LGPD em documentos: como adequar a gestão documental da sua empresa

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) costuma ser lembrada por causa de sites, cookies e bancos de dados de clientes. Mas boa parte dos dados pessoais de uma empresa não está em sistemas organizados: está em documentos. Contratos, fichas de admissão, atestados, currículos, procurações, propostas e anexos de e-mail carregam nomes, CPFs, endereços, salários e informações de saúde, muitas vezes espalhados por pastas de rede, arquivos físicos e caixas de entrada sem nenhum controle de quem acessa ou por quanto tempo ficam guardados.

Adequar documentos à LGPD é, portanto, um trabalho de gestão documental antes de ser um trabalho jurídico. A política de privacidade publicada no site não resolve nada se o RH guarda currículos de candidatos recusados há dez anos ou se cópias de documentos de identidade circulam por e-mail sem necessidade. Este guia explica o que a lei exige dos documentos, quais deles merecem mais atenção, como escolher a base legal e, principalmente, como conduzir a adequação passo a passo, do mapeamento ao descarte seguro.

O que a LGPD exige dos documentos da empresa

A lei define dado pessoal como qualquer informação relacionada a pessoa natural identificada ou identificável. O conceito é amplo de propósito: além de nome e CPF, entram número de matrícula, placa de veículo, assinatura, foto e qualquer combinação de informações que permita chegar a alguém. Dentro desse universo existe a categoria de dados sensíveis, que inclui origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos e biométricos. Documentos com dados sensíveis só podem ser tratados nas hipóteses do artigo 11 e pedem controles mais rígidos.

A LGPD não proíbe a empresa de guardar documentos com dados pessoais. Ela exige que cada tratamento respeite os princípios do artigo 6º, e três deles têm impacto direto sobre a gestão documental. A finalidade obriga a empresa a saber por que cada documento existe; a necessidade limita a coleta ao mínimo indispensável, o que derruba formulários que pedem dados "por via das dúvidas"; e a responsabilização exige que a empresa consiga demonstrar, com registros, que adota medidas eficazes. Não basta estar em conformidade: é preciso conseguir provar.

Os demais princípios completam o quadro. Qualidade dos dados significa manter informações corretas e atualizadas; transparência, informar ao titular o que é feito com seus dados; segurança e prevenção, proteger documentos contra acesso indevido, perda e vazamento; livre acesso, permitir que a pessoa consulte o que a empresa guarda sobre ela. Traduzido para o dia a dia, um documento está adequado quando tem motivo para existir, base legal definida, acesso restrito a quem precisa, prazo de guarda conhecido e pode ser localizado rapidamente quando o titular pedir.

Quais documentos contêm dados pessoais

Quase todos. Essa é a primeira surpresa de quem começa um projeto de adequação. Um contrato entre duas empresas parece não ter dados pessoais até se notar que traz nome, CPF e endereço dos representantes legais e das testemunhas. Uma nota fiscal emitida para consumidor final identifica o comprador. Um laudo técnico pode citar o empregado que sofreu um acidente. A tabela abaixo resume os grupos mais comuns e o tipo de cuidado que cada um exige; ela serve como ponto de partida para o inventário, não como lista exaustiva.

Um ponto que costuma passar despercebido é que o documento nem sempre fica onde deveria. O contrato assinado está no sistema jurídico, mas também no e-mail do vendedor, na pasta compartilhada da área comercial e talvez impresso em uma gaveta. Cada cópia é um tratamento de dados e uma superfície de vazamento. Por isso o inventário precisa olhar para os repositórios reais, e não só para o fluxo oficial que aparece no organograma de processos.

Bases legais para tratar dados em documentos

Todo tratamento de dados pessoais precisa se apoiar em uma das bases legais do artigo 7º da LGPD (ou do artigo 11, no caso de dados sensíveis). Escolher a base certa para cada tipo de documento é uma das decisões mais importantes da adequação, porque ela determina o que a empresa pode fazer com o documento, por quanto tempo pode mantê-lo e como deve responder quando o titular pedir exclusão. Uma base mal escolhida contamina todo o tratamento.

Para documentos corporativos, as bases mais frequentes são três. A execução de contrato cobre os dados necessários para cumprir um contrato do qual o titular é parte, como os dados de um cliente pessoa física em um contrato de prestação de serviços; ela não autoriza usos secundários, como marketing. O cumprimento de obrigação legal ou regulatória sustenta a guarda de documentos trabalhistas, fiscais e contábeis pelos prazos que a lei impõe, inclusive contra a vontade do titular. E o exercício regular de direitos em processo judicial, administrativo ou arbitral justifica manter provas documentais enquanto houver possibilidade de litígio.

O consentimento é a base mais conhecida e, paradoxalmente, uma das menos adequadas para documentos. Ele precisa ser livre, informado, inequívoco e específico, e pode ser revogado a qualquer momento. Uma cláusula genérica do tipo "autorizo o uso dos meus dados" não cumpre esses requisitos. O legítimo interesse é mais flexível, mas exige um teste de balanceamento documentado, mostrando que o interesse da empresa é legítimo, que o tratamento é necessário e que não se sobrepõe aos direitos do titular.

