LGPD para Desenvolvedores: Privacidade por Design no Código

A LGPD não é responsabilidade apenas do jurídico ou do DPO. Desenvolvedores são a primeira linha de defesa na proteção de dados pessoais. Cada decisão de arquitetura — quais dados coletar, como armazenar, quem acessa, por quanto tempo — determina se a organização está em conformidade ou exposta a sanções que podem chegar a 2% do faturamento.

O Que a LGPD Exige de Sistemas

A Lei nº 13.709/2018 estabelece princípios que devem permeiar todo ciclo de vida dos dados: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e accountability. Para desenvolvedores, os mais operacionais são necessidade (minimização), segurança e transparência.

Dados pessoais são qualquer informação relacionada a pessoa natural identificada ou identificável. Isso inclui óbvios como CPF e e-mail, mas também endereço IP, cookies de rastreamento, logs de localização, e até dados inferidos por algoritmos. Dados sensíveis — origem racial, convicção religiosa, opinião política, dados de saúde, biométricos — têm proteção reforçada e base legal mais restrita.

Privacidade por Design e por Padrão

Privacy by Design (PbD), formalizado por Ann Cavoukian, propõe que a proteção de dados seja incorporada desde a concepção do sistema, não como camada adicional. Os sete princípios fundamentais são: ser proativo, não reativo; privacy como padrão; incorporar na arquitetura; funcionalidade total; segurança de ponta a ponta; visibilidade e transparência; e respeito ao usuário.

• Colete apenas o estritamente necessário para a finalidade declarada. Se não precisa do CPF, não peça.
• Anonimize dados assim que possível. Métricas de negócio raramente precisam de identificadores pessoais.
• Implemente consentimento granular. Usuários devem poder aceitar/rejeitar finalidades distintas.
• Projete para portabilidade e deleção desde o início. Direitos do titular não são afterthought.
• Use criptografia em trânsito (TLS 1.3) e em repouso (AES-256) por padrão.

Consentimento: Implementação Técnica

Consentimento na LGPD deve ser livre, informado, inequívoco e para finalidades específicas. Implementações técnicas devem registrar: o que foi consentido, quando, como (mecanismo utilizado), e versão dos termos. Consentimentos genéricos em checkbox única não são válidos.

-- Tabela de registro de consentimentos
CREATE TABLE consentimentos (
  id uuid PRIMARY KEY DEFAULT gen_random_uuid(),
  usuario_id uuid REFERENCES auth.users(id) NOT NULL,
  finalidade text NOT NULL, -- ex.: "marketing", "analise"
  versao_termos int NOT NULL,
  consentido boolean NOT NULL,
  ip inet,
  user_agent text,
  criado_em timestamptz DEFAULT now(),
  UNIQUE (usuario_id, finalidade, versao_termos)
);

-- Verifica se usuário consentiu com marketing antes de enviar e-mail
SELECT EXISTS (
  SELECT 1 FROM consentimentos
  WHERE usuario_id = $1
    AND finalidade = 'marketing'
    AND consentido = true
    AND versao_termos = (SELECT MAX(versao_termos) FROM termos)
);

Usuários devem poder revogar consentimento tão facilmente quanto conceder. A revogação deve interromper imediatamente o tratamento, embora dados já processados legalmente possam ser retidos por obrigação legal.

Minimização e Pseudonimização

Minimização significa limitar a coleta ao que é diretamente relevante e necessário. Pseudonimização substitui identificadores por tokens, mantendo a possibilidade de reidentificação controlada. Anonimização vai além: torna a reidentificação impossível, eliminando o status de dado pessoal.

// Pseudonimização com hash determinístico (para matching)
import { createHash } from "crypto";

function pseudonimizar(email: string, pepper: string): string {
  return createHash("sha256")
    .update(email.toLowerCase().trim() + pepper)
    .digest("hex");
}

// Uso: armazene o hash em vez do e-mail em tabelas analíticas
// O pepper (segredo do servidor) impede ataques de rainbow table

Bancos de dados analíticos frequentemente não precisam de identificadores pessoais. Agregue por faixa etária em vez de data de nascimento. Use códigos de região em vez de endereço completo. Quanto menos dados pessoais circulam, menor o risco.

