Por Que o Terceiro Setor Trata Alguns dos Dados Mais Sensíveis da LGPD
ONGs, associações, fundações e demais organizações da sociedade civil frequentemente operam com equipes pequenas, orçamento apertado e foco quase exclusivo na causa que motivou sua existência. Mas essa mesma estrutura enxuta trata, no dia a dia, três categorias de dados pessoais que exigem atenção regulatória distinta: dados de doadores (identificação, forma de pagamento, histórico de contribuição), dados de voluntários (cadastro, disponibilidade, às vezes dados de antecedentes para atuação com públicos vulneráveis) e dados de beneficiários — que, no terceiro setor, frequentemente incluem informações sobre saúde, deficiência, situação de rua, dependência química, histórico de violência doméstica ou outras condições de vulnerabilidade social.
A LGPD não faz exceção para organizações sem fins lucrativos: a lei se aplica a qualquer agente de tratamento, independentemente de a atividade ter finalidade econômica direta. A diferença está no perfil de risco — uma instituição que atende crianças em situação de risco, pessoas em situação de rua ou vítimas de violência trata dados cuja exposição indevida pode causar dano muito mais grave do que o vazamento de um cadastro comercial comum.
O Que a LGPD Exige de ONGs: Três Frentes de Atenção
| Frente | O que exige |
|---|---|
| 1. Doadores | Transparência sobre a finalidade do tratamento (processamento da doação, comunicação de resultados, eventual compartilhamento com processadora de pagamentos), base legal adequada para cada finalidade e opção clara e acessível de descadastramento das comunicações recorrentes. |
| 2. Beneficiários | Dados que revelam condição de saúde, deficiência ou outras categorias do Art. 5º, II, exigem base legal específica do Art. 11. O uso de imagem e histórico pessoal em materiais de comunicação exige consentimento específico, distinto da base legal usada para o atendimento em si. |
| 3. Compartilhamento com parceiros e patrocinadores | Relatórios de impacto e prestação de contas a financiadores devem, sempre que possível, anonimizar dados de beneficiários; quando a identificação for necessária, o consentimento específico precisa cobrir exatamente esse uso. |
Doadores: Transparência e Base Legal na Captação de Recursos
Porém, mesmo a frente mais comercial da relação de uma ONG — a captação de doações — envolve decisões de conformidade que muitas organizações não formalizam. O processamento de uma doação pontual, via cartão de crédito ou PIX, trata dados de identificação e pagamento com base legal na execução de procedimentos preliminares relacionados ao contrato de doação — o que dispensa consentimento específico para essa etapa transacional.
Contudo, o cenário muda quando a organização passa a usar os dados do doador para comunicações recorrentes — newsletters, convites para eventos, campanhas de fidelização. Esse uso exige base legal própria, geralmente consentimento, com opção simples e visível de descadastramento em cada comunicação enviada. Uma prática comum e problemática é a ONG tratar o ato de doar como autorização implícita para qualquer tipo de comunicação futura, sem oferecer opção de recusa — o que não se sustenta sob os princípios de finalidade e consentimento específico da LGPD.
Voluntários: Gestão de Cadastro sem o Aparato de um Departamento de RH
Todavia, a gestão de dados de voluntários levanta um desafio próprio: a maioria das ONGs não tem departamento de recursos humanos estruturado, mas trata dados de voluntários com uma lógica semelhante à de dados de colaboradores — cadastro, disponibilidade de horários, histórico de atuação e, em alguns casos, verificação de antecedentes para atuação com públicos vulneráveis, como crianças ou idosos.
A base legal para o tratamento de dados de voluntários costuma ser o cumprimento de obrigações previstas no termo de adesão ao trabalho voluntário — regido pela Lei nº 9.608/1998 — combinado com o legítimo interesse da organização em gerenciar sua equipe de forma eficaz. A verificação de antecedentes, quando necessária para atuação com públicos vulneráveis, deve ter finalidade claramente informada ao voluntário, com os resultados tratados sob sigilo e acesso restrito à pessoa responsável pela triagem — nunca compartilhados amplamente dentro da organização.
