LGPD para escritórios de arquitetura: dados, bases legais, direitos do titular e boas práticas

Não. Este guia explica conceitos da Lei nº 13.709/2018 em linguagem de escritório de projeto e não é parecer jurídico. A lei foi alterada depois de sua publicação, e há regulamentação da autoridade nacional, de modo que o texto vigente e a orientação de um profissional habilitado devem ser consultados antes de qualquer decisão. Os artigos citados abaixo servem de ponto de partida para a leitura da lei, e o texto vigente está no portal da legislação do Planalto.

A Lei Geral de Proteção de Dados dispõe sobre o tratamento de dados pessoais, inclusive em meios digitais, por pessoa natural ou por pessoa jurídica, com o objetivo de proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º). Isso inclui um escritório de arquitetura, seja ele uma empresa ou um profissional autônomo, no que diz respeito aos dados das pessoas com quem se relaciona.

Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável (art. 5º). Em um escritório, ele aparece em mais lugares do que se costuma lembrar.

Alguns dados são classificados como sensíveis, como os relativos à saúde e à vida sexual, a origem racial ou étnica, a convicção religiosa, a opinião política, a filiação sindical e os dados genéticos ou biométricos vinculados a uma pessoa (art. 5º). Em um projeto, isso pode aparecer quando o briefing menciona uma condição de saúde que exige adaptação do espaço. Esses dados pedem cuidado redobrado.

A lei define o controlador como quem toma as decisões sobre o tratamento dos dados e o operador como quem trata os dados em nome do controlador (art. 5º). Em geral, o escritório é controlador dos dados de seus clientes, de sua equipe e de seus fornecedores, porque decide por que e como usá-los. As ferramentas e os prestadores que o escritório contrata para guardar ou processar esses dados costumam atuar como operadores.

A lei também prevê o encarregado, pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a autoridade nacional (art. 5º e art. 41). Qual é a exigência para cada porte de organização, e as dispensas existentes, deve ser conferida no texto vigente e na regulamentação.

O art. 6º reúne os princípios que valem para qualquer tratamento. Em linguagem de escritório:

• Finalidade e adequação: usar o dado para o que foi dito ao titular, e de modo compatível com isso.
• Necessidade: coletar só o que o trabalho exige. Se o projeto não precisa do dado, não o peça.
• Livre acesso e qualidade dos dados: o titular pode consultar o que o escritório tem sobre ele, e os dados devem estar corretos e atualizados.
• Transparência: informar de forma clara como os dados são usados.
• Segurança e prevenção: proteger contra acessos indevidos e prevenir danos.
• Não discriminação e responsabilização: não usar o dado para fins discriminatórios e ser capaz de demonstrar o que se faz para cumprir a lei.

O art. 7º lista as hipóteses legais em que o tratamento de dados pessoais é permitido. As mais comuns em um escritório de arquitetura são:

• Execução de contrato ou de procedimentos preliminares a pedido do titular: tratar os dados do cliente para elaborar a proposta e executar o projeto contratado.
• Cumprimento de obrigação legal ou regulatória: guardar documentos fiscais e outros registros exigidos por lei.
• Exercício regular de direitos, inclusive em processo: guardar o histórico que sustenta o que foi combinado, em caso de disputa.
• Legítimo interesse do controlador, que não vale quando prevalecem os direitos e liberdades fundamentais do titular.
• Consentimento do titular, para usos que não se enquadram nas demais hipóteses, como divulgar a foto de uma obra com pessoas identificáveis em redes sociais.

A escolha da hipótese certa para cada uso é uma análise que depende do caso. Para dados sensíveis, as regras são mais restritas, e o texto vigente da lei deve ser consultado.

O art. 18 lista os direitos do titular, que podem ser exercidos perante o controlador. Entre eles:

• Confirmar que existe tratamento e acessar os dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos.
• Pedir a portabilidade dos dados a outro fornecedor.
• Pedir a eliminação dos dados tratados com base no consentimento.
• Ser informado sobre com quem os dados foram compartilhados.
• Revogar o consentimento.

O art. 9º trata do direito de acesso facilitado a informações claras sobre o tratamento: finalidade, forma e duração, identificação e contato do controlador, compartilhamento e direitos do titular. Na prática, o escritório precisa de um canal para receber esses pedidos e de um responsável por responder. O texto vigente da lei e a regulamentação trazem os prazos de resposta.

• Mapeie os dados: onde estão, quem tem acesso e para que servem. O art. 37 prevê que o controlador mantenha o registro das operações de tratamento.
• Colete o necessário: revise formulários, briefings e contratos e retire o que não é usado.
• Defina quem acessa o quê: perfis por função, e acesso removido quando alguém sai da equipe.
• Proteja: senhas fortes, segundo fator de autenticação quando houver, aparelhos com bloqueio e backups. O art. 46 fala em medidas de segurança técnicas e administrativas.
• Cuide das fotos de obra e dos documentos pessoais: guarde em local controlado e evite enviá-los por canais sem controle.
• Escreva a política de privacidade, em linguagem clara, e indique a quem o titular deve escrever.
• Treine a equipe: a maior parte dos incidentes começa em um erro humano.
• Tenha um plano para incidentes: o art. 48 prevê a comunicação à autoridade nacional e ao titular de incidente de segurança que possa acarretar risco ou dano relevante.

O contrato com o cliente deve dizer, de forma simples, quais dados são tratados e para quê. Os contratos com prestadores que acessam dados do escritório, como software, armazenamento, contabilidade e projetistas, merecem uma cláusula sobre o uso e a proteção desses dados. A redação deve ser feita ou revisada por advogado.

A página de segurança e LGPD do Zenial descreve os mecanismos de proteção adotados, entre eles acesso por HTTPS, controle de acesso por perfil e isolamento de dados por escritório, com políticas de segurança no banco aplicadas por recurso e em auditoria contínua, como a própria página informa. Há uma política de privacidade e uma de cookies, e um canal do Encarregado, com um formulário de pedido do titular que gera um número de protocolo na hora.

No portal do cliente, o acesso é feito por um link exclusivo enviado pelo escritório ou pelo CPF ou CNPJ com um código de 6 dígitos enviado ao e-mail cadastrado, e cada cliente vê apenas os próprios projetos. No sistema, os membros da equipe têm perfis de acesso com permissões editáveis.

Usar uma ferramenta com esses recursos ajuda a organizar a proteção de dados, mas não torna o escritório conforme à LGPD: as decisões sobre quais dados coletar, com que base e por quanto tempo continuam sendo do escritório.