Direitos do Titular: Implementação

A LGPD concede nove direitos ao titular: confirmar existência de tratamento, acessar dados, corrigir dados incompletos, anonimizar ou bloquear, portar para outro serviço, apagar, ser informado sobre compartilhamento, revogar consentimento, e revisar decisões automatizadas.

O direito de eliminação é o mais desafiador. Alguns dados não podem ser apagados por obrigação legal (ex.: notas fiscais por 5 anos). A solução é anonimizar o que puder e documentar o que deve ser retido. Sempre registre a operação em logs de auditoria.

Segurança da Informação: Medidas Técnicas

O art. 46 da LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais. Para desenvolvedores, isso se traduz em práticas concretas de codificação e operação.

• Criptografia: TLS 1.3 para trânsito, AES-256 para repouso. Chaves em HSM ou KMS, nunca no código.
• Controle de acesso: autenticação multifator para admins, RBAC com princípio do menor privilégio.
• Logs de auditoria: registre quem acessou, modificou ou excluiu dados pessoais, com timestamp e IP.
• Rate limiting: proteja endpoints de login e APIs de extração contra brute force e scraping.
• Mascaramento: em ambientes não-produtivos, use dados sintéticos ou mascarados. Nunca copie produção para dev.
• Dependências: audite bibliotecas third-party em busca de vulnerabilidades (npm audit, Snyk, Dependabot).

Registro de Operações (RIPD)

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é obrigatório para tratamentos que apresentam risco elevado. Mesmo quando não formalmente exigido, manter registro das operações de tratamento é boa prática e facilita resposta a incidentes.

Um registro mínimo deve documentar: finalidade do tratamento, categorias de dados e titulares, bases legais, medidas de segurança, compartilhamentos, transferências internacionais, retenção e eliminação. Ferramentas como OneTrust, DataGrail e soluções open-source como Apache Atlas auxiliam na gestão.

Incidentes de Segurança: Resposta e Comunicação

Vazamentos de dados pessoais devem ser comunicados à ANPD e aos titulares em prazo razoável. Tecnicamente, isso exige: detecção automatizada de anomalias (SIEM, DLP), playbooks de resposta, criptografia que reduza impacto (dados criptografados vazados são menos graves), e capacidade de identificar escopo exato do incidente.

Checklist para Desenvolvedores

1. Mapeie todos os dados pessoais que sua aplicação coleta, processa e armazena.
2. Verifique se cada categoria de dado tem base legal clara documentada.
3. Habilite criptografia em trânsito e em repouso para todos os dados pessoais.
4. Implemente consentimento granular com registro de versão, data e mecanismo.
5. Construa endpoints para acesso, correção, portabilidade e eliminação de dados.
6. Use pseudonimização em dados analíticos e dados de teste.
7. Restrinja acesso a dados pessoais via RBAC e MFA.
8. Mantenha logs de auditoria de acesso e modificação de dados pessoais.
9. Teste recuperação de desastres e valide que backups respeitam retenção definida.
10. Revise código em busca de hardcoded PII, logs que vazam dados, e queries expostas.

Conclusão

LGPD é regulamentação, mas também é engenharia de qualidade. Sistemas que respeitam minimização, criptografam por padrão e documentam operações são mais seguros, mais fáceis de manter e mais confiáveis para usuários. O custo de implementar privacidade por design é inferior ao custo de refatorar após incidente ou auditoria.

Para desenvolvedores brasileiros, entender LGPD não é mais diferencial competitivo — é requisito básico. A boa notícia é que as mesmas práticas que garantem compliance (menos dados, mais criptografia, controle de acesso rigoroso) também reduzem complexidade técnica e risco operacional. Privacidade bem feita é sinônimo de engenharia bem feita.

Perguntas frequentes

Fontes consultadas

• Lei nº 13.709/2018 — LGPD (Texto Integral)
• ANPD — Relatório de Impacto
• Privacy by Design — Ann Cavoukian
• OWASP — Cheat Sheet Series (Privacy)