Dados que toda ONG coleta sem perceber
Antes de qualquer ação prática, vale um mapeamento simples do que já é coletado hoje. Os pontos mais comuns:
- Doadores — nome, e-mail, CPF (em recibos de doação dedutíveis), dados de cartão de crédito (geralmente via plataforma terceirizada, mas ainda assim sob responsabilidade compartilhada)
- Voluntários — nome, contato, às vezes CPF e endereço, especialmente em programas que exigem cadastro formal ou checagem de antecedentes
- Beneficiários — dados pessoais e, com frequência, dados sensíveis: condição de saúde, situação socioeconômica, informações sobre menores de idade
- Newsletter e formulários do site — qualquer campo de e-mail ou nome coletado por um formulário já é, tecnicamente, tratamento de dado pessoal
- Fotos e imagens — registros fotográficos de eventos e atividades, especialmente quando envolvem beneficiários identificáveis, também entram no escopo da lei
Esse mapeamento inicial, mesmo feito de forma simples em uma planilha, já é o primeiro passo prático de adequação — é o que a lei chama de inventário de dados.
Não é necessário contratar uma consultoria jurídica para dar os primeiros passos. Um caminho realista para organizações pequenas e médias:
- Mapeie o que é coletado — liste todos os pontos de coleta de dados (formulários, planilhas, sistemas), como descrito acima
- Reduza o que não é necessário — se um formulário pede CPF sem necessidade real, remova o campo; menos dado coletado é menos risco assumido
- Defina onde e como os dados ficam armazenados — evite espalhar planilhas com dados pessoais em múltiplos computadores pessoais; centralizar em um único local com acesso controlado já reduz risco significativamente
- Escreva uma política de privacidade simples e publique no site — mesmo um texto curto, explicando o que é coletado e para que serve, já atende ao princípio de transparência da lei
- Peça consentimento explícito em formulários — um checkbox simples, não pré-marcado, informando o que será feito com aquele dado
- Defina quem, na organização, é o ponto de contato para questões de dados — não precisa ser um cargo formal de DPO (Encarregado de Dados) contratado, mas alguém precisa ser responsável por essa função
Todo formulário que coleta dados pessoais — seja de newsletter, de contato ou de cadastro de voluntário — precisa deixar claro para que aquele dado será usado, e a pessoa precisa concordar ativamente com isso, não por omissão.
Na prática, isso significa evitar caixas de consentimento pré-marcadas e escrever, de forma simples, o que vai acontecer com aquele dado: se vai receber comunicação por e-mail, se será compartilhado com algum parceiro, por quanto tempo será mantido. Isso vale tanto para formulários de captação de novos doadores quanto para qualquer conteúdo que peça e-mail em troca de acesso — o mesmo princípio se aplica a mecanismos como um formulário de newsletter ou um gate de conteúdo dentro de um artigo.
O que fazer em caso de vazamento de dados
Mesmo com boas práticas, incidentes acontecem — um e-mail enviado para a lista errada, um arquivo compartilhado sem os devidos cuidados, um sistema comprometido. A LGPD não exige perfeição, mas exige resposta responsável quando algo dá errado:
- Identifique rapidamente a extensão do incidente: quais dados, de quantas pessoas, foram expostos
- Avalie o risco real às pessoas afetadas — um vazamento de e-mails é diferente, em gravidade, de um vazamento de dados sensíveis de beneficiários vulneráveis
- Comunique as pessoas afetadas de forma clara, sem minimizar o ocorrido
- Em casos de risco relevante, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) pode ser necessária
- Documente o que aconteceu e o que foi feito para corrigir — isso demonstra boa-fé e responsabilidade, mesmo diante de uma falha
Quem deve ser o responsável por dados na organização
A LGPD prevê a figura do Encarregado de Dados (também chamado de DPO, do inglês Data Protection Officer), responsável por atuar como canal de comunicação entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. Para ONGs pequenas, isso não significa necessariamente contratar um cargo novo — a lei permite que essa função seja acumulada por alguém já presente na equipe, desde que a pessoa tenha clareza sobre as responsabilidades.
Na prática, essa função envolve: responder a pedidos de titulares que queiram saber quais dados a organização tem sobre eles, orientar internamente sobre boas práticas de tratamento de dados, e ser o ponto de contato em caso de incidente. Mesmo em uma organização de poucas pessoas, vale nomear formalmente quem exerce esse papel — isso evita que, na prática, ninguém se responsabilize por decisões relacionadas a dados pessoais.
Por quanto tempo guardar os dados
Um princípio central da LGPD, frequentemente esquecido, é que dados pessoais não devem ser guardados indefinidamente — apenas pelo tempo necessário para cumprir a finalidade para a qual foram coletados. Uma ONG que mantém, por anos, uma planilha com dados de doadores que pararam de contribuir há muito tempo, sem nenhuma finalidade ativa para esses dados, está acumulando risco desnecessário.
Vale revisar periodicamente as bases de dados da organização e definir prazos razoáveis: por quanto tempo faz sentido manter o cadastro de um voluntário que não participa mais de atividades, ou de um beneficiário que não é mais atendido pelo programa. Quando não houver mais finalidade legítima, o dado deve ser excluído ou anonimizado.
- Mapeie todos os pontos onde a organização coleta dados pessoais
- Remova campos de coleta que não são realmente necessários
- Publique uma política de privacidade simples no site
- Adicione consentimento explícito em todos os formulários
- Centralize o armazenamento de dados e limite quem tem acesso
- Defina um responsável interno para questões de proteção de dados
- Tenha um plano básico de resposta para caso de incidente
Nenhum desses passos exige grande investimento — exige, principalmente, tornar visível um processo que hoje, na maioria das ONGs, acontece de forma informal e sem registro. E o benefício vai além de evitar sanções: uma organização que trata dados com cuidado transmite exatamente o tipo de confiança que doadores, voluntários e beneficiários esperam de quem lida com informações sensíveis todos os dias.
