LGPD em relatórios: a planilha com CPF que foi para o grupo
Alguém encaminhou um arquivo com telefone e documento de trezentos clientes. Ninguém agiu de má-fé. E foi exatamente esse o problema.
Alguém do time exportou uma lista de clientes para conferir um número e encaminhou o arquivo num grupo de mensagens. Ia lá dentro nome, telefone, documento e endereço de trezentas pessoas. Ninguém agiu de má-fé. Foi exatamente esse o problema: LGPD em relatórios quase nunca falha por maldade, falha por conveniência de quem só queria mostrar um total.
Dentro do sistema existe controle de acesso. O arquivo baixado não tem controle nenhum. Ele vira anexo, entra em conversa, é reencaminhado por gente que nem leu o conteúdo. O momento da exportação é a fronteira, e é ali que a decisão precisa acontecer.
Vou tratar de três coisas: trazer só a coluna necessária, combinar por quanto tempo o arquivo vive e controlar quem enxerga o quê. Nenhuma delas trava a análise. A organização em volta disso está em governança de dados em relatórios.
Minimização: a regra central da LGPD em relatórios
A pergunta antes de cada exportação é uma só: a decisão que essa pessoa vai tomar depende dessa coluna? Se a resposta for não, a coluna sai. Para analisar faturamento por região, você precisa de região e valor. Não precisa de telefone. Parece óbvio e mesmo assim o padrão que a gente encontra é trazer tudo "por garantia".
| Análise | Colunas que bastam | O que não deveria ir junto |
|---|---|---|
| Faturamento por região | Região, período, valor | Nome, documento, telefone, endereço completo |
| Curva de clientes | Identificador interno, faixa de valor | Documento e contato do cliente |
| Inadimplência por faixa | Faixa de atraso, valor, quantidade | Lista nominal de devedores |
| Cobrança individual | Nome, contato, título em aberto | Histórico de compras não relacionado |
A última linha mostra o ponto que costuma ser mal entendido. Existe caso em que o dado pessoal é necessário mesmo — quem vai ligar para cobrar precisa do telefone. Minimizar não é proibir. É trazer o que a finalidade exige e parar por aí.
Quanto tempo o arquivo vive
Essa é a parte que quase ninguém combina. O arquivo é gerado, cumpre a função e fica para sempre numa pasta compartilhada, acumulando junto com todos os outros. Anos depois existe um repositório inteiro de dados pessoais que ninguém sabe que existe e ninguém consegue apagar porque perdeu o controle do que tem lá.
- Combine o prazo de vida do arquivo no momento em que ele é gerado.
- Guarde exportação com dado pessoal em local com acesso restrito, e não na pasta comum.
- Evite reencaminhar arquivo antigo: gere um novo, com o recorte atual.
- Prefira link para relatório publicado quando o destinatário tem acesso ao sistema.
- Registre quem pediu e para quê, quando a exportação for grande ou sensível.
Publicar em vez de exportar
Essa troca resolve muita coisa. O relatório publicado exige sessão e empresa, então ele herda o controle de acesso do sistema em vez de virar arquivo solto. Quem tem acesso lê a versão atual. Quem não tem, não lê. Enquanto o arquivo exportado sobrevive a demissões, trocas de time e mudança de fornecedor. Os critérios de escolha estão em formatos de exportação e seus usos.
Quem vê o quê
O controle de acesso do sistema faz o trabalho pesado, desde que alguém tenha configurado com intenção. Perfil que só precisa de total agregado não deveria abrir tela com listagem nominal. A revisão desses perfis costuma ser adiada porque não é urgente, até o dia em que vira urgente. O tema do escopo entre empresas do mesmo grupo está em isolamento multiempresa em relatórios.
- As colunas exportadas são as que a finalidade exige?
- O destinatário tem acesso ao sistema e poderia ler direto?
- Está combinado por quanto tempo o arquivo fica guardado?
- O local de guarda tem acesso restrito?
- Os perfis que enxergam listagem nominal foram revisados este ano?
Análise por IA e dado pessoal
Quando você pergunta em linguagem natural, a execução é somente leitura e isolada por empresa. Isso protege o banco. Não decide por você quais colunas o resultado deve mostrar. Uma consulta tecnicamente impecável pode devolver uma lista nominal que a pergunta não exigia. A revisão dessa escolha é humana, e acontece antes de exportar ou publicar o resultado, como descrito em text-to-SQL seguro.
Já vi isso dar errado de um jeito sutil: a pergunta era sobre volume por faixa, e a resposta veio com a lista de quem estava em cada faixa. Correta e desnecessária. Bastou reformular a pergunta pedindo o agregado.
Dado de atendimento também é dado pessoal
Conversa de cliente carrega conteúdo que costuma ser mais sensível que qualquer cadastro. Relatório de atendimento que traz o texto das mensagens circula com muito mais informação do que quem envia imagina. Para leitura gerencial, indicador agregado resolve. O contexto do canal está em CRM e WhatsApp.
Por onde eu começaria
Abra a pasta onde a sua equipe guarda arquivos exportados e olhe quantos têm dado pessoal dentro. Depois veja quem tem acesso àquela pasta. Essa conta costuma ser desconfortável, e é o melhor argumento que existe para adotar as regras deste artigo sem precisar de reunião.