LGPD para ONGs: como cuidar do cadastro de beneficiários

A ficha de inscrição da OSC pede nome, CPF, endereço, renda da família, NIS, escola, laudo médico e uma foto. Ela é preenchida no balcão, digitada numa planilha compartilhada e impressa para a educadora. Cinco pessoas têm acesso à planilha, e duas já saíram da organização.

Nada disso é raro. E a LGPD não proíbe a OSC de cadastrar quem ela atende. O que a lei pede é que cada dado tenha um motivo, que o acesso seja controlado e que a pessoa saiba o que acontece com as informações dela. Veja como aplicar isso no cadastro de beneficiários sem travar o atendimento.

A LGPD vale para ONGs e OSCs?

Sim. A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a qualquer pessoa ou organização que trate dados pessoais, com ou sem fins lucrativos (art. 3º). A OSC que cadastra pessoas atendidas, voluntários, doadores ou funcionários é a controladora desses dados (art. 5º, VI) e responde pela forma como eles são coletados, usados, guardados e eliminados.

Isso vale também quando o cadastro é exigido pelo financiador. A obrigação de prestar contas não tira da OSC a responsabilidade de proteger os dados que ela coletou.

Quais dados do cadastro de beneficiários são sensíveis?

A lei chama de dado pessoal sensível (art. 5º, II) o que se refere a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico. Esses dados têm regras mais rígidas (art. 11).

Alguns dados que parecem sensíveis não estão nessa lista, e ainda assim merecem o mesmo cuidado:

Dado	Pela LGPD	Como tratar na OSC
Nome, telefone, endereço	Pessoal	Acesso só para quem atende a pessoa
CPF, NIS	Pessoal	Restrito; risco de fraude se vazar
Renda familiar, benefícios sociais	Pessoal	Trate como sensível: expõe a situação de vulnerabilidade
Raça ou cor	Sensível	Colete só se houver finalidade clara, como indicador exigido pelo financiador
Saúde, deficiência, laudos	Sensível	Só o necessário para o atendimento (alergia, restrição médica)
Religião	Sensível	Em geral, não precisa ser coletada
Foto do rosto	Pessoal	Com autorização de uso de imagem, separada da inscrição

Dados de crianças e adolescentes têm regra própria: o tratamento deve ser feito no melhor interesse deles (art. 14). Como boa parte do público das OSCs está nessa faixa, esse é o ponto de partida de qualquer decisão sobre o cadastro.

Preciso de consentimento para tudo?

Não. O consentimento é uma das bases legais previstas na lei (arts. 7º e 11), não a única. Outras bases podem se aplicar ao cadastro, como o cumprimento de obrigação legal ou regulatória, a proteção da vida e a tutela da saúde. Para dados de crianças, o art. 14 fala em consentimento de um dos pais ou responsável, mas a ANPD já firmou entendimento de que as outras bases dos arts. 7º e 11 também podem ser usadas, sempre no melhor interesse da criança.

Há um cuidado próprio do terceiro setor: o consentimento precisa ser livre. Uma família que depende do atendimento dificilmente se sente livre para recusar. Por isso, não condicione o atendimento a usos que não são necessários a ele. A inscrição na oficina não pode depender de autorizar a foto no Instagram. São duas perguntas, em dois campos separados.

Defina, com assessoria jurídica, qual base legal sustenta cada finalidade do cadastro (atendimento, prestação de contas, comunicação) e registre essa decisão por escrito.

Peça só o que vai usar

A LGPD tem o princípio da necessidade (art. 6º, III): coletar o mínimo necessário para a finalidade. Na prática, faça um exercício com a ficha de inscrição: para cada campo, pergunte “qual atendimento, relatório ou decisão usa isso?”. Se ninguém souber responder, o campo sai.

Exemplo: numa escolinha de futebol, contato do responsável e informação de saúde relevante para a atividade (asma, alergia, restrição médica) fazem sentido. Religião, renda detalhada e laudo completo, em geral, não. Se o financiador pede o perfil socioeconômico das famílias, pergunte se basta uma faixa de renda em vez do valor exato.

Quem pode ver o cadastro dos beneficiários

Cada pessoa da equipe deve ver só o que precisa para o próprio trabalho. A educadora da turma B vê os nomes e o contato dos responsáveis da turma B, não a renda das famílias de outro projeto. O financeiro não precisa ver cadastro nenhum.

