e e-mails particulares devem ser evitados para documentos sensíveis. Quando um canal instantâneo for indispensável, limite o conteúdo, defina regras e transfira decisões e documentos para o repositório oficial. A saída de conselheiro ou servidor deve acionar retirada de acesso, devolução de equipamentos e preservação dos registros institucionais.

O plano de continuidade deve indicar sistemas críticos, responsáveis, cópias de segurança, contatos de emergência, procedimentos alternativos e prioridade de recuperação.

O conselho deve disponibilizar canal simples para solicitações relacionadas a confirmação de tratamento, acesso, correção, informação sobre compartilhamentos e demais direitos previstos na legislação. Nem todo pedido resultará em exclusão: obrigações legais, arquivo público, exercício de direitos e outras hipóteses podem justificar conservação.

1. Receber e protocolar a solicitação.
2. Confirmar a identidade com método proporcional, evitando nova coleta excessiva.
3. Identificar áreas e sistemas relacionados.
4. Analisar limites jurídicos, direitos de terceiros e regras de acesso à informação.
5. Responder em linguagem clara, registrando fundamento e providências.
6. Manter histórico do atendimento e das evidências.

Solicitações recebidas por conselheiros devem ser encaminhadas ao canal oficial. Respostas improvisadas podem revelar dados de terceiros ou comprometer prazos e consistência.

Incidente é evento confirmado que compromete ou pode comprometer confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Exemplos incluem envio ao destinatário errado, perda de notebook, acesso indevido, publicação acidental, ransomware, destruição de arquivo e alteração não autorizada.

1. Conter. Suspender links, bloquear contas, isolar equipamentos e impedir ampliação do dano.
2. Preservar evidências. Registrar datas, sistemas, mensagens, logs e ações executadas.
3. Avaliar. Identificar dados, titulares, volume, sensibilidade, medidas de proteção e consequências possíveis.
4. Mitigar. Corrigir exposição, restaurar dados, redefinir credenciais e apoiar titulares.
5. Decidir comunicações. O controlador deve avaliar, conforme a regulamentação vigente, comunicação à ANPD e aos titulares quando houver risco ou dano relevante.
6. Aprender. Produzir relatório, corrigir causa raiz e atualizar treinamento e controles.

O regulamento de comunicação de incidentes da ANPD estabelece procedimentos e prazos específicos. Por isso, o fluxo interno precisa ser rápido: qualquer pessoa deve saber onde reportar, sem receio de ocultar o erro. A comunicação externa deve ser coordenada, objetiva e baseada em fatos confirmados.

Para incidentes: detecção → contenção → avaliação de risco → decisão de comunicação → recuperação → relatório e melhoria.

A LGPD não determina um prazo único para todos os dados. A retenção deve considerar obrigação legal, valor administrativo, prestação de contas, exercício de direitos, legislação arquivística e necessidade da política pública. O conselho deve integrar sua tabela de temporalidade ao inventário de dados, evitando tanto a eliminação prematura quanto o armazenamento indefinido.

Para cada conjunto documental, registre o prazo, o evento que inicia a contagem, a unidade responsável, o local de guarda, o fundamento e o destino final. Atas, resoluções e registros de deliberação podem ter valor permanente, enquanto cópias auxiliares, listas operacionais e credenciais temporárias normalmente exigem prazos menores. A classificação deve ser feita com apoio do arquivo público e das normas do ente.

• Elimine cópias duplicadas que não possuam valor administrativo.
• Use fragmentação segura para papel e métodos apropriados para mídias digitais.
• Registre o descarte, incluindo lote, data, responsável e autorização.
• Quando houver litígio, auditoria ou investigação, suspenda o descarte dos registros relacionados.
• Ao encerrar contrato, confirme devolução, migração ou eliminação dos dados pelo fornecedor.

Descarte seguro não significa apenas excluir um arquivo da tela. Cópias de segurança, lixeiras, anexos de e-mail, dispositivos e versões anteriores precisam ser considerados. O procedimento deve ser verificável e compatível com a criticidade das informações.

Indicadores devem mostrar se os controles funcionam, e não apenas quantos documentos foram produzidos.

Metas devem ser realistas e acompanhadas pela alta gestão. Um número baixo de incidentes pode refletir controle eficiente ou ausência de comunicação interna; por isso, indicadores precisam ser interpretados em conjunto.

