Política de privacidade que o usuário entende e o advogado aprova

As políticas de privacidade costumam falhar duas vezes. O usuário não entende o que acontece com os dados dele, porque o texto foi escrito para caber em qualquer cenário e por isso não descreve nenhum. E o advogado aprova promessas que o próprio sistema desmente: prazo de eliminação que nenhuma rotina executa, canal de atendimento que ninguém monitora, "não compartilhamos com terceiros" num produto cheio de integrações.

O problema importa para qualquer empresa que trata dados pessoais, mas pesa mais para quem lida com dado sensível: fintechs, plataformas com cadastro e, em especial, quem faz verificação de identidade e coleta documento e biometria. Nesses produtos, a política deixa de ser formalidade e vira a superfície visível de decisões técnicas: que dado entra, para quê, com que base legal, por quanto tempo, com quem sai.

Este artigo mostra o que a lei exige de fato, por que o modelo médio falha nas duas pontas e um método concreto para chegar a um texto que informa e resiste a auditoria: inventário primeiro, redação em camadas e teste de cada frase contra o sistema.

O que a lei exige de fato

A Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) não exige um documento chamado "política de privacidade". Ela exige algo mais difícil: transparência com conteúdo mínimo.

O art. 6º, VI, da lei define o princípio da transparência como a garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre os agentes que o realizam. O art. 9º desce ao concreto: o titular tem direito ao acesso facilitado às informações sobre o tratamento dos seus dados, disponibilizadas de forma clara, adequada e ostensiva, incluindo no mínimo:

• finalidade específica do tratamento;
• forma e duração do tratamento;
• identificação do controlador e suas informações de contato;
• informações sobre o uso compartilhado de dados e a finalidade desse compartilhamento;
• responsabilidades dos agentes que realizarão o tratamento;
• direitos do titular, com menção explícita aos direitos do art. 18: confirmação da existência de tratamento, acesso, correção, eliminação, portabilidade, entre outros.

Repare no par de adjetivos: clara e específica. Uma política pode listar todos os itens do art. 9º e ainda descumprir a lei, se cada item estiver redigido de forma genérica demais para informar alguma coisa. Quem fiscaliza esse cumprimento é a Autoridade Nacional de Proteção de Dados (ANPD).

Por que a política média falha nas duas pontas

A falha do lado do usuário é fácil de reconhecer:

Podemos compartilhar seus dados com parceiros para melhorar sua experiência.

A frase não informa nada. Quais parceiros? Que dados? Para qual finalidade? Ela foi escrita para caber em qualquer cenário futuro, e é exatamente por isso que não cumpre a exigência de finalidade específica do art. 9º, I. Generalidade não é prudência jurídica: é ausência de informação.

A falha do lado do advogado é menos visível e mais cara. A política diz que os dados são eliminados em seis meses, mas nenhuma rotina de expurgo existe e o banco guarda tudo para sempre. Diz que o titular pode pedir cópia dos dados, mas não há processo por trás do e-mail informado. Diz que nada é compartilhado, enquanto o produto envia eventos para ferramenta de análise e consulta fontes externas de dados.

Cada frase da política é uma declaração pública que pode ser cobrada: pelo titular, no exercício dos direitos do art. 18, e pela ANPD, em fiscalização. Promessa que o sistema desmente não protege ninguém. A política errada para mais confunde o usuário; a política errada para menos documenta a própria infração.

Inventário primeiro, texto depois

O erro de método é começar pelo texto. Política de privacidade não se escreve do zero: deriva-se. O documento é a superfície visível de um inventário de tratamento de dados. Sem inventário, o texto será inventado, e texto inventado é o que falha nas duas pontas.

O inventário responde, para cada fluxo de dados do produto, seis perguntas:

1. Que dado é coletado? Categoria concreta: nome, CPF (Cadastro de Pessoas Físicas), selfie, imagem de documento, metadados de dispositivo.
2. De quem? Cliente final, visitante do site, pessoa convidada por uma empresa cliente.
3. Para quê? Finalidade específica de cada dado, não do produto inteiro.
4. Com que base legal? As do art. 7º para dados comuns e as do art. 11 para dados sensíveis.
5. Por quanto tempo, e o que acontece quando o prazo vence?
6. Com quem é compartilhado, e para quê?

