A coordenadora do projeto abriu o grupo de WhatsApp para mandar as fotos das crianças na atividade de hoje. Fotos lindas, crianças sorrindo. Quarenta e três pessoas no grupo: pais, parceiros, voluntários, financiadores, colegas de outras organizações. Ela não pensou duas vezes.
Três semanas depois, descobriu que uma das crianças era filha de uma família em processo de guarda disputada, e que o pai, que não tinha acesso à criança por ordem judicial, estava naquele grupo. Ele sabia agora onde a criança estava, como estava e com quem convivia. A mãe ficou apavorada.
A LGPD (Lei Geral de Proteção de Dados) não é lei de grandes empresas de tecnologia. É lei de todos que coletam, armazenam, usam ou compartilham dados de outras pessoas, incluindo organizações sociais que trabalham com crianças. E os dados de crianças têm proteção especialmente reforçada: são dados de titular que ainda não tem capacidade plena de consentir, o que cria responsabilidade adicional para quem os coleta.
Este artigo traduz a LGPD para a realidade prática de quem trabalha com crianças: o que a lei exige, quais dados têm proteção especial, o que muda no dia a dia e como construir práticas de proteção de dados que sejam reais, não apenas papel.
O que é a LGPD em linguagem acessível
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece regras sobre como dados pessoais podem ser coletados, armazenados, usados e compartilhados no Brasil. Entrou em vigor em 2020 e se aplica a qualquer pessoa física ou jurídica (pública ou privada) que trate dados de pessoas físicas. Isso inclui organizações sociais de qualquer porte.
O que é um dado pessoal? Qualquer informação que permita identificar uma pessoa, direta ou indiretamente: nome, CPF, endereço, e-mail, foto, localização, número de matrícula, situação de saúde, histórico familiar. Tudo isso é dado pessoal e seu tratamento precisa seguir as regras da LGPD.
A LGPD não proíbe a coleta de dados. Regula como ela deve acontecer: com finalidade clara, com base legal adequada, com consentimento quando exigido, com segurança no armazenamento e com respeito aos direitos de quem tem os dados coletados.
A LGPD não é burocracia para atrapalhar o trabalho. É a formalização de um princípio ético que organizações sérias já deveriam seguir: as informações que as famílias nos confiam são delas, não nossas. Usamos para cuidar das crianças. Não para outra coisa.
Por que dados de crianças têm proteção especial
O artigo 14 da LGPD estabelece que o tratamento de dados pessoais de crianças e adolescentes deve ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. Esse dispositivo reconhece que crianças não têm capacidade plena de compreender as implicações do uso dos seus dados e, portanto, a responsabilidade recai sobre os adultos que as representam e sobre as organizações que coletam os dados.
Além do consentimento específico, a LGPD exige que os sistemas utilizados para tratamento de dados de crianças sejam desenhados tendo em vista o melhor interesse da criança. Isso significa que organizações que atendem crianças não podem simplesmente usar os dados que coletaram para qualquer finalidade que seja útil para elas, precisam garantir que o uso é no interesse de quem os forneceu.
Quais dados OSCs coletam e como a LGPD se aplica
A tabela abaixo organiza os tipos de dados que organizações sociais que trabalham com crianças tipicamente coletam, a classificação desses dados pela LGPD e o que a lei exige em cada caso:
| Dado coletado | Classificação LGPD | O que a LGPD exige |
| Nome, endereço, data de nascimento | Dado pessoal comum | Consentimento dos responsáveis; uso limitado à finalidade declarada; segurança no armazenamento |
| Foto ou vídeo que identifica a criança | Dado pessoal (imagem é dado pessoal) | Consentimento específico dos responsáveis; cada uso (site, redes, relatório) precisa de autorização |
| Situação de saúde, diagnóstico, medicação | Dado sensível | Consentimento explícito e específico; acesso restrito a quem precisa para a finalidade; nunca compartilhar sem autorização |
| Situação de vulnerabilidade social, renda, moradia | Dado sensível (contexto) | Coletar apenas o necessário; não usar para outros fins; segurança reforçada |
| Histórico de violência, abuso, processos | Dado sensível de alto risco | Necessidade estrita; acesso muito restrito; nunca compartilhar além do necessário para proteção da criança |
| Dados de localização da criança / família | Dado pessoal com risco adicional | Armazenar apenas com finalidade clara; nunca publicar em conteúdo de comunicação |
Uma distinção importante: dados sensíveis, que incluem saúde, origem racial ou étnica, convicção religiosa, vida sexual, dados genéticos, biométricos, entre outros, têm proteção ainda mais reforçada. Para esses dados, o consentimento precisa ser explícito, específico e separado dos demais termos da relação. Não basta incluir no termo de matrícula genérico.
