Adequação

O que isso quer dizer na prática?

A empresa só pode usar os dados de clientes, funcionários ou parceiros exatamente para o que foi combinado quando coletou eles. Se você pediu o CPF de um candidato para contratação, não pode usar esse mesmo CPF para enviar promoções. Se o cliente deu o e-mail para receber nota fiscal, não pode virar base de marketing. É como emprestar um livro para um amigo ler — ele não pode passar adiante ou usar para enfeitar a estante.

Como atender (passo a passo)

1. Listar as finalidades antes de coletar qualquer dado. Exemplo: No formulário de cadastro de cliente, escrever claramente: "Seus dados serão usados para emitir nota fiscal e enviar atualizações do pedido (nada de spam)".
2. Separar os dados por "caixinhas" conforme a finalidade. Exemplo: Criar pastas distintas no sistema:
   • "Dados de RH" (para folha de pagamento)
   • "Dados de Vendas" (para entrega de produtos)
   • "Dados de Marketing" (só se o cliente optou por receber).
3. Bloquear o uso fora do combinado. Exemplo: Se o time de vendas quiser usar a lista de e-mails do RH para enviar ofertas, não pode. Precisa de uma nova autorização dos donos daqueles dados.
4. Atualizar o titular se a finalidade mudar. Exemplo: Se antes você usava o telefone do cliente só para confirmar entregas, mas agora quer ligar para pesquisas de satisfação, tem que avisar e pedir consentimento novo.
5. Treinar as equipes para não misturarem as coisas. Exemplo: Ensine o time de suporte que não pode passar o histórico de compras de um cliente para o time comercial sem checar se o cliente permitiu.

O que auditor procura como evidência

• Política de privacidade atualizada no site/app, com finalidades claras (ex: "Usamos seu CEP só para calcular frete").
• Registros de consentimento: Planilha, sistema ou e-mail onde o titular aceitou cada uso (ex: checkbox marcado em formulário: "Autorizo receber newsletters").
• Log de acessos: Relatórios mostrando que só quem precisa acessa os dados (ex: RH vê dados de funcionários, mas o comercial não).
• Treinamentos registrados: Lista de presença ou certificado de curso sobre LGPD para equipes que lidam com dados.

Erros comuns

• Copiar e colar finalidades genéricas no termo de privacidade (ex: "Usamos seus dados para melhorar sua experiência"). Isso não explica nada e não passa em auditoria.
• Juntar tudo em um só banco de dados sem controle. Exemplo: Planilha única com dados de clientes, candidatos a vaga e fornecedores — sem separar quem pode usar o quê.
• Esquecer de avisar quando muda a regra. Exemplo: A empresa começa a vender a lista de clientes para parceiros, mas não avisa ninguém. Isso é proibido.