A Lei Geral de Proteção de Dados deixou de ser novidade faz tempo, mas segue gerando dúvida exatamente onde ela mais importa: dentro dos sistemas. É no software que os dados pessoais de clientes e funcionários são coletados, armazenados e cruzados. Se ele não foi construído com privacidade em mente, a empresa está exposta, ainda que as políticas no papel estejam impecáveis.
Você não precisa virar especialista jurídico. Precisa saber o que um sistema adequado à LGPD deve ter e o que exigir de quem desenvolve para você. É isso que este guia entrega.
O que a LGPD tem a ver com o software da sua empresa?
A Lei 13.709/2018 regula como qualquer empresa coleta, usa e guarda dados pessoais, e o software é o lugar onde tudo isso acontece: o cadastro do e-commerce, o CRM do comercial, o aplicativo com dados de localização, o sistema de RH. As sanções previstas incluem advertências, bloqueio dos dados e multas que chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração.
O ponto que muitos gestores descobrem tarde: contratar um fornecedor de tecnologia não transfere essa responsabilidade. Se o sistema que a sua empresa usa vaza dados, quem responde perante o titular e a autoridade é, em primeiro lugar, a sua empresa.
O que um software adequado à LGPD precisa ter?
Alguns requisitos técnicos aparecem em praticamente qualquer sistema que trate dados pessoais:
- Coleta mínima: pedir apenas os dados necessários para a finalidade declarada, nada de formulário que pede tudo por precaução;
- Controle de acesso por perfil: cada usuário enxerga somente o que a função exige, com registro de quem acessou o quê;
- Criptografia: dados protegidos tanto armazenados quanto em trânsito;
- Gestão de consentimento: registro de quando e como o titular autorizou cada uso dos seus dados;
- Atendimento aos direitos do titular: mecanismos para exportar, corrigir e excluir dados quando solicitado;
- Anonimização: capacidade de descaracterizar dados usados em relatórios e em testes.
Quais riscos um sistema fora da LGPD traz?
A multa é o risco mais citado e o menos frequente. Antes dela, vêm custos mais prováveis:
- Incidentes de segurança. Sistema sem atualização e sem controle de acesso é porta de entrada para vazamentos, e o custo de um vazamento inclui notificação aos titulares, resposta técnica e dano de reputação;
- Perda de negócios. Empresas maiores exigem conformidade dos fornecedores, e um sistema fora da lei elimina a sua empresa de concorrências;
- Ações individuais. Titulares podem acionar a empresa judicialmente por uso indevido dos seus dados;
- Operação travada. A autoridade pode determinar o bloqueio do banco de dados até a adequação, o que paralisa a operação.
Vale lembrar que segurança não é um estado permanente: um sistema adequado hoje se degrada sem atualizações, como mostramos no artigo sobre manutenção de software.
O que exigir do seu fornecedor de software?
Na contratação de um novo sistema ou na renovação de um contrato, coloque estes pontos na mesa:
- Como o sistema implementa controle de acesso, criptografia e registro de auditoria;
- Como dados reais são protegidos nos ambientes de desenvolvimento e testes, onde vazamentos são comuns e pouco vigiados;
- Se o contrato prevê confidencialidade e define as responsabilidades de cada parte sobre os dados;
- Como o fornecedor trata as atualizações de segurança ao longo do tempo;
- Se a privacidade entra no desenho das funcionalidades desde o início, o chamado privacy by design, e não como remendo de véspera de auditoria.
Essas perguntas complementam os critérios gerais do nosso checklist para contratar uma software house.
Conformidade é projeto de tecnologia, não só jurídico
A adequação à LGPD costuma começar pelo jurídico, com políticas e termos, e parar por aí. O risco real mora na camada técnica: quem acessa o quê, o que está criptografado, o que acontece quando um cliente pede a exclusão dos seus dados. Tratar a conformidade como requisito de software desde o primeiro dia de desenvolvimento custa uma fração de corrigir tudo depois.
A DevCore desenvolve sistemas com privacy by design e realiza análises de segurança em sistemas existentes, incluindo testes de invasão e revisão de controles de acesso. Se você não sabe como o seu software está nesse quesito, fale com o nosso time.
Perguntas frequentes sobre LGPD e software
Sistemas antigos também precisam se adequar à LGPD?
Sim. A lei não distingue idade de sistema: se ele trata dados pessoais, os requisitos valem. Para sistemas legados, o caminho é um diagnóstico dos pontos críticos, priorizando controle de acesso, criptografia e os mecanismos de exclusão de dados.
Usar um software pronto de mercado garante a conformidade?
Não automaticamente. O fornecedor pode oferecer os recursos, mas a conformidade depende de como a sua empresa configura e usa a ferramenta: quais dados coleta, quem tem acesso e por quanto tempo os guarda. A responsabilidade pelo uso continua sendo sua.
Quem responde se o meu fornecedor de software vazar dados?
Perante o titular e a autoridade, a empresa que decide sobre o tratamento dos dados responde em primeiro lugar, e o operador pode responder solidariamente. Por isso o contrato com o fornecedor precisa definir responsabilidades com clareza, e vale contar com assessoria jurídica especializada nesse desenho.