Consentimento: o que é e o que não é
Consentimento é um dos conceitos mais mal compreendidos da LGPD no campo social. Muitas organizações acreditam que têm consentimento porque os pais assinaram um formulário de matrícula que “autorizou o uso de dados”. Raramente é suficiente.
O que não é consentimento válido pela LGPD
- Autorização genérica no contrato de matrícula que menciona uso de dados sem especificar para quê
- Caixa pré-marcada em formulário digital que o responsável não desmarcou
- Autorização verbal que não foi registrada
- Autorização dada quando o responsável não compreendia o que estava autorizando: formulários em linguagem técnica ou inacessível
O que é consentimento válido
- Formulário específico que descreve: quais dados serão coletados, para quê serão usados, com quem podem ser compartilhados, por quanto tempo serão armazenados
- Linguagem clara e acessível, que o responsável consegue de fato compreender
- Separado de outros termos: o consentimento para uso de imagem, por exemplo, não pode estar misturado com o contrato de prestação de serviço
- Revogável a qualquer momento: o responsável precisa saber que pode retirar o consentimento e como fazer isso
- Registrado de forma que possa ser comprovado, seja em papel ou digitalmente
Uso de imagens de crianças: o que muda com a LGPD
A foto postada no Instagram da organização, o vídeo de uma atividade publicado no site, a criança no relatório para o financiador, todos esses usos de imagem são tratamento de dado pessoal pela LGPD, e todos precisam de consentimento específico dos responsáveis.
O consentimento para uso de imagem precisa especificar: em quais canais a imagem pode ser usada (redes sociais, site, materiais impressos, relatórios, apresentações), com que finalidade (comunicação institucional, captação, prestação de contas) e por quanto tempo. Um consentimento que autoriza “uso institucional” sem mais detalhes é insuficiente para cobrir todos os usos que a organização pode querer fazer.
Erros comuns no uso de imagens de crianças pós-LGPD
- Postar foto identificável de criança sem autorização específica para aquele canal, mesmo que a família tenha assinado um termo genérico
- Publicar foto com nome da criança e localização do projeto, combinação que pode criar risco de identificação e localização
- Compartilhar imagens de crianças em grupos de WhatsApp com pessoas que não são responsáveis diretas pelo atendimento
- Usar imagens antigas coletadas antes da LGPD sem revisar se havia consentimento adequado
- Não ter processo para atender pedido de remoção de imagem quando a família solicita
- Armazenamento e segurança: o básico que toda organização precisa fazer
Ter os dados e protegê-los são obrigações distintas. A LGPD exige que os dados pessoais sejam armazenados com medidas de segurança técnicas e administrativas adequadas para protegê-los de acessos não autorizados, de perda ou de destruição.
