LGPD no desenvolvimento de software: guia para empresas

A Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) vale para qualquer sistema que trate dados pessoais: cadastros de clientes, apps, CRMs, sites com formulário. Para quem desenvolve ou contrata software, a conformidade não é um ajuste no final. Ela entra no projeto desde o começo, o que sai mais barato e mais seguro.

Resposta rápida

No desenvolvimento, a LGPD pede que o sistema colete só os dados necessários, tenha uma base legal para cada tratamento, proteja as informações, permita que o titular exerça seus direitos e registre o que acontece com os dados.

Conceitos essenciais

• Dado pessoal: qualquer informação ligada a uma pessoa identificada ou identificável (nome, CPF, e-mail, telefone, localização).
• Dado pessoal sensível: dados como saúde, biometria, origem racial, religião e vida sexual, que exigem mais cuidado.
• Titular: a pessoa a quem os dados se referem.
• Controlador e operador: o controlador decide como os dados são usados; o operador trata os dados em nome dele. Quem contrata o desenvolvimento costuma ser o controlador.

O que o time de desenvolvimento precisa implementar

1. Minimização: coletar apenas o necessário para a finalidade. Cada campo extra é um risco.
2. Base legal: definir, com apoio jurídico, em qual hipótese legal cada tratamento se apoia (consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras).
3. Consentimento claro: quando for a base escolhida, ele deve ser livre, informado e específico, com registro de data e versão do texto aceito, e possibilidade de revogar.
4. Direitos do titular: o sistema deve permitir consultar, corrigir, exportar e excluir dados, quando aplicável, dentro dos prazos legais.
5. Segurança: criptografia em trânsito e em repouso, controle de acesso por perfil, senhas protegidas, backups e registro de acessos (logs).
6. Retenção e descarte: definir por quanto tempo cada dado é mantido e como é eliminado depois.
7. Terceiros: mapear fornecedores que recebem dados (nuvem, e-mail, análise) e ter contratos adequados.
8. Incidentes: ter um plano para detectar, registrar e comunicar vazamentos à ANPD e aos titulares quando a lei exigir.

Privacy by design

Privacy by design significa pensar na proteção de dados desde o desenho do sistema, e não depois. Na prática: mapear que dados entram, para quê e onde ficam antes de programar; usar configurações mais protetoras por padrão; e revisar a cada nova funcionalidade que trate dados pessoais. Um bom briefing de projeto já deve registrar quais dados pessoais o sistema vai tratar.

Quem responde pelo quê

A empresa que usa o sistema continua responsável perante a lei, mesmo quando contrata um terceiro para desenvolver. Por isso, o contrato com a software house deve tratar de segurança, confidencialidade, uso de dados em testes (preferir dados fictícios) e apoio em caso de incidente. Veja também como escolher entre freelancer, software house ou time interno.

E quando o sistema usa IA?

Sistemas com IA que processam dados pessoais pedem cuidados extras: evitar enviar dados desnecessários a serviços externos, saber onde os dados são processados e armazenados, e permitir revisão humana em decisões relevantes. Veja também o que é RAG e agente de IA ou chatbot. Para projetos de IA com dados da empresa, conheça a consultoria em IA e o desenvolvimento de software com IA.

Checklist rápido para o projeto

• Mapeamos quais dados pessoais o sistema trata e por quê
• Cada tratamento tem base legal definida
• Há política de privacidade e, se preciso, consentimento registrado
• Os perfis de acesso limitam quem vê o quê
• Os dados são protegidos em trânsito e em repouso
• Existe processo para atender direitos dos titulares
• Existe plano de resposta a incidentes
• Contratos com fornecedores cobrem proteção de dados

Perguntas frequentes

A LGPD vale para startups e MVPs?

Sim. Qualquer sistema que trate dados pessoais de pessoas no Brasil precisa respeitar a lei, independentemente do tamanho da empresa.

Preciso de consentimento para tudo?

Não. O consentimento é uma das bases legais, não a única. Cada caso exige análise jurídica para definir a base adequada.

Quem é responsável se houver vazamento?

A responsabilidade depende do papel de cada parte (controlador e operador) e das circunstâncias. Por isso o contrato e a documentação importam.

Existem penalidades?

Sim. A lei prevê sanções administrativas aplicadas pela ANPD, como advertência e multas, além de possíveis ações judiciais. Consulte o texto da lei e um especialista para os valores e critérios atuais.

Conclusão

Conformidade com a LGPD é parte da qualidade do software. Quando entra no projeto desde o início, custa menos e protege a empresa e os usuários.