Como adequar documentos à LGPD: passo a passo

A adequação documental não precisa ser um projeto infinito, mas também não acontece com um único documento de política. O caminho que funciona na prática segue uma sequência lógica: primeiro saber o que existe, depois classificar pelo risco, em seguida definir quanto tempo cada coisa fica e, por fim, eliminar o que não tem mais motivo para existir. Cada etapa alimenta a seguinte, e pular uma delas costuma gerar retrabalho. Abaixo, o roteiro em detalhe.

1. Mapeamento dos documentos e dos dados

O mapeamento começa pelo inventário dos tipos de documento, digitais e físicos, área por área. Para cada tipo, registre quais dados pessoais ele contém, de quais titulares (clientes, colaboradores, candidatos, representantes de fornecedores), para que serve, onde fica armazenado, quem acessa, com quem é compartilhado e qual a base legal. Esse levantamento alimenta o registro das operações de tratamento previsto no artigo 37 da LGPD e se torna o documento de referência para todas as decisões seguintes. Entrevistas com os responsáveis de cada área ajudam a descobrir repositórios paralelos que não aparecem em nenhum sistema.

2. Classificação por nível de sensibilidade

Nem todo documento oferece o mesmo risco, e tratar tudo com o rigor máximo é tão ineficiente quanto tratar tudo de forma relaxada. Uma escala simples de níveis permite aplicar controles proporcionais. O ideal é que a classificação acompanhe o documento desde a entrada, e não seja feita uma vez e esquecida; ferramentas de classificação automática de documentos ajudam justamente a manter esse rótulo consistente em grandes volumes.

3. Política de retenção e tabela de temporalidade

O artigo 15 da LGPD determina o término do tratamento quando a finalidade é alcançada, e o artigo 16 manda eliminar os dados depois disso, salvo exceções como o cumprimento de obrigação legal. Guardar documentos indefinidamente "por segurança" contraria a lei. A ferramenta para resolver isso é a tabela de temporalidade: para cada tipo de documento, o prazo de guarda, o fundamento desse prazo e a ação ao final (eliminar, anonimizar ou arquivar). Os prazos vêm de normas externas, como a legislação tributária, trabalhista e previdenciária, e dos prazos de prescrição do Código Civil, cuja regra geral é de dez anos (artigo 205), com prazos menores para várias pretensões no artigo 206.

Como os prazos dependem do tipo de documento e da atividade da empresa, a tabela deve ser validada pelo jurídico e pela contabilidade, e cada prazo precisa ter a justificativa registrada. Documentos sem obrigação legal de guarda, como currículos de candidatos não contratados, devem ter prazos curtos definidos pela própria empresa e informados ao titular. A política de retenção também é peça central de qualquer programa de compliance documental, porque é ela que transforma o princípio da necessidade em regra operacional.

4. Descarte seguro e anonimização

Vencido o prazo, o documento deve ser eliminado de forma segura: papel fragmentado ou destruído por empresa que emita certificado, arquivos digitais apagados do repositório principal, das cópias e dos backups conforme a rotina de retenção. Antes de eliminar, verifique se não há processo judicial, auditoria ou investigação em curso que exija a preservação. Registre cada ciclo de descarte, com o que foi eliminado, quando, por qual critério e quem autorizou. Esse registro é a prova de que a política existe de fato, e não só no papel.

Quando o documento tem valor estatístico ou histórico, a anonimização é uma alternativa à destruição. As técnicas mais usadas são a exclusão de identificadores diretos, a generalização (faixa etária em vez de data de nascimento, região em vez de CEP) e a agregação de registros em grupos. O cuidado é garantir que o resultado seja realmente irreversível, porque dado anonimizado só deixa de ser pessoal, nos termos do artigo 12, quando não pode ser revertido com meios razoáveis.

5. Controles, treinamento e monitoramento

As etapas anteriores só se sustentam com controles permanentes: revisão dos modelos de contrato e formulários para cortar campos desnecessários e incluir avisos de privacidade, cláusulas de proteção de dados com fornecedores que recebem documentos, perfis de acesso por função e registro de quem consultou o quê. O encarregado (DPO), cuja indicação está prevista no artigo 41, costuma coordenar o inventário, a política de retenção, o treinamento das equipes e as auditorias periódicas. A conformidade é um estado que se mantém, não um projeto que se encerra.

LGPD e documentos de colaboradores: cuidados no RH

O departamento pessoal é, em muitas empresas, a área com a maior concentração de dados pessoais e sensíveis. A ficha de admissão traz documentos de identificação, endereço, dependentes e conta bancária; o prontuário funcional acumula advertências, avaliações e afastamentos; atestados e exames ocupacionais revelam informações de saúde. Boa parte desse tratamento é amparada por obrigação legal ou pela execução do contrato de trabalho, o que dispensa consentimento, mas não dispensa os demais cuidados da lei.

