LGPD em programas sociais: consentimento na coleta, registro de ações e acordo de tratamento

Para tratar dados de beneficiários dentro da LGPD, um programa social precisa de três coisas: consentimento pedido na coleta e comprovável, registro das operações feitas com os dados e um acordo de tratamento entre quem decide (o controlador) e quem trata (o operador). Este guia explica cada uma, com os artigos da lei.

Este texto é um guia prático, não um parecer jurídico.

Quando a LGPD se aplica ao seu programa

Sempre que o programa coleta dado pessoal de uma pessoa: nome, telefone, endereço, resposta de formulário, áudio de uma entrevista. Uma ONG que cadastra beneficiários, voluntários ou doadores trata dados pessoais e é, em regra, controladora desses dados, definida pelo art. 5º como a quem "competem as decisões referentes ao tratamento de dados pessoais".

Consentimento na coleta

O art. 7º da Lei 13.709/2018 lista as hipóteses em que o tratamento é permitido, e o consentimento é só a primeira delas. Há também cumprimento de obrigação legal, execução de contrato e legítimo interesse, entre outras. Em muitos programas, o consentimento é a base mais direta, e a lei traz três regras práticas:

• Cláusula destacada. O art. 8º, § 1º, diz que, se o consentimento for por escrito, ele deve constar de cláusula destacada.
• Ônus da prova. O § 2º diz que cabe ao controlador provar que o consentimento foi obtido conforme a lei. Por isso é preciso guardar quando, como e para quê cada pessoa consentiu.
• Finalidade e necessidade. O art. 6º pede propósitos legítimos, específicos, explícitos e informados ao titular, e a limitação ao mínimo necessário. Se o programa não vai usar a data de nascimento, não peça.

No fluxo, isso vira desenho: o consentimento é pedido no início da conversa ou do formulário, em texto claro, e a resposta fica registrada com data e hora.

Crianças e adolescentes

O art. 14 exige que o tratamento de dados de crianças e adolescentes seja feito em seu melhor interesse, e o consentimento para dados de crianças deve ser específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal. Programas com público infantil precisam de um fluxo diferente de cadastro.

Registro das ações

O art. 37 diz que o controlador e o operador "devem manter registro das operações de tratamento de dados pessoais que realizarem". Em um fluxo automatizado, isso é natural de implementar: cada ação sobre o dado, como coletar, transcrever, classificar, enviar ou apagar, fica registrada. É também o que permite responder a um beneficiário que pergunta o que foi feito com os dados dele.

Acordo de tratamento entre controlador e operador

Quando uma plataforma trata dados em nome da organização, ela é operadora, definida no art. 5º como quem "realiza o tratamento de dados pessoais em nome do controlador". A ANPD publicou um guia orientativo sobre agentes de tratamento, com a segunda versão de 2022, que explica essas funções. Na prática, um acordo escrito define as instruções, a finalidade, a segurança e o que acontece com os dados no fim do projeto.

Como a CORRE trata isso

Pedimos o consentimento já na coleta, cada ação fica registrada e assinamos um acordo de tratamento de dados antes de começar. A LGPD e a segurança estão presentes em todo o fluxo, da coleta ao relatório.

Treinamento da equipe

Documento não basta, e as pessoas precisam saber o que fazer. Na pesquisa TIC OSFIL 2025, do Cetic.br, 31% das organizações ofereceram treinamento interno sobre a LGPD e 18% pagaram cursos externos sobre o tema.

Checklist para o seu programa

1. Liste os dados que você coleta e para que cada um serve.
2. Retire o que não será usado.
3. Defina a base legal de cada tratamento.
4. Peça o consentimento, quando for a base, na coleta e guarde a prova.
5. Registre as operações.
6. Assine o acordo de tratamento com quem opera os dados.
7. Treine a equipe e nomeie quem responde às pessoas.

Para ver como isso entra no desenho de um fluxo com WhatsApp, leia o guia de WhatsApp para programas sociais e a página Programas com WhatsApp.