LGPD nas decisões de marketing

A Lei Geral de Proteção de Dados Pessoais (LGPD) é uma referência para decisões sobre informações de pessoas. Neste tutorial, você verá situações comuns de marketing de modo educacional; casos reais podem exigir avaliação do responsável por privacidade ou de assessoria jurídica.

Dado pessoal é uma informação relacionada a uma pessoa natural identificada ou identificável. Na Loja Ipê, nome, e-mail, CPF, endereço de entrega e data de nascimento podem ser dados pessoais quando ligados a um titular.

Dados pessoais sensíveis incluem, entre outros, informações sobre saúde, origem racial ou étnica e convicção religiosa. Eles recebem cuidados específicos na LGPD.

Atenção: CPF é dado pessoal e merece proteção, mas não se torna dado pessoal sensível apenas por ser um identificador.

Tratamento de dados é qualquer operação feita com dados pessoais. Não começa nem termina no formulário: coletar, consultar, armazenar, compartilhar e excluir são exemplos de tratamento de dados.

Por exemplo, quando a Loja Ipê abre uma planilha para ver os e-mails, ela consulta dados. Quando envia a lista a uma plataforma, ela compartilha dados. Mesmo sem coletar novos dados, essas ações precisam de cuidado.

Relacione cada situação à classificação mais adequada.

Cada tratamento de dados deve partir de uma finalidade: o motivo específico pelo qual a Loja Ipê pretende usar uma informação. A finalidade orienta a pergunta principal antes da coleta: “este dado é pertinente para o que foi informado ao titular?”

Adequação é a compatibilidade entre o dado usado, a finalidade e o contexto apresentado. Necessidade, também chamada de minimização, limita a coleta ao que é pertinente e não excessivo para cumprir esse motivo.

Na Lei Geral de Proteção de Dados Pessoais (LGPD), uma base legal é o fundamento para uma operação de tratamento de dados ligada a uma finalidade específica. Ela não é uma autorização genérica para usar qualquer dado em qualquer ação.

Neste step, você verá exemplos introdutórios de três bases: consentimento, execução de contrato e legítimo interesse. Há outras bases na LGPD, e a escolha depende do contexto.

O consentimento pode ser pertinente quando o titular faz uma escolha livre, informada e inequívoca para uma finalidade determinada. Para enviar novidades por e-mail, a Loja Ipê não deve deixar a caixa de aceite marcada previamente nem tornar o recebimento de publicidade uma condição desnecessária para concluir a compra.

A organização também precisa conseguir demonstrar esse consentimento. Já a execução de contrato pode fundamentar o tratamento necessário para cumprir um pedido do próprio titular.

Uma compra anterior não transforma todo envio promocional em tratamento necessário à execução de contrato. Entregar o pedido e enviar novidades por e-mail são finalidades diferentes.

O legítimo interesse não resolve automaticamente a falta de consentimento. Antes de considerá-lo, é preciso avaliar, entre outros pontos:

• se há finalidade legítima;
• se o uso é necessário e proporcional;
• o que o titular espera naquele contexto;
• os impactos sobre seus direitos; e
• quais salvaguardas reduzem riscos.

Essa é uma avaliação contextual; quando faltam elementos, a decisão deve ser encaminhada para orientação especializada.

Transparência é explicar o tratamento de dados de modo claro, acessível e coerente com o que a Loja Ipê realmente faz. Um aviso de privacidade não deve usar frases vagas que escondem usos importantes.

Quem lê o aviso precisa conseguir entender: quem é responsável pelo tratamento, quais dados são usados, para qual finalidade e como entrar em contato. A informação precisa separar usos diferentes, em vez de dar a impressão de que todo dado serve para qualquer ação.

A Lei Geral de Proteção de Dados Pessoais (LGPD) prevê direitos que podem aparecer em pedidos cotidianos pelo canal de atendimento. Entre eles estão:

• confirmação da existência de tratamento de dados;
• acesso aos dados tratados;
• correção de dados incompletos, inexatos ou desatualizados.