Beneficiários: Dados Sensíveis e o Cuidado Redobrado com a Vulnerabilidade
Apesar disso, o ponto de maior atenção regulatória em uma ONG é o tratamento de dados de beneficiários — porque parte significativa dessas informações se enquadra na categoria de dados sensíveis da LGPD, e porque a própria condição de vulnerabilidade do titular exige um padrão de cuidado acima do exigido em relações comerciais comuns.
Nem toda informação sobre a situação de um beneficiário é, tecnicamente, dado sensível nos termos estritos do Art. 5º, inciso II — que lista origem racial ou étnica, convicção religiosa, opinião política, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Mas, na prática, boa parte dos dados coletados por organizações do terceiro setor se enquadra diretamente nessas categorias: condição de saúde de um beneficiário atendido por uma instituição de assistência médica, deficiência de um beneficiário atendido por uma organização de inclusão, ou origem étnica de um beneficiário de um programa voltado a comunidades específicas.
Para esses dados, a base legal do consentimento simples costuma ser insuficiente — especialmente quando o beneficiário está em situação de vulnerabilidade que compromete sua capacidade de consentir livremente, como uma pessoa em situação de rua buscando atendimento emergencial. Nesses casos, hipóteses do Art. 11 relacionadas à proteção da vida ou da integridade física do titular, ou ao atendimento de seus interesses quando ele não pode consentir, tendem a ser mais adequadas — mas precisam estar documentadas e justificadas no programa de privacidade da organização, não apenas presumidas.
Uso de Imagem e Histórias em Campanhas: Consentimento Além da LGPD
Entretanto, o uso de fotos, vídeos e relatos pessoais de beneficiários em campanhas de comunicação e captação de recursos é, talvez, o ponto de maior tensão entre a missão institucional de sensibilizar doadores e o direito à privacidade das pessoas atendidas. Esse uso exige consentimento específico, distinto da autorização para o atendimento em si — e, quando o beneficiário é criança ou adolescente, exige consentimento do responsável legal, com atenção ao melhor interesse do menor previsto no Art. 14 da LGPD.
O relato de uma situação pessoal delicada — um diagnóstico de saúde, uma história de violência superada, uma condição de vulnerabilidade extrema — usado para gerar comoção e engajamento de doadores levanta uma questão que vai além da LGPD: mesmo com consentimento formal obtido, a organização precisa avaliar se a exposição daquele relato específico serve genuinamente ao interesse do beneficiário ou expõe informações que ele, em outro contexto, preferiria manter privadas. Ainda assim, a formalização do consentimento — específico, informado, revogável — é o requisito mínimo legal que qualquer campanha desse tipo precisa cumprir antes de qualquer consideração ética adicional.
Compartilhamento com Parceiros, Patrocinadores e Financiadores
Contudo, a prestação de contas a financiadores institucionais — empresas patrocinadoras, fundos internacionais, órgãos públicos em parcerias regidas pelo Marco Regulatório das Organizações da Sociedade Civil — frequentemente exige relatórios detalhados sobre os beneficiários atendidos, o que cria tensão entre a obrigação de transparência com o financiador e a proteção de dados dos beneficiários.
A prática recomendada é reportar dados agregados e anonimizados sempre que o financiador não exigir identificação individual — número de pessoas atendidas, perfil demográfico agregado, resultados mensurados por indicadores coletivos. Quando o financiador exige dados individualizados de beneficiários específicos para fins de auditoria ou verificação de impacto, esse compartilhamento precisa estar previsto no consentimento obtido do beneficiário no momento do atendimento, ou amparado por outra base legal específica documentada — e o instrumento de parceria com o financiador deve incluir cláusulas de proteção de dados que regulem o uso dessas informações por ele.
Conclusão: Missão Social Não Isenta de Responsabilidade Regulatória
O propósito social de uma ONG não a isenta das obrigações da LGPD — e, em muitos casos, o perfil de vulnerabilidade dos beneficiários atendidos torna a conformidade ainda mais importante do que em relações comerciais comuns. Senão a organização reconhecer que trata dados sensíveis com a mesma regularidade que uma instituição de saúde ou de assistência social especializada, práticas como o relato exposto sem consentimento adequado ou o compartilhamento de dados individualizados sem base legal continuarão acontecendo sem que ninguém na organização perceba o risco que está sendo criado.