• Acesso por função e por projeto, revisado sempre que alguém muda de função.
• Saída da equipe, acesso removido no mesmo dia. Inclusive da planilha compartilhada e do grupo de mensagens.
• Registro de quem viu e alterou. A lei pede que controlador e operador mantenham registro das operações de tratamento (art. 37).
• Papel também é dado. Fichas em armário trancado, não em caixa no corredor.

O que posso compartilhar com o financiador?

Para comprovar resultado, quase sempre bastam dados agregados: “62 famílias acompanhadas, 70% com renda de até meio salário mínimo por pessoa”. Nomes, CPFs e situações individuais raramente são necessários para isso.

Quando o termo ou o regulamento exigir lista nominal (serviços socioassistenciais com registro em sistema oficial, por exemplo), o compartilhamento passa a ter base em obrigação. Mesmo assim, envie só os campos pedidos, por canal oficial, e nunca por grupo de WhatsApp ou e-mail aberto com planilha anexa.

O mesmo vale para ferramentas de inteligência artificial: anonimize os dados antes de colar qualquer informação de beneficiário num assistente de texto.

Como responder aos pedidos das pessoas atendidas

O titular dos dados pode pedir, entre outros direitos do art. 18: confirmação de que a OSC trata os dados dele, acesso, correção, anonimização ou eliminação de dados desnecessários, informação sobre com quem os dados foram compartilhados e revogação do consentimento.

Tenha um canal simples (um e-mail ou um telefone divulgados na ficha de inscrição) e uma pessoa responsável por responder. Um pedido de exclusão não apaga tudo automaticamente: a lei permite guardar o que for necessário para cumprir obrigação legal (art. 16, I). Nas parcerias do MROSC, os documentos da prestação de contas precisam ser guardados por dez anos (art. 68, parágrafo único, da Lei 13.019/2014). O caminho é manter o que a obrigação exige e eliminar ou anonimizar o resto, explicando isso à pessoa.

Encarregado de dados e incidentes

A lei prevê a figura do encarregado, a pessoa que faz a ponte entre a OSC, os titulares e a ANPD (art. 41). A ANPD dispensou os agentes de pequeno porte de indicar encarregado, desde que mantenham um canal de comunicação com os titulares. Essa dispensa não vale para quem faz tratamento de alto risco, e o uso de dados sensíveis ou de crianças, adolescentes e idosos entra nos critérios de alto risco. Muitas OSCs podem estar nessa situação.

Se houver um incidente (planilha enviada para o grupo errado, notebook furtado, conta invadida) que possa causar risco ou dano relevante aos titulares, a OSC deve comunicar a ANPD e as pessoas afetadas (art. 48). Tenha combinado de antemão quem decide e quem comunica.

Checklist do cadastro de beneficiários

• Cada campo da ficha tem uma finalidade conhecida.
• A ficha informa para que os dados servem e como pedir correção ou exclusão.
• Autorização de imagem separada da inscrição.
• Acesso por função e por projeto, revisado a cada mudança na equipe.
• Registro de quem acessou e alterou os cadastros.
• Fichas em papel guardadas com chave.
• Relatórios ao financiador com dados agregados sempre que possível.
• Plano simples para incidente: quem decide, quem comunica.

Perguntas frequentes

OSC pequena precisa se adequar à LGPD?

Sim. A lei vale para qualquer organização que trate dados pessoais, com ou sem fins lucrativos. A ANPD simplificou algumas obrigações para agentes de pequeno porte, mas os princípios, a segurança e o respeito aos direitos dos titulares continuam valendo.

Posso manter o cadastro de quem já saiu do projeto?

Pelo tempo necessário para a finalidade e para cumprir obrigações, como a guarda da prestação de contas. Depois disso, elimine ou anonimize o que não precisa mais ser guardado.

Posso usar fotos de crianças atendidas nas redes sociais?

Só com autorização específica dos pais ou responsáveis e no melhor interesse da criança, conforme a LGPD e o ECA. Prefira imagens em que o rosto não apareça e nunca associe a foto a informações de vulnerabilidade.

Planilha compartilhada é proibida pela LGPD?

Não é proibida, mas dificulta cumprir a lei: é difícil limitar quem vê cada coluna, saber quem acessou e remover o acesso de quem saiu. Se usar planilha, restrinja o compartilhamento a pessoas nominais e revise a lista de acessos todo mês.

Para usar os dados do cadastro na comprovação de resultados sem expor ninguém, veja o guia de indicadores de impacto social e o artigo sobre lista de presença em projetos sociais.

Este conteúdo tem caráter informativo e não substitui a orientação jurídica sobre proteção de dados nem a leitura da Lei 13.709/2018 e das normas da ANPD.