LGPD em condomínios: guia prático para síndicos e administradoras

Sim, a LGPD vale para o condomínio. Todo dia o condomínio coleta e usa dados pessoais: cadastro de moradores, imagens de câmeras, lista de visitantes, boletos, ocorrências, ficha de funcionários. A Lei 13.709/2018 alcança qualquer tratamento de dados que não esteja nas exceções do seu art. 4º, e a gestão de um condomínio não está entre elas. A boa notícia é que a ANPD criou um regime simplificado que inclui os condomínios. Este guia mostra o que muda na prática para síndicos e administradoras, com um checklist no final.

A LGPD se aplica ao condomínio?

Aplica. O art. 4º da LGPD afasta a lei apenas em casos específicos, como o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, ou para fins jornalísticos. A administração de um condomínio não é uso particular de uma pessoa: é a gestão de dados de dezenas ou centenas de titulares. A própria ANPD confirma o enquadramento ao incluir os entes despersonalizados, categoria em que está o condomínio edilício, entre os agentes de tratamento de pequeno porte.

agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador

O regime simplificado da ANPD para condomínios

• Encarregado não é obrigatório (art. 11), mas o condomínio precisa manter um canal de comunicação com o titular para receber pedidos e reclamações (art. 11, § 1º). Indicar um encarregado mesmo assim conta como boa prática (art. 11, § 2º).
• Prazos em dobro (art. 14) para atender pedidos dos titulares e para comunicar incidentes, salvo quando houver potencial comprometimento à integridade física ou moral dos titulares.
• Registro simplificado das operações de tratamento (art. 9º).
• Política simplificada de segurança da informação, proporcional à estrutura e ao volume de dados (art. 13).
• Nada disso dispensa as bases legais, os princípios e os direitos dos titulares (art. 6º da resolução).

Há uma exceção importante. Pelos arts. 3º e 4º da resolução, quem faz tratamento de alto risco não aproveita essas flexibilizações. É alto risco o tratamento que reúne ao menos um critério geral (larga escala, ou possibilidade de afetar significativamente direitos dos titulares) e um específico (tecnologia emergente, vigilância de zonas acessíveis ao público, decisão automatizada, dados sensíveis ou dados de crianças, adolescentes e idosos). Um condomínio que adota reconhecimento facial, por exemplo, pode cair aqui. O art. 3º também traz um limite de receita bruta, que vale conferir com o contador em condomínios muito grandes.

Controlador, operador e o papel da administradora

A LGPD define o controlador como quem toma as decisões sobre o tratamento e o operador como quem trata dados em nome do controlador (art. 5º, VI e VII). O operador deve seguir as instruções do controlador (art. 39). No condomínio, quem decide é o próprio condomínio, representado pelo síndico (Código Civil, art. 1.348, II).

Os papéis dependem do caso concreto, então o mais seguro é registrar cada papel no contrato. Uma administradora que usa o cadastro do condomínio para oferecer serviços próprios, por exemplo, deixa de agir apenas em nome do cliente.

LGPD no condomínio: câmeras, cadastro e WhatsApp

Câmeras

• Finalidade clara: segurança das pessoas e do patrimônio, registrada em ata ou no regimento.
• Aviso visível de área monitorada nas entradas e áreas comuns.
• Nada de captar o interior das unidades nem ambientes íntimos, como banheiros e vestiários.
• Acesso restrito: defina quem vê ao vivo e quem pode consultar gravações.
• Prazo de guarda definido, com apagamento automático depois dele.
• Pedido de imagem de morador, polícia ou Justiça atendido por escrito, com registro de quem pediu e por quê, e cuidado com terceiros que aparecem na gravação.
• Não divulgar imagens em grupos de mensagem.

Se a ideia é usar reconhecimento facial, o tema muda de nível, porque biometria é dado sensível. Veja o guia sobre reconhecimento facial no condomínio.

Cadastro de moradores: colete só o necessário

O princípio da necessidade limita o tratamento "ao mínimo necessário para a realização de suas finalidades" (art. 6º, III). Na prática, nome, unidade, contato, condição de proprietário ou inquilino e veículos para a garagem cobrem a maior parte das rotinas. Religião, renda e dados de saúde não entram sem uma finalidade concreta. Quando a finalidade existe, como saber quem precisa de ajuda numa evacuação, vale desenhar o tratamento para expor o mínimo.

Os moradores têm direito de confirmar o tratamento, acessar e corrigir seus dados e pedir a eliminação do que for desnecessário (art. 18). Quando alguém se muda, os dados devem ser eliminados ao fim do tratamento, salvo exceções como o cumprimento de obrigação legal (art. 16).

Grupos de WhatsApp do condomínio

• Separe o canal oficial de comunicados do grupo de conversa entre vizinhos.
• Não publique lista de devedores, imagens de câmeras ou documentos com dados pessoais.
• Tenha regras do grupo por escrito e remova quem deixou o condomínio.
• Oriente os moradores a conferir qualquer pedido de pagamento antes de pagar e a confirmar mudança de dados bancários direto com o fornecedor, recomendações que aparecem em reportagem do Diário do Pará sobre golpes que usam o nome do síndico e da administradora.

Vazamento de dados no condomínio: o que fazer e em quanto tempo

A Resolução CD/ANPD nº 15/2024 manda comunicar a ANPD e os titulares em três dias úteis, contados de quando o controlador sabe que o incidente afetou dados pessoais, sempre que ele puder causar risco ou dano relevante. Isso inclui casos com dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou de autenticação. Cabe comunicação complementar em até 20 dias úteis, e o registro de todos os incidentes, mesmo os não comunicados, deve ser guardado por no mínimo cinco anos (Lefosse). Como agente de pequeno porte, o condomínio tem prazo em dobro, exceto quando houver potencial comprometimento à integridade física ou moral dos titulares.

Checklist de LGPD para o condomínio

1. Mapear os dados: cadastro, portaria, câmeras, financeiro, ocorrências e funcionários.
2. Definir a finalidade e a base legal de cada tratamento.
3. Cortar o que não tem finalidade.
4. Publicar o canal de contato do titular e, se quiser, indicar um encarregado.
5. Revisar contratos com administradora, portaria, CFTV e fornecedores de software.
6. Escrever as regras das câmeras: aviso, acesso e prazo de guarda.
7. Dar a cada funcionário acesso só ao que ele precisa, com login pessoal.
8. Adotar uma política simplificada de segurança da informação.
9. Montar o plano de resposta a incidentes, com prazos.
10. Criar rotina de eliminação para antigos moradores, visitantes e prestadores.
11. Treinar portaria, zeladoria e conselho.
12. Levar à assembleia mudanças relevantes, como novas câmeras ou biometria, e conferir convenção e regimento com um advogado.

Como a tecnologia ajuda (e o que perguntar ao fornecedor)

Um sistema bem desenhado facilita boa parte do checklist. Na InApps Framework, os dados de cada condomínio ficam isolados no banco de dados, o morador pode excluir a própria conta pelo app e a política de privacidade define o condomínio como controlador e a InApps como operadora, sem publicidade e sem venda de dados. A plataforma tem trilha de auditoria, matriz de permissões por papel (oito papéis, de administração a morador) e aparelho aprovado com turno para a equipe.

Um exemplo de coleta mínima: no módulo de emergência, a lista de auxílio na evacuação é organizada por categoria, sem nome, e cada consulta fica registrada com aviso aos moradores. Mais detalhes em segurança. De qualquer fornecedor, pergunte onde ficam os dados, quem acessa, como funciona a exclusão e como um incidente é comunicado ao condomínio.

Perguntas frequentes