LGPD em software sob medida: o mínimo obrigatório antes de colocar o sistema no ar (e quanto custa fazer certo desde o início)
Rafael Oliveira · · 9 min de leitura
O cenário é conhecido. A empresa contratou um sistema, o fornecedor entregou, e meses depois alguém do jurídico ou um cliente grande pergunta: "isso está adequado à LGPD?". A resposta que volta é um "sim" sem detalhe. Aí um ex-funcionário ainda consegue logar três meses depois de sair. Um cliente pede para apagar os dados dele e ninguém sabe fazer isso sem mexer direto no banco. O CPF de todo mundo está numa coluna de texto puro, e a planilha exportada do sistema circula por WhatsApp. Nenhum desses problemas apareceu no orçamento. Nenhum aparece na demonstração. Todos aparecem no pior momento possível: numa auditoria de fornecedor, numa reclamação na ANPD ou num vazamento.
Quem já passou por um projeto travado sabe do que estou falando. A diferença é que aqui o projeto não trava, ele funciona normalmente até o dia em que o custo aparece de uma vez.
Por que a LGPD vira problema depois da entrega
A causa é estrutural, não é má-fé de ninguém. A maioria das empresas trata a LGPD como um documento: contrata um advogado, publica uma política de privacidade e considera o assunto encerrado. Só que a política de privacidade cobre talvez 20% da lei. Os outros 80% são comportamento do sistema: quem acessa o quê, por quanto tempo o dado fica guardado, como ele é apagado, o que acontece quando vaza.
Esses comportamentos são requisitos de software. Se não estão no briefing, não estão no orçamento. Se não estão no orçamento, o fornecedor não constrói, porque ninguém pediu. E o dono da empresa só descobre quando precisa.
O barato que sai caro aqui é o seguinte: os mesmos requisitos que custam uma ou duas semanas quando entram no projeto desde o início custam de três a cinco vezes mais quando precisam ser encaixados em um sistema pronto, com dados reais dentro.
O checklist técnico mínimo de LGPD para um sistema
Não sou advogado e este texto não substitui um. O que segue é a visão de quem constrói e mantém sistemas que tratam dados pessoais de milhares de pessoas. É o mínimo que eu exijo antes de colocar qualquer sistema em produção.
1. Inventário de dados pessoais
Uma tabela simples: qual dado, onde fica, para que serve, com base em qual justificativa legal e por quanto tempo. Nome, CPF, e-mail, telefone, endereço, dados bancários, fotos, geolocalização. Leva de duas a quatro horas para um sistema de porte médio. Sem isso, nenhum dos itens seguintes é possível.
2. Base legal mapeada para cada dado
Consentimento não é a regra, é uma das dez bases legais previstas. Dado fiscal você guarda por obrigação legal. Dado de contrato você trata para executar o contrato. Pedir consentimento para algo que você é obrigado a guardar cria um problema: se a pessoa revogar, você não pode apagar mesmo. Mapear a base certa evita isso.
3. Controle de acesso e trilha de auditoria
Perfis de usuário com permissões distintas. Revogação imediata quando alguém sai. Registro de quem consultou, alterou ou exportou dados sensíveis, com data e hora. Em termos de engenharia é uma tabela de logs e um middleware. Em termos de negócio é a única forma de responder "quem viu esse cadastro?" quando a pergunta chegar.
4. Direitos do titular implementados como funcionalidade
A pessoa tem direito de saber quais dados você tem, corrigir, exportar e pedir exclusão. Isso precisa ser uma tela ou um fluxo operacional definido, não um comando SQL que só o fornecedor sabe rodar. Exclusão frequentemente vira anonimização, porque registros financeiros e fiscais precisam permanecer. O sistema tem que saber fazer essa distinção.
5. Regra de retenção e exclusão automática
Dado sem prazo de validade é passivo. Currículos de processos seletivos encerrados, leads que nunca responderam, logs de acesso de cinco anos atrás. Defina o prazo de cada categoria no inventário e implemente uma rotina que apaga ou anonimiza quando o prazo vence.
6. Segurança básica, sem exagero
- HTTPS em tudo, sem exceção.
- Senhas armazenadas com hash forte, nunca em texto puro ou criptografia reversível.
- Chaves e senhas de serviço fora do código, em variáveis de ambiente ou gerenciador de segredos.
- Backups criptografados e testados. Backup que nunca foi restaurado não é backup.
- Autenticação em dois fatores para perfis administrativos.
- Dados de cartão nunca passam pelo seu banco: ficam no gateway de pagamento.
7. Fornecedores que tocam nos dados
Nuvem, e-mail transacional, gateway de pagamento, ferramenta de analytics, suporte por chat. Cada um deles é um operador de dados na linguagem da lei. Você precisa saber quais são, em qual país os dados ficam e se o contrato deles cobre isso. A lista sai direto do inventário.
8. Plano de incidente e encarregado
Uma página: quem é acionado, como se identifica a extensão do problema, como se comunica aos titulares e à ANPD. A regulamentação atual da ANPD prevê comunicação em três dias úteis para incidentes relevantes. Não dá para montar esse plano no dia do vazamento. E defina quem é o encarregado, o contato oficial para assuntos de dados. Empresas de pequeno porte podem ter dispensa formal, mas alguém precisa atender quando um titular escrever.