Com o inventário pronto, a redação vira tradução: cada linha gera uma frase específica. E o caminho inverso funciona como auditoria: cada frase da política precisa apontar para uma linha do inventário. Frase sem linha é promessa inventada; linha sem frase é omissão.

Duas técnicas ajudam na tradução:

Camadas de leitura. Um resumo honesto no topo, em linguagem direta, do tipo "coletamos sua selfie e a foto do seu documento para confirmar que você é você; guardamos por 180 dias e depois apagamos; não vendemos seus dados". Abaixo, o documento completo, com o detalhe que o jurídico e a fiscalização esperam. O resumo não substitui o documento: é a porta de entrada dele.

Especificidade que informa. Em vez de "parceiros", categorias reais de destinatário: provedor de infraestrutura em nuvem, ferramenta de análise de uso, fonte de consulta cadastral, autoridade pública quando houver obrigação legal. Se a lista de fornecedores muda com frequência, a categoria nomeada resolve; "parceiros" não resolve nunca.

O caso especial de quem verifica identidade

Quem faz verificação de identidade de clientes, o processo conhecido como KYC (Know Your Customer, conheça seu cliente), tem três pontos de transparência que o modelo genérico ignora.

Primeiro, a natureza do dado. Dado biométrico é dado pessoal sensível por definição do art. 5º, II, da LGPD, e a comparação facial entre selfie e foto do documento é tratamento biométrico. A política precisa dizer isso com todas as letras: quais imagens são coletadas, que constituem dado sensível e que o regime aplicável é mais rígido.

Segundo, a base legal. Fingir que tudo é consentimento é o erro mais comum. O clique para prosseguir num cadastro obrigatório dificilmente configura consentimento livre, e consentimento pode ser revogado, o que derrubaria a verificação no meio do caminho. O art. 11, II, "g", da LGPD autoriza o tratamento de dado sensível sem consentimento quando indispensável à prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. Escolher a base legal certa para biometria muda o texto: em vez de pedir um consentimento que não se sustenta, a política informa a base real e explica o porquê do tratamento.

Terceiro, a retenção. "Guardamos pelo tempo necessário" não atende à exigência de forma e duração do art. 9º, II. A política declara prazo e o sistema cumpre: rotina de expurgo, não intenção. Na UNIFOKAL, por exemplo, o prazo declarado na política é conferido automaticamente contra o parâmetro que a rotina de expurgo lê, para que texto e comportamento não divirjam em silêncio. Definir quanto tempo reter dados de verificação envolve as obrigações legais do setor de cada cliente, mas a regra da política é uma só: prazo declarado é prazo executado.

O teste: cada frase verificável contra o sistema

Antes de publicar, submeta o texto a um teste simples: para cada frase que descreve uma prática, alguém da equipe técnica deve conseguir apontar onde o sistema faz aquilo.

• "Eliminamos os dados após o prazo": mostre a rotina de expurgo e o registro de execução dela.
• "O titular pode solicitar acesso, correção ou eliminação": mostre o canal, quem atende e em quanto tempo. Os direitos do titular do art. 18 precisam de um processo real por trás de cada um.
• "Compartilhamos com as categorias A, B e C": mostre a lista de integrações ativas e confirme que não existe uma categoria D fora do texto.

Frase reprovada tem dois destinos: ou o sistema muda para cumprir a frase, ou a frase muda para descrever o sistema. O que não pode é o desacordo ir ao ar.

O teste também não é evento único. Cada mudança de prática exige atualizar a política antes de entrar no ar: novo fornecedor, novo evento de análise, novo prazo de retenção. A pergunta "isso altera o inventário?" entra no fluxo de lançamento de qualquer funcionalidade; se altera, a política acompanha a mudança em vez de correr atrás dela meses depois. Feche o ciclo com versionamento: data de vigência e histórico de alterações visíveis para o leitor. O usuário entende porque o texto descreve a realidade; o advogado aprova porque cada frase tem prova.

Fontes citadas

• Lei 13.709/2018 (Lei Geral de Proteção de Dados), arts. 5º, 6º, 7º, 9º, 11 e 18: texto integral no Planalto
• Autoridade Nacional de Proteção de Dados (ANPD): página oficial