LGPD para ONGs: Guia de Conformidade sem Complicação

Quando o assunto é LGPD (Lei Geral de Proteção de Dados), a maioria das organizações sociais assume, sem verificar, que a lei foi feita para empresas — bancos, redes de varejo, plataformas digitais. Poucas param para considerar que a própria ONG, no dia a dia, coleta e armazena uma quantidade significativa de dados pessoais: nomes e e-mails de doadores, CPF de voluntários cadastrados, informações de beneficiários atendidos, às vezes até dados sensíveis, como condição de saúde ou situação de vulnerabilidade social.

A LGPD se aplica a qualquer organização que trate dados pessoais no Brasil — com ou sem fins lucrativos. Isso inclui ONGs de qualquer porte, mesmo as que operam só com voluntários e sem estrutura formal de TI.

A LGPD se aplica a ONGs? Sim — e a maioria não sabe

A confusão é compreensível: boa parte do debate público sobre a lei girou em torno de empresas de tecnologia e grandes corporações. Mas a definição legal de "tratamento de dados" é ampla o suficiente para incluir praticamente qualquer atividade que envolva coletar, armazenar, organizar ou compartilhar informações de uma pessoa — o que descreve, com precisão, o que toda ONG faz ao manter uma lista de doadores ou uma ficha de beneficiários atendidos.

A boa notícia é que a lei prevê tratamento proporcional ao porte e à natureza da organização. Não se espera que uma ONG pequena tenha a mesma estrutura de compliance de um banco — mas se espera que ela adote práticas básicas e razoáveis de proteção de dados.

Dados que toda ONG coleta sem perceber

Antes de qualquer ação prática, vale um mapeamento simples do que já é coletado hoje. Os pontos mais comuns:

• Doadores — nome, e-mail, CPF (em recibos de doação dedutíveis), dados de cartão de crédito (geralmente via plataforma terceirizada, mas ainda assim sob responsabilidade compartilhada)
• Voluntários — nome, contato, às vezes CPF e endereço, especialmente em programas que exigem cadastro formal ou checagem de antecedentes
• Beneficiários — dados pessoais e, com frequência, dados sensíveis: condição de saúde, situação socioeconômica, informações sobre menores de idade
• Newsletter e formulários do site — qualquer campo de e-mail ou nome coletado por um formulário já é, tecnicamente, tratamento de dado pessoal
• Fotos e imagens — registros fotográficos de eventos e atividades, especialmente quando envolvem beneficiários identificáveis, também entram no escopo da lei

Esse mapeamento inicial, mesmo feito de forma simples em uma planilha, já é o primeiro passo prático de adequação — é o que a lei chama de inventário de dados.

Passo a passo de adequação com orçamento zero

Não é necessário contratar uma consultoria jurídica para dar os primeiros passos. Um caminho realista para organizações pequenas e médias:

1. Mapeie o que é coletado — liste todos os pontos de coleta de dados (formulários, planilhas, sistemas), como descrito acima
2. Reduza o que não é necessário — se um formulário pede CPF sem necessidade real, remova o campo; menos dado coletado é menos risco assumido
3. Defina onde e como os dados ficam armazenados — evite espalhar planilhas com dados pessoais em múltiplos computadores pessoais; centralizar em um único local com acesso controlado já reduz risco significativamente
4. Escreva uma política de privacidade simples e publique no site — mesmo um texto curto, explicando o que é coletado e para que serve, já atende ao princípio de transparência da lei
5. Peça consentimento explícito em formulários — um checkbox simples, não pré-marcado, informando o que será feito com aquele dado
6. Defina quem, na organização, é o ponto de contato para questões de dados — não precisa ser um cargo formal de DPO (Encarregado de Dados) contratado, mas alguém precisa ser responsável por essa função

Consentimento e formulários: o que muda na prática

Todo formulário que coleta dados pessoais — seja de newsletter, de contato ou de cadastro de voluntário — precisa deixar claro para que aquele dado será usado, e a pessoa precisa concordar ativamente com isso, não por omissão.

Na prática, isso significa evitar caixas de consentimento pré-marcadas e escrever, de forma simples, o que vai acontecer com aquele dado: se vai receber comunicação por e-mail, se será compartilhado com algum parceiro, por quanto tempo será mantido. Isso vale tanto para formulários de captação de novos doadores quanto para qualquer conteúdo que peça e-mail em troca de acesso — o mesmo princípio se aplica a mecanismos como um formulário de newsletter ou um gate de conteúdo dentro de um artigo.

O que fazer em caso de vazamento de dados

Mesmo com boas práticas, incidentes acontecem — um e-mail enviado para a lista errada, um arquivo compartilhado sem os devidos cuidados, um sistema comprometido. A LGPD não exige perfeição, mas exige resposta responsável quando algo dá errado:

• Identifique rapidamente a extensão do incidente: quais dados, de quantas pessoas, foram expostos
• Avalie o risco real às pessoas afetadas — um vazamento de e-mails é diferente, em gravidade, de um vazamento de dados sensíveis de beneficiários vulneráveis
• Comunique as pessoas afetadas de forma clara, sem minimizar o ocorrido
• Em casos de risco relevante, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) pode ser necessária
• Documente o que aconteceu e o que foi feito para corrigir — isso demonstra boa-fé e responsabilidade, mesmo diante de uma falha

Quem deve ser o responsável por dados na organização

A LGPD prevê a figura do Encarregado de Dados (também chamado de DPO, do inglês Data Protection Officer), responsável por atuar como canal de comunicação entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. Para ONGs pequenas, isso não significa necessariamente contratar um cargo novo — a lei permite que essa função seja acumulada por alguém já presente na equipe, desde que a pessoa tenha clareza sobre as responsabilidades.

Na prática, essa função envolve: responder a pedidos de titulares que queiram saber quais dados a organização tem sobre eles, orientar internamente sobre boas práticas de tratamento de dados, e ser o ponto de contato em caso de incidente. Mesmo em uma organização de poucas pessoas, vale nomear formalmente quem exerce esse papel — isso evita que, na prática, ninguém se responsabilize por decisões relacionadas a dados pessoais.

Por quanto tempo guardar os dados

Um princípio central da LGPD, frequentemente esquecido, é que dados pessoais não devem ser guardados indefinidamente — apenas pelo tempo necessário para cumprir a finalidade para a qual foram coletados. Uma ONG que mantém, por anos, uma planilha com dados de doadores que pararam de contribuir há muito tempo, sem nenhuma finalidade ativa para esses dados, está acumulando risco desnecessário.

Vale revisar periodicamente as bases de dados da organização e definir prazos razoáveis: por quanto tempo faz sentido manter o cadastro de um voluntário que não participa mais de atividades, ou de um beneficiário que não é mais atendido pelo programa. Quando não houver mais finalidade legítima, o dado deve ser excluído ou anonimizado.

Checklist de conformidade básica

• Mapeie todos os pontos onde a organização coleta dados pessoais
• Remova campos de coleta que não são realmente necessários
• Publique uma política de privacidade simples no site
• Adicione consentimento explícito em todos os formulários
• Centralize o armazenamento de dados e limite quem tem acesso
• Defina um responsável interno para questões de proteção de dados
• Tenha um plano básico de resposta para caso de incidente

Nenhum desses passos exige grande investimento — exige, principalmente, tornar visível um processo que hoje, na maioria das ONGs, acontece de forma informal e sem registro. E o benefício vai além de evitar sanções: uma organização que trata dados com cuidado transmite exatamente o tipo de confiança que doadores, voluntários e beneficiários esperam de quem lida com informações sensíveis todos os dias.