LGPD para ONG: como cuidar de dados de quem apoia

O que a LGPD para ONG exige em termos simples

A lei prevê que o tratamento se limite ao mínimo necessário para suas finalidades. Para revisar um cadastro, traduza esse princípio em uma pergunta: precisamos de cada campo para a atividade descrita?^[1]

Comece delimitando o trabalho. Escolha um cadastro de doadores ou voluntários, identifique quem o utiliza e descreva para que serve. Use esse levantamento para preparar as decisões que precisam de avaliação especializada.

Trate a organização dos dados como parte do relacionamento com quem apoia. Combine quem recebe uma dúvida, onde procura as informações e a quem encaminha uma questão que a equipe não consegue resolver.

Que dados a organização guarda e onde

Monte um inventário com os campos tipo de dado, finalidade, onde fica e por quanto tempo será mantido. Acrescente o responsável pela revisão. Os exemplos abaixo são propostas de preenchimento: substitua cada indicação pelo que a equipe verificar.

Modelo para doadores: tipo — nome e contato; finalidade — descrever o uso efetivo de cada informação; onde fica — indicar sistema, pasta ou arquivo encontrado; por quanto tempo — preencher após avaliação das necessidades de conservação, com responsável pela validação.

Modelo para voluntários: tipo — nome, contato e disponibilidade; finalidade — descrever a atividade que utiliza cada campo; onde fica — registrar o local verificado pela equipe; por quanto tempo — indicar o critério de retenção validado para essa atividade.

Se houver formulários de campanha, listas exportadas ou documentos impressos, inclua esses locais na busca. Para recebimentos por PIX, confira quais registros a equipe efetivamente consulta antes de preencher o inventário.

Esta é a primeira parte do checklist de dez itens. Marque cada tarefa apenas depois de conferir o cadastro correspondente; deixe pendências com o nome de quem vai verificá-las.

• Localizar os formulários, arquivos e sistemas usados para registrar doadores e voluntários.
• Listar os tipos de dados encontrados, sem copiar dados pessoais para o checklist.
• Descrever a finalidade de cada conjunto de informações e questionar campos sem uso definido.
• Indicar onde cada registro fica e quem consegue acessá-lo.
• Marcar os prazos ou critérios de retenção que ainda precisam de validação.

Como revisar bases legais e consentimento na comunicação

O consentimento é uma das hipóteses de tratamento previstas na lei. A lei também prevê o cumprimento de obrigação legal ou regulatória. Peça uma avaliação da base aplicável a cada finalidade, em vez de escolher uma resposta única para todo o cadastro.^[1][3]

O consentimento deve se referir a finalidades determinadas. Encaminhe os textos e registros de consentimento para avaliação especializada à luz das finalidades descritas pela organização.^[3]

O consentimento pode ser revogado a qualquer momento. Ao preparar a comunicação, peça também a definição do procedimento de revogação e de quem vai acompanhar os pedidos recebidos.^[3]

Para uma campanha de arrecadação, separe no planejamento o registro da contribuição, o envio de mensagens sobre a campanha e futuros convites. Leve cada finalidade para avaliação antes de reaproveitar uma lista. Reúna os textos e registros existentes para análise especializada sobre a documentação necessária quando o procedimento depender de consentimento.

Como preparar o aviso de privacidade e atender o titular

A resolução da ANPD prevê que agentes de tratamento de pequeno porte atendam às requisições dos titulares conforme a LGPD. Para organizar esse atendimento, escolha um canal que a equipe acompanhe e indique quem dará andamento a cada pedido.^[2]

Reúna o inventário e os materiais que a organização já utiliza para a análise especializada do aviso de privacidade. Apresente as dúvidas da equipe e peça a definição do conteúdo e da redação adequados à situação da ONG.

Leve à análise especializada as informações disponíveis sobre a duração do uso dos dados e os compartilhamentos previstos. Peça que os documentos existentes sejam comparados às atividades descritas no inventário.

No atendimento, registre o que foi solicitado e encaminhe a verificação da identidade de quem fez o pedido pelo procedimento definido com a equipe responsável. Antes de responder, confira os cadastros envolvidos e peça avaliação quando houver dúvida sobre o alcance da solicitação.

Como manter uma rotina mínima de segurança e retenção

A resolução da ANPD permite que agentes de tratamento de pequeno porte estabeleçam uma política simplificada de segurança da informação. Antes de adotar essa possibilidade, peça avaliação do enquadramento da ONG e das restrições do regulamento.^[2]

Como proposta de rotina, registre quem administra os acessos, como a equipe solicita alterações e quem acompanha problemas com arquivos ou sistemas. Combine a revisão das permissões quando alguém mudar de atividade ou deixar a organização.

Para retenção, mantenha no inventário o prazo ou critério validado e o responsável pela próxima revisão. Antes de descartar um arquivo, encaminhe as dúvidas sobre conservação à avaliação especializada. Evite escolher um prazo único apenas para facilitar o preenchimento.

Conclua o checklist com os itens abaixo. Ao revisar ferramentas usadas para redigir mensagens, inclusive as de IA, combine previamente quais informações a equipe poderá inserir e encaminhe dúvidas sobre o uso de dados para avaliação.

• Encaminhar a finalidade e a base legal de cada atividade para avaliação, registrando as decisões recebidas.
• Reunir os textos e os registros de consentimento existentes para análise especializada quando essa for a base adotada.
• Conferir o aviso de privacidade e o funcionamento do canal de atendimento aos titulares.
• Revisar permissões de acesso, proteção das contas e procedimentos de cópia e recuperação de arquivos.
• Definir responsáveis pela revisão da retenção e pelo encaminhamento de problemas com dados.

O que não afirmar sem apoio jurídico

Evite declarar que a organização está integralmente adequada apenas porque preencheu o inventário ou publicou um aviso. Use este roteiro para reunir informações e documentar pendências, sem apresentar o checklist como parecer sobre a situação da ONG.

Não trate o consentimento como autorização para qualquer uso, nem prometa apagar todos os registros ao receber um pedido. Leve a situação concreta, a finalidade e os documentos envolvidos para avaliação antes de comunicar uma decisão.

Ao pedir apoio especializado, envie perguntas delimitadas: qual base considerar para a atividade descrita, quais registros conservar, como tratar uma solicitação e se a organização pode adotar as simplificações pretendidas. Acompanhe a orientação recebida com um responsável por colocá-la em prática.

Se a ONG avaliar um clube de benefícios para doadores, abra uma análise própria das informações necessárias ao projeto. Use o guia de criação de clube para preparar essa conversa e a página da Vantuni para ONGs para conhecer a proposta comercial.