LGPD no terceiro setor: guia prático para organizações da sociedade civil

Organizações da sociedade civil lidam com dados pessoais o tempo todo: cadastros de beneficiários, fichas de atendimento, listas de doadores, dados de voluntários e da equipe. Muitas vezes, são dados sensíveis, como informações de saúde, ou de crianças e adolescentes.

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) vale para essas organizações como para qualquer empresa. A boa notícia é que a adequação pode ser feita de forma proporcional ao porte e à realidade de cada uma. Este guia mostra o essencial.

A LGPD se aplica às OSCs?

Sim. A lei se aplica a qualquer pessoa natural ou jurídica, de direito público ou privado, que trate dados pessoais, com fins lucrativos ou não. Associações, fundações e demais organizações sem fins lucrativos estão incluídas.

A Autoridade Nacional de Proteção de Dados (ANPD) prevê tratamento diferenciado para agentes de pequeno porte, categoria que pode incluir entidades sem fins lucrativos, com regras simplificadas em alguns pontos (Resolução CD/ANPD nº 2/2022). Simplificado não significa dispensado: as obrigações básicas continuam valendo.

Conceitos que você precisa conhecer

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável, como nome, CPF, endereço e telefone.
• Dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, dados de saúde, vida sexual, genéticos ou biométricos (art. 5º, II).
• Controlador: quem toma as decisões sobre o tratamento. Em regra, a própria organização.
• Operador: quem trata dados em nome do controlador, como uma empresa de software ou de contabilidade.
• Encarregado: pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.

Bases legais: por que você pode tratar cada dado

Todo tratamento precisa de uma base legal. O art. 7º da LGPD lista as hipóteses; as mais comuns no terceiro setor são:

• Consentimento do titular, por exemplo, para enviar newsletters.
• Cumprimento de obrigação legal ou regulatória, como obrigações trabalhistas e prestação de contas exigida por lei.
• Execução de contrato ou procedimentos preliminares, como termos de voluntariado e contratos de prestação de serviço.
• Legítimo interesse, sempre com avaliação de equilíbrio entre o interesse da organização e os direitos do titular.
• Execução de políticas públicas pela administração pública, hipótese que pode aparecer em parcerias com o poder público.

Para dados sensíveis, as hipóteses são mais restritas e estão no art. 11. Para dados de crianças e adolescentes, o art. 14 exige que o tratamento seja realizado no seu melhor interesse, e há regras específicas de consentimento dos pais ou responsáveis para crianças.

ROPA e RIPA: dois documentos diferentes

É comum confundir esses dois instrumentos. Eles têm funções diferentes:

• ROPA (registro das operações de tratamento): o art. 37 determina que controlador e operador mantenham registro das operações de tratamento que realizarem. É o inventário dos dados: quais dados, de quem, para quê, com que base legal, com quem são compartilhados e por quanto tempo são guardados.
• RIPA (relatório de impacto à proteção de dados pessoais): documentação do controlador que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, com as medidas para mitigar esses riscos (art. 5º, XVII). A ANPD pode determinar sua elaboração (art. 38).

Na prática, o ROPA é o ponto de partida de qualquer adequação. O RIPA é reservado aos tratamentos de maior risco, como grandes volumes de dados sensíveis ou de crianças.

O encarregado de dados

O art. 41 determina que o controlador indique um encarregado, cujas atividades incluem receber reclamações e comunicações dos titulares, receber comunicações da ANPD, orientar funcionários e contratados e executar outras atribuições definidas pelo controlador. A identidade e o contato do encarregado devem ser divulgados de forma clara.

Agentes de pequeno porte podem ter regras simplificadas quanto ao encarregado, mas precisam manter um canal de comunicação com os titulares. O encarregado pode ser alguém da equipe ou um serviço externo.

Os direitos dos titulares

Beneficiários, doadores, voluntários e funcionários são titulares de dados e podem exercer os direitos previstos no art. 18 da LGPD. Entre eles:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados, nos termos da regulamentação.
• Informação sobre com quem os dados foram compartilhados.
• Revogação do consentimento, quando essa for a base legal.

