Sua empresa coleta dados pessoais o tempo todo, mesmo quando não pensa nisso: cadastro de cliente, ficha de fornecedor, currículo recebido por e-mail, registro de ponto, imagem de câmera, lista de contatos no celular corporativo. A pergunta que chega primeiro é quase sempre a mesma — “então eu preciso pedir consentimento para tudo?”. A resposta é não. E entender por que não é o que separa um programa que funciona de uma pasta de documentos que ninguém abre.
O primeiro erro é o tamanho do problema
Muita empresa trata a Lei nº 13.709/2018 como assunto do setor comercial, porque associa dado pessoal a dado de consumidor. O alcance é bem maior: empregado, candidato a vaga, prestador de serviço, sócio de fornecedor, visitante que assina a portaria. Todos são titulares, e todo tratamento desses dados entra na conta.
Isso muda o desenho do trabalho. Não se adequa “o site” nem “o CRM”: adequa-se a operação, do RH ao financeiro, incluindo o que roda em planilha isolada e o que alguém resolveu automatizar por conta própria.
Consentimento é uma base legal entre outras — e raramente a melhor
A lei admite o tratamento de dados pessoais sob hipóteses distintas, listadas no art. 7º: consentimento é apenas uma delas. Execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse são bases que sustentam boa parte da rotina comercial e trabalhista sem depender de autorização assinada.
Pedir consentimento onde ele não cabe cria fragilidade, não proteção: consentimento é revogável a qualquer tempo, e quem apoiou o processo inteiro nele fica sem base quando o titular volta atrás. Na relação de emprego o problema é maior, porque a subordinação enfraquece a ideia de escolha livre. O trabalho correto é o inverso do intuitivo — primeiro se identifica a finalidade real de cada tratamento, depois se escolhe a base legal que a sustenta.
A responsabilidade não termina na sua porta
Dados que circulam entre empresas são o ponto mais exposto da cadeia: a transportadora que recebe endereço, o birô que faz cobrança, o sistema em nuvem que hospeda a base, a empresa de benefícios que trata dado de saúde do empregado. Quem contrata continua respondendo pela escolha do fornecedor e pelas condições em que os dados foram entregues.
Na prática, isso se resolve em três frentes: cláusula contratual que defina finalidade, prazo, segurança e devolução ou eliminação; verificação prévia de quem vai operar os dados; e registro de quem recebeu o quê. Contrato genérico assinado depois do problema não recompõe nada.
Perfil de consumo e decisão automatizada pedem transparência extra
Cruzar histórico de compra, condição financeira e comportamento para classificar clientes é tratamento de dados pessoais como qualquer outro — e um dos mais sensíveis do ponto de vista de exposição. A finalidade precisa estar declarada, e o titular pode pedir explicação sobre critérios de decisão tomada automaticamente a seu respeito.
O que a empresa precisa conseguir mostrar
Quando chega um pedido de titular, uma fiscalização ou um incidente, a pergunta é sempre documental: onde estão os dados, com que base legal, por quanto tempo, quem tem acesso, quem foi avisado. Um programa sustentável entrega isso em cinco peças — inventário das operações de tratamento, base legal declarada para cada uma, política de retenção e descarte, controle de acesso e plano de resposta a incidente.
A autoridade nacional de proteção de dados dispõe de sanções que vão de advertência a multa calculada sobre o faturamento, com teto por infração.
O que a Juris Factum faz nisso
Mapeamos o tratamento de dados na operação real, definimos a base legal de cada finalidade, ajustamos contratos com fornecedores e deixamos a documentação que a empresa consegue sustentar sozinha. Onde o caso exigir atuação jurídica, encaminhamos a advogado.
Sua empresa está adequada de verdade? Fale com a equipe pelo WhatsApp (14) 2109-6432 ou conheça a frente de Conformidade e Proteção de Dados.