O primeiro cuidado é a minimização. Formulários de admissão frequentemente pedem informações que a empresa não usa, como religião ou dados de familiares que não são dependentes. O segundo é o controle de acesso: atestados e exames devem ficar com a área de saúde ocupacional e o departamento pessoal, não circular entre gestores. O terceiro é o compartilhamento. Contabilidade terceirizada, operadoras de benefícios e plano de saúde recebem dados de colaboradores, e esse fluxo precisa estar coberto por contrato com cláusulas de proteção de dados e limitado ao necessário para cada finalidade.

Também é preciso pensar no fim do vínculo. Documentos trabalhistas e previdenciários têm prazos de guarda definidos em normas específicas, e alguns registros de saúde ocupacional precisam ser mantidos por muitos anos após o desligamento. Já documentos sem obrigação de guarda, como cópias avulsas de documentos pessoais ou currículos de processos seletivos encerrados, devem ser eliminados conforme a política. Informar o colaborador, de forma clara, sobre quais dados são tratados e por quê fecha o ciclo da transparência.

Direitos dos titulares: encontrar o documento a tempo

O artigo 18 garante ao titular, entre outros, os direitos de confirmar a existência de tratamento, acessar os dados, corrigi-los, pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo, e saber com quem os dados foram compartilhados. Para quem administra documentos, todos esses direitos começam pela mesma pergunta: onde estão os dados dessa pessoa? Se a resposta depende de buscar manualmente em pastas de rede, arquivos físicos e e-mails, atender uma solicitação vira um pequeno projeto.

O prazo pesa. Quando o titular pede a declaração completa sobre o tratamento, o artigo 19 fixa até 15 dias para a resposta. A eliminação, por sua vez, não é absoluta: documentos guardados por obrigação legal ou para defesa em processo podem ser mantidos, e a resposta ao titular deve explicar isso. A correção de dados em documentos já assinados normalmente se faz por aditivo ou registro de retificação, preservando o original e garantindo que as consultas mostrem a informação atualizada.

Riscos e sanções da LGPD para documentos mal geridos

A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar, nos termos do artigo 52, advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e, nos casos mais graves, suspensão ou proibição das atividades de tratamento. A publicização merece atenção especial, porque o dano à reputação de um vazamento de documentos de clientes ou colaboradores costuma superar o valor da multa.

Há ainda a responsabilidade civil: titulares prejudicados podem pedir indenização na Justiça, e ações coletivas ampliam a exposição. E existem riscos operacionais menos visíveis. Acervos sem controle dificultam auditorias, atrasam respostas a titulares e pesam em operações societárias, já que a conformidade com a LGPD virou item frequente em processos de due diligence documental. Incidentes de segurança com risco relevante aos titulares também precisam ser comunicados à ANPD e aos afetados, conforme o artigo 48.

Como a IA ajuda a identificar dados pessoais em documentos

O gargalo de quase todo projeto de adequação é o mapeamento. Revisar manualmente milhares de contratos, digitalizações e anexos para descobrir quais têm CPF, dados bancários ou informações de saúde é lento, caro e inconsistente: duas pessoas revisando o mesmo acervo chegam a resultados diferentes. É aqui que a inteligência artificial faz diferença, porque consegue ler dados não estruturados em documentos, como PDFs escaneados e textos livres, e localizar padrões de dados pessoais com o mesmo critério em todo o acervo.

Uma plataforma de processamento inteligente como o IDP Document combina reconhecimento de texto, identificação de formatos brasileiros (CPF, RG, PIS, dados bancários) e classificação por tipo de documento. O resultado é um inventário que indica, para cada arquivo, que dados pessoais ele contém e em que categoria se encaixa, permitindo aplicar a tabela de temporalidade e as regras de acesso automaticamente. A mesma indexação permite localizar rapidamente os documentos de um titular quando chega uma solicitação, e alertas de vencimento de prazo apoiam o ciclo de descarte.

Tecnologia, porém, não substitui decisão. A ferramenta encontra e organiza; quem define bases legais, prazos e exceções é a empresa, com apoio do jurídico e do encarregado. E os próprios repositórios precisam de proteção adequada, com controle de acesso, registro de operações e segurança de documentos digitais em repouso e em trânsito. Uma ferramenta mal configurada cria falsa sensação de conformidade; bem implantada, transforma uma revisão de meses em um processo contínuo e auditável.

Por onde começar a adequação documental

Para quem ainda não começou, a recomendação é priorizar pelo risco. Comece pelas áreas que concentram dados sensíveis e grande volume, quase sempre RH e saúde ocupacional, seguidas de cadastros de clientes e contratos. Faça o inventário dessas áreas, defina bases legais e prazos, elimine o que já venceu e só então avance para as demais. Um plano executável, com responsáveis e datas, vale mais do que um programa completo que nunca sai do papel.

Encarada dessa forma, a LGPD deixa de ser apenas uma exigência regulatória e passa a profissionalizar a gestão documental: menos cópias inúteis, menos espaço de armazenamento, buscas mais rápidas e menor exposição a incidentes. Cada documento que tem motivo, prazo e responsável definidos é um risco a menos e um passo concreto em direção a uma empresa que trata dados pessoais com seriedade.

Perguntas frequentes sobre LGPD em documentos