A adequação à LGPD no terceiro setor não precisa de uma estrutura de compliance corporativa — precisa de decisões pontuais e conscientes: consentimento específico para uso de imagem e histórico de beneficiários, anonimização como padrão em relatórios sempre que possível, e clareza sobre a base legal usada em cada categoria de dado tratado. São ajustes de prática, proporcionais à realidade de uma organização sem fins lucrativos, não um projeto que compete com os recursos já escassos destinados à causa.
Para compreender como dimensionar um programa de conformidade proporcional a uma estrutura enxuta como a de muitas ONGs, veja também: RIPD/LIA para Pequenas e Médias Empresas: O Que É, Quando É Obrigatório e Como Fazer Sem Virar um Projeto Gigante. Para entender os cuidados específicos exigidos pela LGPD no tratamento de dados sensíveis de saúde, relevantes para instituições que atendem beneficiários nessa condição, veja também: Proteção de Dados e o Setembro Amarelo: Como a LGPD Protege Informações Sensíveis de Saúde Mental.
Perguntas frequentes (FAQ)
Suas dúvidas sobre LGPD para ONGs e instituições do terceiro setor
1. A LGPD se aplica a ONGs mesmo elas não tendo fins lucrativos?
Sim. A LGPD se aplica a qualquer pessoa física ou jurídica, de direito público ou privado, que realize tratamento de dados pessoais no Brasil, independentemente de a atividade ter finalidade econômica. ONGs, associações e fundações tratam dados de doadores, voluntários e beneficiários em suas rotinas e estão sujeitas às mesmas obrigações de qualquer outro agente de tratamento — incluindo a adoção de base legal adequada para cada finalidade, medidas de segurança proporcionais ao risco e respeito aos direitos dos titulares. A ausência de fins lucrativos não reduz a responsabilidade sobre os dados tratados, especialmente quando envolvem beneficiários em situação de vulnerabilidade.
2. Que cuidados uma ONG precisa ter ao publicar fotos e histórias de beneficiários em campanhas?
O uso de imagem e relato pessoal de beneficiários em campanhas de comunicação e captação de recursos exige consentimento específico, distinto da autorização dada para o atendimento em si. Quando o beneficiário é criança ou adolescente, o consentimento precisa ser do responsável legal, com atenção ao melhor interesse do menor. Além do requisito legal, a organização deve avaliar se a exposição de uma história pessoal delicada — como um diagnóstico de saúde ou um relato de violência — serve genuinamente à causa ou expõe desnecessariamente informações que o beneficiário preferiria manter privadas, mesmo com consentimento formal obtido.
3. Dados sobre a situação de vulnerabilidade de um beneficiário são sempre considerados dados sensíveis pela LGPD?
Não necessariamente — a definição legal de dado sensível, no Art. 5º, inciso II, da LGPD, é uma lista fechada: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Nem toda informação sobre vulnerabilidade social se encaixa automaticamente nessa lista. Mas, na prática, boa parte dos dados coletados por ONGs no atendimento a beneficiários se enquadra diretamente nessas categorias — especialmente dados de saúde, deficiência e, em alguns programas, origem étnica — o que exige base legal específica do Art. 11 da LGPD, mais restritiva do que a aplicável a dados comuns.
4. Como uma ONG deve prestar contas a financiadores sem expor dados pessoais de beneficiários?
A prática recomendada é reportar dados agregados e anonimizados sempre que o financiador não exigir identificação individual — número de pessoas atendidas, perfil demográfico agregado, indicadores coletivos de resultado. Quando o financiador exige dados individualizados para fins de auditoria ou verificação de impacto, esse uso específico precisa estar coberto pelo consentimento obtido do beneficiário no momento do atendimento, ou amparado por outra base legal documentada, e o contrato de parceria com o financiador deve incluir cláusulas de proteção de dados que regulem como ele pode usar e deve proteger essas informações.