O que a LGPD não exige (e o que você não precisa comprar)
Aqui é onde muita empresa gasta errado, geralmente por medo.
- Banner de cookies em sistema interno com login. Se o usuário está autenticado e os cookies servem para manter a sessão, não há o que consentir. Banner é para site público com rastreamento de marketing.
- Consentimento para tudo. Já expliquei acima. Pedir consentimento onde a base legal é outra cria um passivo, não resolve um.
- "Certificação LGPD" ou "selo de conformidade". Não existe certificação oficial obrigatória. Existem boas práticas e auditorias, que valem quando um cliente exige, não como pré-requisito legal.
- Criptografia de banco de dados inteiro em sistema pequeno. Criptografia em repouso no disco do provedor de nuvem já resolve o cenário mais comum e costuma vir ligada por padrão. Criptografar coluna a coluna tem custo de desempenho e complexidade que só se justifica para dados sensíveis específicos.
Não existe resposta única, mas existe conta certa. E a conta certa começa por não pagar pelo que não é necessário.
Quanto custa fazer certo desde o início versus consertar depois
Faixas reais, com as variáveis que fazem o número mudar.
Incluído no projeto desde o briefing: entre 5% e 10% do escopo total. Em um sistema de gestão orçado em R$ 80 mil, isso significa algo entre R$ 4 mil e R$ 8 mil, ou uma a duas semanas de trabalho distribuídas ao longo do projeto. Boa parte é decisão de arquitetura que custa quase nada quando tomada cedo: onde ficam os logs, como se modela exclusão, quais campos são sensíveis.
Encaixado em sistema já em produção: de três a cinco vezes esse valor, tipicamente entre R$ 15 mil e R$ 40 mil e de três a seis semanas. O custo vem de descobrir onde os dados estão espalhados, migrar dados existentes, criar trilha de auditoria onde nunca existiu e testar sem derrubar a operação. Se o sistema não tem documentação e o fornecedor original sumiu, o número sobe mais.
Custo mensal recorrente: baixo em infraestrutura, algumas dezenas de reais a mais em armazenamento de logs e backup. O custo real é operacional: alguém precisa responder solicitações de titulares e revisar acessos periodicamente. Em uma empresa pequena, poucas horas por mês.
O custo de não fazer: a multa prevista em lei chega a 2% do faturamento, limitada a R$ 50 milhões por infração. Na prática, para a maioria das empresas médias, o prejuízo chega antes da multa: é o cliente grande que audita fornecedores e não fecha, ou o contrato que exige adequação em 30 dias e vira um projeto de emergência.
As perguntas que decidem antes de contratar o sistema
Antes de assinar qualquer contrato, pergunta isso ao fornecedor:
- Onde os dados ficam armazenados e em qual país? Resposta vaga aqui é sinal de que ninguém pensou no assunto.
- Como um cliente meu é excluído do sistema, e o que acontece com o histórico financeiro dele? A resposta certa envolve anonimização e regra de retenção, não "a gente apaga do banco".
- Quem da equipe de vocês tem acesso ao banco de produção, e isso fica registrado?
- Como as senhas dos usuários são guardadas? A resposta precisa incluir a palavra "hash". Qualquer outra coisa é problema.
- Se houver um vazamento, o que vocês fazem nas primeiras 24 horas? Fornecedor que já tem um plano responde em um minuto.
- Esses itens estão no escopo desta proposta ou são adicionais? Não há resposta errada, desde que seja explícita. O problema é descobrir depois que era adicional.
Leve essas seis perguntas para a reunião. A qualidade das respostas diz mais sobre o fornecedor do que o portfólio.
Como a gente lida com isso nos sistemas que opera
Esse é o tipo de decisão que a OCA toma em todo projeto, porque a gente também é dona de produto. O Revo App, nossa plataforma de eventos, tem mais de 40 mil usuários cadastrados com nome, CPF, e-mail e histórico de compras. Dados de cartão nunca passam pelo nosso banco: ficam no gateway de pagamento, o que reduz drasticamente o que a gente precisa proteger. Exclusão de conta é um fluxo dentro do app, com anonimização do histórico de transações porque o registro fiscal precisa permanecer.
No sistema de gestão para imobiliárias que mantemos em produção, o volume de dado sensível é maior: documentos de locatários, fiadores, comprovantes de renda, contratos. Ali o controle de acesso por perfil e a trilha de auditoria foram desenhados antes da primeira tela, porque encaixar depois teria custado semanas. Você pode ver esses e outros casos no portfólio de projetos da OCA.
Nada disso é sofisticado. É rotina de engenharia feita na ordem certa.
O próximo passo concreto
Se você vai contratar um sistema, copie o checklist de oito itens acima e cole no seu briefing como seção obrigatória. Isso força o fornecedor a orçar o que importa e elimina a surpresa depois. Se o sistema já existe, comece pelo inventário de dados: é a parte mais barata e é o que revela o tamanho real do problema.
E se quiser conversar com quem constrói sistemas com esses requisitos no escopo desde o primeiro dia, e opera produtos com dezenas de milhares de usuários seguindo essas mesmas regras, o caminho é direto:
