LGPD na prática para equipes de tecnologia

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) é frequentemente tratada como um tema exclusivamente jurídico. Na prática, boa parte da conformidade depende de decisões técnicas tomadas no dia a dia: que campos um formulário pede, onde um dado é armazenado, quem consegue acessá-lo e por quanto tempo ele permanece no sistema.

Este artigo reúne práticas que equipes de produto e engenharia podem aplicar desde o início de um projeto. Ele não substitui a orientação jurídica — e sim a complementa, traduzindo princípios da lei em decisões de arquitetura.

Comece pelo mapa de dados

Não é possível proteger o que não se conhece. O primeiro passo é manter um inventário de dados pessoais: quais dados o sistema coleta, de onde vêm, para que são usados, onde ficam armazenados, com quem são compartilhados e por quanto tempo são mantidos.

Esse mapa orienta todas as decisões seguintes e é a base do registro das operações de tratamento exigido pela lei. Mantenha-o junto da documentação técnica e atualize-o a cada nova funcionalidade.

Colete apenas o necessário

O princípio da necessidade é também o mais eficiente do ponto de vista técnico: dados que não são coletados não precisam ser protegidos, armazenados, auditados ou excluídos. Antes de adicionar um campo, pergunte:

• Para qual finalidade específica esse dado será usado?
• O processo funciona sem ele?
• Uma informação menos sensível resolveria (faixa etária em vez de data de nascimento, por exemplo)?

Defina retenção desde o início

Dados pessoais não devem ser mantidos indefinidamente. Estabeleça por quanto tempo cada tipo de dado será mantido e automatize a exclusão ou a anonimização ao fim do prazo. Rotinas agendadas e campos de data de expiração facilitam esse controle — e evitam que bases antigas se acumulem em backups e ambientes de teste.

Uma política de retenção que depende de alguém lembrar de apagar os dados não é uma política: é uma intenção.

Controle e registre acessos

A pergunta "quem acessou este dado?" precisa ter resposta. Para isso:

• aplique privilégio mínimo: cada perfil acessa apenas o que precisa para sua função;
• exija autenticação multifator em acessos administrativos;
• registre quem visualizou, alterou ou exportou dados pessoais, e quando;
• revise periodicamente os acessos, removendo os que não são mais necessários.

Proteja em todas as camadas

Segurança da informação é um dos pilares da LGPD. A base técnica inclui:

• criptografia em trânsito (HTTPS em todas as comunicações) e em repouso para dados sensíveis;
• segredos fora do código-fonte, em cofres próprios, com rotação periódica;
• dependências atualizadas e monitoramento de vulnerabilidades conhecidas;
• backups testados, com restauração verificada periodicamente;
• ambientes de teste sem dados reais — use dados fictícios ou anonimizados.

Projete para os direitos dos titulares

A lei garante ao titular direitos como confirmação de tratamento, acesso, correção, portabilidade e eliminação. Atender a essas solicitações manualmente, vasculhando bancos de dados, é lento e arriscado. Prefira projetar o sistema para que:

• os dados de uma pessoa possam ser localizados e exportados a partir de um identificador;
• a correção possa ser feita pela própria interface;
• a eliminação propague para todos os lugares onde o dado está, respeitando obrigações legais de guarda.

Cuidado redobrado com inteligência artificial

Projetos de IA ampliam os pontos de atenção. Ao enviar dados a um modelo, avalie se o provedor utiliza esses dados para treinamento, onde eles são processados e por quanto tempo ficam retidos. Sempre que possível, mascare ou remova dados pessoais antes do envio e registre quais informações foram usadas em cada resultado.

Prepare-se para incidentes

Incidentes podem acontecer mesmo com bons controles. O que diferencia uma resposta adequada é a preparação:

• um plano de resposta com responsáveis e etapas definidas;
• logs suficientes para entender o que ocorreu e qual o alcance;
• canais para comunicar a autoridade nacional e os titulares afetados quando necessário.

Privacidade como requisito

Tratar a LGPD como um requisito técnico — e não como uma revisão no fim do projeto — reduz custos, riscos e retrabalho. Equipes que incorporam essas práticas ao processo de desenvolvimento entregam sistemas mais seguros, mais simples de auditar e mais confiáveis para quem os utiliza.

Na INBRATECH, essas práticas fazem parte do processo de engenharia de todos os projetos que envolvem dados pessoais.