Tratamento de dados pessoais: a definição do art. 5º, X

Tratamento é qualquer operação feita com dado pessoal. Coletar, guardar, consultar, compartilhar e apagar são todos tratamento. A definição da LGPD é deliberadamente ampla para não deixar brecha: se o dado pessoal passou pelas suas mãos de alguma forma, você está tratando, e cada operação precisa de finalidade e base legal.

A lista exemplificativa do art. 5º, X

O inciso define tratamento como "toda operação realizada com dados pessoais" e segue com uma lista que vale ler devagar: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão e extração.

A lista é exemplificativa, introduzida no texto legal por um "como". Operação que não aparece no rol, mas se parece com essas, é tratamento do mesmo jeito.

Ler ou gravar um cookie já é tratamento

Gravar um identificador no navegador do visitante é coleta e armazenamento. Ler esse identificador na visita seguinte é acesso e utilização. Mandar o evento para o GA4 ou para o Meta é transmissão e uso compartilhado com terceiro.

Nenhuma dessas etapas exige nome, e-mail ou CPF para ser tratamento de dado pessoal: o identificador que permite reconhecer o mesmo visitante já cumpre esse papel. É por isso que banner de cookies é assunto de LGPD.

Finalidade e base valem por operação

O art. 6º, I, exige finalidade específica, explícita e informada ao titular. O art. 7º exige que essa finalidade se apoie em uma das hipóteses legais. As duas exigências valem por operação, e não por empresa. O mesmo e-mail pode ser tratado para emitir a nota fiscal, com base em obrigação legal, e para disparar promoção, com base em consentimento; a segunda finalidade não pega carona na primeira.

Seis operações numa única compra

Numa loja online, um pedido dispara uma sequência inteira. O formulário coleta endereço, o gateway recebe dados de pagamento, o ERP arquiva o pedido, a transportadora recebe o endereço, a ferramenta de e-mail registra o cliente, o pixel de marketing transmite o evento de conversão. Seis operações, seis finalidades e pelo menos três bases legais diferentes, numa compra só. Quem não separou isso antes vai improvisar no primeiro pedido de titular, e o prazo do art. 19 corre desde que a mensagem chega.

Como mapear os do seu site

1. Liste as entradas de dado: formulários, checkout, chat, cookies, integrações, planilhas.
2. Para cada uma, escreva finalidade, base legal, onde o dado fica e por quanto tempo.
3. Anote quem mais recebe o dado. Cada ferramenta de terceiro é uma transmissão.
4. Marque o que dá para não coletar, que é o item capaz de reduzir risco e trabalho ao mesmo tempo.
5. Revise quando entrar ferramenta nova, sem esperar a revisão anual.

Uma planilha de uma página resolve o caso de uma PME. O objetivo é responder "onde está esse dado e por quê" sem investigação.

Guardar também é tratar

"Eu só guardo, não faço nada com isso" ignora que armazenamento está literalmente na lista do art. 5º, X. Base de e-mails parada há cinco anos, backup esquecido e planilha antiga no drive são tratamentos ativos, com todas as obrigações que isso implica, inclusive segurança (art. 46). Dado guardado sem finalidade atual só acumula risco, e descartá-lo é a medida mais barata disponível.

Termos relacionados

• Base legal
• Titular de dados
• Cookie primário
• LGPD