Dado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la. É a definição do art. 5 da LGPD, Lei 13.709/2018. Nome, CPF, telefone, e-mail, endereço, foto, placa do carro, número do pedido ligado a um cliente. Não precisa ser secreto para ser protegido.
Quase todo pequeno negócio acha que "não guarda dado". Guarda. O caderno de fiado tem nome e valor devido. O WhatsApp tem número, foto e conversa. A maquininha tem os últimos dígitos do cartão. Cada um desses lugares está sob a lei.
O que conta como dado pessoal?
Vale a regra do "dá para chegar na pessoa". Se, sozinha ou combinada com outra informação, ela leva a alguém, é dado pessoal. Um e-mail genérico como contato@empresa.com.br não é. O e-mail joao.silva@empresa.com.br é.
Dados de pessoa jurídica não entram. O CNPJ da empresa fornecedora não é dado pessoal; no MEI, em que empresa e dono se confundem, trate como se fosse. O nome e o celular do vendedor que atende você são.
Existe uma categoria com regra mais dura: o dado sensível. Saúde, biometria, convicção religiosa, opinião política, filiação a sindicato, vida sexual, origem racial ou étnica, dado genético (art. 5º, II). Uma nutricionista ou uma academia com catraca por digital tratam dado sensível todo dia. Para esses, a lei tem bases legais próprias, no art. 11, e pede cuidado redobrado.
Onde a pequena empresa guarda dado sem perceber?
Estes aparecem nos diagnósticos que a gente faz:
- Planilha de clientes no Google Drive compartilhada com "qualquer pessoa com o link".
- Formulário do site que envia tudo para um e-mail pessoal.
- Foto do documento do cliente que ficou no WhatsApp do vendedor.
- Comprovante de Pix com nome e CPF salvo na galeria do celular.
- Lista de aniversariantes no caderno da recepção.
Nenhum desses é proibido. O que a lei pede é saber que o dado está ali, ter motivo para ele estar e protegê-lo. Foto de RG guardada "por via das dúvidas" não tem motivo. Apaga.
O que fazer agora
Abra o celular da empresa e o Drive e anote os cinco lugares onde há nome, telefone ou documento de cliente. Marque qual deles guarda dado sensível. Esse é o mapa que os guias seguintes usam, começando por https://avilaops.com/guias/titular-dos-dados-quem-e-e-direitos/. Se quiser uma conversa para ver o que está exposto, chame: https://avilaops.com/contato/ ou WhatsApp https://wa.me/5517997811471.
Perguntas frequentes
Número de telefone é dado pessoal? Sim. Telefone identifica uma pessoa, mesmo sem o nome ao lado. A lista de contatos do WhatsApp da empresa é um banco de dados pessoais e precisa de motivo e proteção.
Dado público, como o que está no Instagram, ainda é protegido? É. A pessoa ter publicado o dado não libera o uso para qualquer fim. Copiar seguidores de um concorrente para disparar mensagem é tratamento de dado pessoal que dificilmente encontra base legal.
Dado anonimizado sai da LGPD? Sai, se não houver como voltar à pessoa. Um relatório com "120 clientes compraram em fevereiro" é anônimo. Uma lista com nomes e valores não. Veja o que a lei exige em https://avilaops.com/guias/o-que-e-lgpd-a-quem-se-aplica/.