Para organizações sociais de pequeno porte, isso não significa contratar um sistema de cybersegurança de alto custo. Significa adotar práticas básicas que reduzem riscos reais:
Práticas básicas de segurança de dados para pequenas OSCs
- Planilhas com dados pessoais protegidas por senha, não compartilhadas em e-mail aberto ou em drives sem restrição de acesso
- Acesso a dados sensíveis restrito a quem precisa deles para o trabalho, não toda a equipe
- Backup regular de dados para não perder informações em caso de falha técnica
- Dados armazenados em sistemas com criptografia: Google Drive ou Microsoft OneDrive oferecem isso gratuitamente
- Descarte adequado de dados físicos, fichas antigas com dados pessoais não jogadas no lixo comum
- Política de saída: quando uma pessoa da equipe sai, revogar o acesso aos dados imediatamente
Direitos dos titulares: o que as famílias podem pedir
A LGPD garante a titulares de dados, no caso de crianças, exercido pelos responsáveis, um conjunto de direitos que as organizações precisam estar preparadas para atender:
- Acesso: o responsável pode pedir para saber quais dados a organização tem sobre seu filho
- Correção: pode pedir correção de dados incorretos ou desatualizados
- Eliminação: pode pedir a exclusão de dados quando não há mais necessidade ou quando o consentimento é revogado
- Portabilidade: pode pedir os dados num formato que permita levá-los para outro serviço
- Informação: pode pedir informações sobre com quem os dados foram compartilhados
- Revogação do consentimento: pode retirar o consentimento a qualquer momento, o que não invalida o tratamento feito até então, mas impede o uso futuro
Para atender esses direitos, a organização precisa saber quais dados tem, onde estão armazenados e como podem ser acessados. Isso torna o inventário de dados, saber o que se tem, a primeira e mais fundamental ação de conformidade com a LGPD.
O que fazer com o que já existe
A maioria das organizações que leu até aqui está pensando nos dados que já tem, formulários de matrícula antigos, fichas sem autorização adequada, grupos de WhatsApp com fotos de crianças. O que fazer?
Passo a passo para organizar o que já existe
1. Inventário: listar quais dados a organização coleta, onde estão armazenados e quem tem acesso
2. Revisão de consentimentos: verificar quais termos existentes são adequados e quais precisam ser atualizados
3. Atualização de formulários: criar novos termos de consentimento que atendam aos requisitos da LGPD
4. Recontato com famílias: para dados coletados sem consentimento adequado, obter consentimento renovado ou excluir os dados
5. Revisão de canais: verificar grupos de WhatsApp, drives compartilhados, pastas de e-mail e reorganizar o acesso
6. Criação de política interna: documento simples que define como dados serão coletados, armazenados e usados
Por onde começar: as ações mínimas viáveis
Para organizações que estão começando do zero com LGPD, as ações que têm maior impacto por menor esforço são:
Checklist de LGPD mínima para organizações que trabalham com crianças
- Criar um formulário de matrícula/cadastro que inclua consentimento claro para uso dos dados coletados com linguagem acessível
- Criar um formulário separado para uso de imagem, especificando canais, finalidade e prazo
- Restringir o acesso a dados sensíveis (saúde, situação familiar) a quem realmente precisa
- Definir quem na organização é o responsável pelo tema de proteção de dados: o ‘Encarregado’ ou DPO informal
- Criar processo simples para atender pedidos de famílias: acesso, correção, exclusão
- Revisar os grupos de WhatsApp e drives compartilhados com olhar de segurança de dados
Recursos gratuitos para pequenas OSCs
- ANPD (Autoridade Nacional de Proteção de Dados — gov.br/anpd): guias e orientações específicos para o terceiro setor
- IBICT tem materiais sobre gestão de dados para organizações de pesquisa e setor social
- Organizações como Instituto Alana e Data Privacy Brasil publicam materiais acessíveis sobre LGPD e crianças
- Advogados pro bono especializados em LGPD: algumas redes de apoio jurídico ao terceiro setor oferecem orientação gratuita
Conclusão
A LGPD não é inimiga das organizações sociais. É a formalização de uma prática que organizações sérias já deveriam ter: tratar as informações das famílias com o mesmo cuidado com que tratam as crianças. Os dados que uma família compartilha ao matricular a criança num projeto são um ato de confiança e essa confiança merece ser honrada.
Para organizações que trabalham com crianças em contextos de vulnerabilidade, a proteção de dados tem dimensão adicional: muitas dessas famílias estão em situações em que uma informação no lugar errado pode criar risco real, como a cena que abriu este artigo mostrou. A LGPD não é burocracia: é proteção.
O caminho para a conformidade não precisa ser perfeito de uma vez. Pode ser gradual: um formulário melhor, um grupo de WhatsApp revisado, um drive com acesso controlado. Cada passo em direção a práticas mais seguras de dados é um passo em direção a uma relação mais digna com as famílias que confiam no trabalho da organização.