Um pedido pode reunir mais de um direito. Por exemplo, o titular pode querer saber quais dados a Loja Ipê usa e também atualizar seu e-mail. O papel inicial do marketing é reconhecer o pedido e encaminhá-lo corretamente, sem improvisar uma decisão jurídica.

Nem todo pedido para “apagar tudo” tem o mesmo efeito. Se a Loja Ipê envia novidades por e-mail com consentimento, a revogação do consentimento orienta a interrupção desse envio futuro. Isso não equivale, por si só, à eliminação de dados.

A eliminação de dados deve ser analisada nas hipóteses aplicáveis. Podem existir dados ou registros que precisam ser conservados por motivo legal ou para outra finalidade legítima já existente, como entregar o pedido. Não prometa exclusão imediata de todos os dados antes da análise.

Também evite pedir informações excessivas para atender ao pedido. A confirmação de identidade, quando necessária, deve ser proporcional ao risco e ao tipo de solicitação.

Use um fluxo simples e responsável: receba a solicitação no canal de atendimento, registre o que foi pedido com o mínimo necessário, confirme a identidade de forma proporcional quando isso for necessário, encaminhe ao responsável adequado para análise e responda com clareza.

O encaminhamento não decide sozinho se todos os dados serão eliminados. Ele preserva o pedido, evita exposição indevida e permite uma resposta coerente com o tratamento de dados realizado.

Depois que a Loja Ipê coleta dados para enviar novidades por e-mail, o cuidado continua. A lista com nome e e-mail não deve ficar disponível para qualquer pessoa da organização: o acesso deve acompanhar a necessidade de trabalho.

Quem prepara a campanha pode precisar da lista. Quem não participa dessa atividade não precisa recebê-la “por precaução”. Esse controle reduz exposições desnecessárias durante o tratamento de dados.

O mesmo vale para cópias: baixar planilhas em computadores pessoais, deixar links públicos ou encaminhar a base por canais inadequados amplia os lugares em que os dados podem ficar.

Reter dados não significa guardá-los indefinidamente. O período depende da finalidade e de necessidades legais aplicáveis; por isso, não existe um prazo universal para todo dado.

Quando a finalidade termina, a organização deve revisar se ainda há motivo permitido para conservar o dado. Se não houver, avalia a eliminação ou outra destinação permitida. Essa avaliação evita dois extremos: manter tudo “por garantia” ou apagar registros que possam estar sujeitos a conservação.

Também é preciso considerar cópias sob responsabilidade da organização: uma planilha principal removida não resolve se versões antigas continuam acessíveis em outros locais.

Algumas propostas de marketing têm sinais que pedem pausa antes do uso dos dados. Na Lei Geral de Proteção de Dados Pessoais (LGPD), dados pessoais sensíveis possuem regras e bases próprias: não basta aplicar automaticamente uma justificativa usada em situações comuns.

Quando houver dados de crianças ou adolescentes, o melhor interesse desse público deve orientar a análise. Isso exige verificar especificamente a base legal e as medidas de proteção adequadas. Esses sinais não determinam, sozinhos, uma autorização ou proibição universal; eles indicam necessidade de avaliação especializada.

Uma lista comprada ou um dado disponível publicamente não comprovam, por si só, que o uso para enviar novidades por e-mail seja adequado. Também é preciso verificar se a finalidade pretendida é compatível com o que foi informado ao titular.

Ao compartilhar dados com um fornecedor ou plataforma, confira a finalidade, os dados realmente necessários, as responsabilidades e as condições do tratamento de dados.

Para encaminhar uma proposta ao responsável por privacidade ou à assessoria jurídica, descreva fatos verificáveis. Informe a finalidade, a origem dos dados, o público envolvido e os destinatários. Acrescente quais dados serão usados e o que ainda é desconhecido.

Esse registro ajuda a avaliação sem transformar uma revisão inicial em conclusão de conformidade.

A Loja Ipê prepara a campanha “Volta às Aulas” para enviar novidades por e-mail. A equipe reuniu uma planilha de clientes que já fizeram pedidos e afirma que todos os campos poderão ser úteis no futuro.