A organização precisa ter um caminho simples para receber e responder esses pedidos, normalmente pelo e-mail do encarregado, e registrar o que foi feito.

Incidentes de segurança

Vazamentos, acessos indevidos e perda de dados acontecem, inclusive em organizações pequenas: um notebook furtado, um e-mail enviado para a lista errada, uma planilha compartilhada publicamente.

O art. 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) detalha o procedimento e os prazos. Ter um plano simples de resposta, com responsáveis e passos definidos, faz toda a diferença.

Por onde começar: um roteiro em sete passos

1. Nomeie um responsável pelo tema e indique o encarregado.
2. Mapeie os dados que a organização trata em cada área (atendimento, captação, RH, voluntariado, comunicação) e monte o ROPA.
3. Defina a base legal de cada tratamento e elimine o que não tem justificativa.
4. Revise formulários e termos, incluindo consentimentos para uso de imagem e para dados de crianças e adolescentes.
5. Publique uma política de privacidade clara, com o contato do encarregado.
6. Adote medidas de segurança proporcionais (art. 46): controle de acesso, senhas fortes, backup e cuidado com planilhas e grupos de mensagens.
7. Treine a equipe e os voluntários e crie um plano de resposta a incidentes.

Checklist de documentos

Ao fim da adequação básica, a organização deve ter, no mínimo:

• Registro das operações de tratamento (ROPA) atualizado.
• Política de privacidade publicada no site e disponível no atendimento.
• Termos de consentimento e de uso de imagem revisados.
• Cláusulas de proteção de dados nos contratos com fornecedores e parceiros.
• Termo de confidencialidade para equipe e voluntários.
• Plano de resposta a incidentes, com responsáveis e contatos.
• Registro das capacitações realizadas e dos pedidos de titulares atendidos.

Cuidados específicos do terceiro setor

• Imagens de beneficiários: fotos e vídeos em redes sociais e relatórios exigem autorização e cuidado redobrado com crianças e adolescentes.
• Prestação de contas: compartilhe com financiadores apenas os dados necessários e, sempre que possível, de forma agregada ou anonimizada.
• Doadores: listas de doadores não devem ser compartilhadas ou usadas para outras finalidades sem base legal.
• Voluntários: voluntários que acessam dados devem receber orientação e assinar termos com cláusulas de confidencialidade.
• Fornecedores: contratos com plataformas de cadastro, doação e e-mail devem prever obrigações de proteção de dados.

Erros comuns na adequação

• Copiar a política de privacidade de outra organização, sem refletir a realidade dos próprios tratamentos.
• Pedir consentimento para tudo, inclusive quando outra base legal é a adequada.
• Guardar dados indefinidamente, sem prazo de retenção.
• Deixar planilhas com dados de beneficiários em pastas compartilhadas abertas.
• Tratar a LGPD como projeto pontual, e não como rotina que precisa de acompanhamento.

A ANPD hoje

A autoridade responsável pela fiscalização da LGPD é a ANPD, hoje denominada Agência Nacional de Proteção de Dados, conforme a redação dada à lei pela Lei 15.352/2026. Ela edita regulamentos, orienta e pode aplicar sanções. Acompanhar suas publicações é parte da rotina de conformidade.

Conclusão

A LGPD não precisa ser um obstáculo para as organizações sociais. Com um inventário de dados, bases legais definidas, uma política de privacidade e cuidados básicos de segurança, a organização protege quem atende, ganha a confiança de doadores e financiadores e evita riscos desnecessários.

Precisa organizar a LGPD na sua organização? Conheça o módulo de LGPD da assessoria contínua ou comece por um diagnóstico institucional da sua organização.

Este conteúdo tem caráter informativo e não substitui orientação profissional sobre o caso concreto. Dispositivos citados conforme o texto da Lei 13.709/2018 disponível no portal do Planalto em outubro de 2026.