Cenário: um conselho publica no portal a ata de eleição acompanhada da lista de presença digitalizada. O arquivo contém CPF, telefone, assinatura e endereço de representantes. O link é indexado por mecanismos de busca.

Resposta imediata: retirar o arquivo, preservar cópia e registros de acesso, comunicar encarregado e responsáveis, avaliar alcance, categorias de dados e risco. Em seguida, publicar versão adequada contendo nomes, representações e informações necessárias à legitimidade do ato, sem os dados acessórios.

Correção estrutural: separar lista interna de comprovação e versão pública; revisar formulário para reduzir campos; criar etapa obrigatória de revisão; orientar equipe; avaliar comunicação de incidente segundo critérios regulamentares; registrar decisão e lições aprendidas.

O caso mostra que transparência e privacidade podem coexistir. O erro não foi publicar o resultado, mas divulgar dados que não eram necessários para demonstrar a regularidade da eleição.

• Copiar política de privacidade genérica que não descreve os tratamentos reais.
• Usar consentimento para atividades obrigatórias ou sem possibilidade efetiva de recusa.
• Publicar documentos integrais quando bastaria uma versão pública.
• Manter acesso de ex-conselheiros e ex-servidores.
• Compartilhar bases por aplicativos pessoais, pendrives ou links sem restrição.
• Guardar dados indefinidamente “por precaução”, sem tabela de temporalidade.
• Acreditar que somente sistemas digitais estão sujeitos à lei.
• Transferir toda responsabilidade ao encarregado ou à empresa de tecnologia.
• Comprar ferramenta antes de compreender processos e riscos.
• Ocultar incidente, atrasando contenção e avaliação.

• Encarregado e canal de contato estão formalizados e divulgados?
• Há inventário atualizado das atividades de tratamento?
• Cada finalidade possui hipótese legal analisada?
• Formulários coletam apenas dados necessários?
• Avisos de privacidade são claros e acessíveis?
• Dados sensíveis e de crianças recebem proteção reforçada?
• Usuários possuem contas individuais e permissões mínimas?
• Acessos são revisados e retirados em desligamentos?
• Documentos físicos ficam em ambiente controlado?
• Backups são protegidos e testados?
• Contratos definem obrigações de proteção de dados?
• Publicações passam por revisão e anonimização efetiva?
• Há fluxo para pedidos de titulares?
• Há plano de resposta a incidentes e contatos atualizados?
• Equipes foram treinadas com exemplos da rotina?
• Prazos de guarda e descarte estão definidos?
• Indicadores e plano de ação são reportados à gestão?
• Decisões e evidências de conformidade estão arquivadas?

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Dado sensível: categoria sujeita a proteção reforçada, como saúde, biometria, religião e opinião política. Titular: pessoa a quem os dados se referem. Tratamento: qualquer operação realizada com dados, da coleta ao descarte. Controlador: agente que decide finalidades e elementos essenciais do tratamento. Operador: agente que trata dados em nome do controlador. Encarregado: canal e função de apoio à governança. Anonimização: processo que busca impedir associação a indivíduo por meios razoáveis. Pseudonimização: separação ou substituição de identificadores, mantendo possibilidade controlada de associação. Incidente: evento confirmado que compromete propriedades de segurança. Relatório de impacto: documentação de tratamentos, riscos e medidas de mitigação quando aplicável. Privacidade desde a concepção: inclusão de proteção de dados desde o planejamento.

• Constituição Federal de 1988, especialmente direitos fundamentais relacionados à intimidade, privacidade, acesso à informação e proteção de dados pessoais.
• Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, com alterações posteriores.
• Lei nº 12.527/2011, Lei de Acesso à Informação.
• Lei nº 14.129/2021, princípios, regras e instrumentos do Governo Digital.
• Resolução CD/ANPD nº 15/2024, Regulamento de Comunicação de Incidente de Segurança.
• Resolução CD/ANPD nº 18/2024, Regulamento sobre a atuação do encarregado.
• Guias orientativos da ANPD sobre poder público, agentes de tratamento, encarregado, segurança e direitos dos titulares.
• Legislação arquivística, normas locais, regimento interno e regras específicas da política pública do conselho.

Como normas e orientações podem ser atualizadas, recomenda-se revisão periódica das referências oficiais e validação com as áreas competentes do ente público.