Toda ONG trata dados pessoais o tempo inteiro: o cadastro de doadores, a planilha de voluntários, a ficha das famílias atendidas, a lista do WhatsApp, o formulário do site. A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) vale para todas essas situações, e ser uma organização sem fins lucrativos não isenta ninguém. A boa notícia é que, para a maioria das ONGs, estar em conformidade é mais uma questão de organização e bom senso do que de grandes investimentos.
Os três públicos de dados de uma ONG
- Doadores: nome, e-mail, telefone, CPF (para recibos) e histórico de doações;
- Voluntários: dados de contato, disponibilidade, às vezes documentos e antecedentes;
- Pessoas atendidas: muitas vezes o grupo mais sensível. Pode envolver crianças, dados de saúde, situação socioeconômica e religião.
Cada grupo pede cuidados diferentes, e o terceiro é o que exige mais atenção.
Base legal: por que você pode usar cada dado
A LGPD exige que todo uso de dado pessoal tenha uma "base legal", isto é, uma justificativa prevista na lei. As mais comuns em ONGs são:
- Consentimento: a pessoa autoriza de forma livre e informada, como ao marcar "quero receber a newsletter";
- Execução de contrato: processar a doação, emitir o recibo e cumprir o termo de voluntariado;
- Cumprimento de obrigação legal: guardar dados exigidos para prestação de contas, convênios ou fins fiscais;
- Legítimo interesse: por exemplo, enviar a um doador atual notícias sobre o projeto que ele apoia. Deve ser usado com cuidado e sempre respeitando as expectativas da pessoa.
Na prática: não use a lista de quem baixou um material para outro fim sem avisar, e não adicione pessoas a grupos ou listas de transmissão sem que elas tenham pedido.
Dados sensíveis e dados de crianças
A LGPD trata com mais rigor os dados sensíveis: origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, e dados genéticos ou biométricos. Muitas organizações sociais lidam com esse tipo de informação no atendimento. Para esses casos:
- Colete só o que é realmente necessário para o atendimento;
- Restrinja o acesso às pessoas da equipe que precisam dele;
- Nunca use esses dados em comunicação ou captação.
Para crianças e adolescentes, o tratamento deve seguir o melhor interesse deles. No caso de crianças, exige-se em regra o consentimento específico de pelo menos um dos pais ou responsável. Isso vale também, e principalmente, para fotos e vídeos usados nas redes. Veja mais sobre o tema em como contar histórias de impacto respeitando a dignidade de quem é atendido.
Regras simplificadas para organizações pequenas
A ANPD (Autoridade Nacional de Proteção de Dados) aprovou um regulamento com regras simplificadas para os chamados agentes de tratamento de pequeno porte, categoria que pode incluir entidades sem fins lucrativos, desde que não façam tratamento de alto risco. Entre as flexibilizações, está a dispensa de indicar formalmente um encarregado de dados (o DPO), desde que a organização mantenha um canal de comunicação para os titulares. Vale checar se a sua ONG se enquadra, principalmente se ela trata dados sensíveis em grande volume.
Passo a passo para colocar a casa em ordem
- Mapeie os dados: liste onde estão (planilhas, CRM, formulários, WhatsApp, papel), quem acessa e para que servem;
- Elimine o excesso: apague o que não é mais necessário, como planilhas antigas, cópias de documentos e listas sem uso;
- Centralize: sair de dezenas de planilhas soltas para um CRM facilita o controle de acesso e o atendimento a pedidos dos titulares;
- Revise os formulários: peça só o necessário, explique o uso e separe o consentimento de comunicação (newsletter, WhatsApp) da doação em si;
- Publique uma política de privacidade simples, em linguagem clara, com um contato para dúvidas e pedidos;
- Controle os acessos: senhas fortes, verificação em duas etapas nas contas principais e remoção do acesso de quem saiu da equipe;
- Inclua a LGPD nos termos: no termo de adesão ao voluntariado, nas autorizações de imagem e nos contratos com fornecedores que acessam dados;
- Tenha um plano para incidentes: saiba quem decide o que fazer se uma planilha vazar ou uma conta for invadida.
LGPD também é argumento de confiança
Doadores, empresas parceiras e financiadores estão cada vez mais atentos a como as organizações tratam informações. Um formulário claro, uma política de privacidade acessível e um descadastro que funciona são sinais de profissionalismo, os mesmos que aumentam a conversão em uma página de doação e fortalecem a retenção de doadores.
Este conteúdo é informativo e não substitui orientação jurídica. Para tratamentos de alto risco ou dúvidas específicas, consulte um profissional especializado em proteção de dados.