Na rotina do condomínio, dados pessoais aparecem no cadastro de moradores, no registro de visitantes, nas câmeras, nos aplicativos de acesso e até nas mensagens sobre uma ocorrência. A LGPD exige que esse tratamento tenha finalidade definida, necessidade e proteção adequada. O objetivo não é impedir a segurança do prédio, mas evitar que a coleta e o compartilhamento se tornem excessivos ou sem controle.
Para o síndico, o primeiro passo é saber quais informações circulam e quem decide como elas são usadas. A administradora, a empresa de portaria e o fornecedor de tecnologia podem ter papéis diferentes conforme o serviço e as decisões efetivamente tomadas. Não basta chamar todos de operadores no contrato: é preciso examinar cada operação. As referências oficiais ao final ajudam nessa análise.
1. Faça um mapa dos dados antes de mudar procedimentos
Liste cada rotina: cadastro de residentes, autorização de visitantes, entregas, imagens, cobrança, acesso por aplicativo e atendimento de ocorrências. Para cada uma, registre a finalidade, os dados coletados, a origem, quem acessa, os destinatários, onde ficam armazenados e o critério de retenção. Inclua papel, planilhas, celulares e sistemas contratados.
Exemplo: para liberar uma visita, avalie se nome, unidade de destino, autorização e horário atendem à finalidade. Fotografar um documento inteiro ou cadastrar informações adicionais precisa de justificativa própria. Uma informação conveniente para o fornecedor não é automaticamente necessária para o condomínio.
Defina a hipótese legal por finalidade, com orientação adequada. Consentimento não é uma solução universal. Conforme a operação, podem ser pertinentes obrigação legal, execução de contrato, exercício regular de direitos ou legítimo interesse. Neste último caso, documente finalidade, necessidade, expectativas dos titulares e balanceamento de direitos; o legítimo interesse não é base para dados sensíveis.
2. Portaria: transforme a política em uma rotina simples
Entregue à equipe uma orientação escrita sobre o que registrar, como confirmar a autorização e quem pode consultar o histórico. Evite livros abertos que exponham visitas anteriores e telas visíveis a quem aguarda atendimento. Não permita fotos de cadastros em celulares pessoais nem envio de listas de moradores para grupos amplos.
No cadastro de residentes, separe informações necessárias ao acesso e à administração de dados opcionais. Contatos de emergência também precisam de finalidade e proteção. Quando houver dados de crianças e adolescentes, avalie o melhor interesse e as condições específicas previstas na LGPD, sem presumir que o procedimento aplicado a adultos seja suficiente.
Disponibilize um aviso acessível explicando as finalidades, os responsáveis, os compartilhamentos relevantes e o canal para dúvidas e direitos. O texto deve corresponder à prática: não prometa eliminação imediata de todos os registros se existem retenções justificadas ou obrigações de preservação.
3. CFTV: proteja as imagens e limite sua circulação
Imagens que permitem identificar pessoas são dados pessoais. Revise o posicionamento das câmeras para a finalidade de segurança, evitando enquadramentos desnecessários de interiores de unidades e espaços privados. Informe a existência do monitoramento e ofereça acesso às informações sobre o tratamento; uma placa, sozinha, não resolve toda a transparência.
Limite o acesso às gravações a pessoas autorizadas, com credenciais individuais e registro de consultas e exportações quando o sistema permitir. Proteja gravadores e acessos remotos, atualize os equipamentos e remova permissões quando funcionários ou prestadores deixam a função. Não compartilhe senhas genéricas entre toda a equipe.
Se um morador pedir imagens de uma ocorrência, registre o pedido, confirme sua identidade e avalie a finalidade e a exposição de terceiros. Não encaminhe automaticamente a gravação inteira. Recorte, proteção de terceiros, consulta supervisionada ou encaminhamento às autoridades podem exigir avaliação jurídica e técnica conforme o caso. Evite publicar cenas em grupos de mensagens para expor ou constranger pessoas.
A LGPD não estabelece um prazo único para guardar todas as imagens de condomínios. Defina retenção proporcional e documentada, considerando finalidade e obrigações aplicáveis. Uma ocorrência pode justificar preservar um trecho específico, com acesso restrito, sem conservar indiscriminadamente todo o acervo.
4. Biometria e reconhecimento facial exigem análise própria
Biometria vinculada a uma pessoa é dado pessoal sensível e exige uma hipótese do artigo 11 da LGPD. A alegação genérica de segurança não torna qualquer coleta necessária, e legítimo interesse não basta para esse tratamento. Antes de contratar, avalie proporcionalidade, riscos, alternativas menos invasivas e necessidade de orientação especializada.
Pergunte ao fornecedor o que é armazenado, onde, quem acessa, quais subcontratados participam, se há transferência internacional e como ocorre o descarte. Exija explicação das medidas de segurança, do atendimento a incidentes e da devolução ou eliminação ao fim do contrato. Considere uma alternativa de acesso para quem não possa usar a tecnologia, após avaliar os requisitos do caso.
5. Cadastros, fornecedores e solicitações de moradores
Use contas individuais, permissões por função e autenticação reforçada quando disponível. Mantenha sistemas atualizados, cópias de segurança protegidas e um procedimento de desligamento de usuários. Não use uma planilha pública como cadastro central e não distribua dados financeiros ou contatos a quem não precisa deles.
Nos contratos, estabeleça instruções de tratamento, confidencialidade, medidas de segurança, subcontratação, comunicação de incidentes e regras de encerramento. Confirme se a empresa consegue cumprir essas condições; uma cláusula genérica de conformidade com a LGPD não substitui a avaliação do serviço.
Crie um canal para pedidos de confirmação, acesso, correção e demais direitos. Registre o recebimento, verifique a identidade de forma proporcional e encaminhe a resposta considerando os direitos de terceiros e as obrigações de conservação. Pedir exclusão não significa que todo dado deva ser apagado, independentemente da finalidade e da legislação.
6. Prepare uma resposta a incidentes antes de precisar dela
Uma planilha enviada ao destinatário errado, um celular perdido ou acesso indevido às câmeras merece apuração. Contenha a exposição, bloqueie acessos comprometidos, preserve evidências e registre o que ocorreu, os dados envolvidos, os possíveis impactos e as providências. Acione os responsáveis e fornecedores sem ampliar a circulação das informações.
O controlador deve avaliar se o incidente pode ocasionar risco ou dano relevante e, quando aplicável, comunicar a ANPD e os titulares conforme o regulamento vigente. Não espere uma assembleia para iniciar a avaliação. Consulte o procedimento oficial para prazos, conteúdo e eventuais regras específicas; nem toda falha exige comunicação, mas todas precisam de análise adequada.
Checklist para levar à administração
Confira seis entregas: inventário dos dados e finalidades; acesso limitado aos cadastros e imagens; critérios de retenção e descarte; avisos e canal de atendimento; contratos revisados; plano de resposta a incidentes. Para cada pendência, indique responsável e prazo interno, começando por exposições desnecessárias e acessos sem controle.
Este conteúdo é informativo e não substitui análise jurídica ou de segurança da informação. As bases legais e obrigações dependem da operação concreta, dos agentes envolvidos e da regulamentação aplicável.