Texto da norma
Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos. LGPD, cláusula 2.3 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
A LGPD exige que a empresa colete e use apenas os dados realmente necessários para fazer o trabalho — nada além disso. Se o RH precisa do CPF para contratar, ok. Mas não pode pedir histórico médico se não for relevante. É como levar só o que cabe na mochila para uma viagem: nada de excesso, só o essencial para chegar ao destino.
Como atender (passo a passo)
- Listar os dados que já coletei Fazer um inventário: quais informações a empresa guarda (ex: nome, e-mail, localização, fotos)? Anotar em uma planilha ou sistema (ex: Excel, Notion).
- Cruzar com a finalidade real Para cada dado, perguntar: "Por que a gente precisa disso?"
- Exemplo válido: Coletar endereço para entregar um produto.
- Exemplo inválido: Pedir RG do cliente só para "caso precise depois".
- Cortar o que não serve Se não tiver justificativa clara, parar de coletar ou apagar os dados antigos. Ex: se a empresa não usa mais o campo "estado civil" no cadastro, remover da ficha.
- Avisar quem fornece os dados Atualizar políticas de privacidade, contratos e formulários para explicar por que cada informação é pedida. Ex: "Seu CEP é usado só para calcular o frete".
- Treinar as equipes Ensine os times (comercial, RH, TI) a não pedir dados "por via das dúvidas". Dica: usar casos reais da empresa como exemplo.
O que auditor procura como evidência
- Planilha ou relatório com a lista de dados coletados e suas justificativas (ex: "CPF → obrigatório para nota fiscal").
- Registros de exclusão de dados desnecessários (ex: e-mails antigos de clientes inativos apagados).
- Versões atualizadas de formulários (online/offline) sem campos "extras".
- Ata de treinamento com a equipe, mostrando que todos sabem das regras.
Erros comuns
- Copiar formulários de outras empresas sem adaptar: se a concorrente pede 20 dados, não significa que você precise dos mesmos.
- Guardar dados "por se" (ex: gravar ligações de clientes sem motivo claro, ou salvar currículos de candidatos não selecionados).
- Esquecer dos dados indiretos: até um print de tela com informações de cliente conta como tratamento de dados — e precisa ser justificado.
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Política de Privacidade e Proteção de Dados | Estabelece diretrizes para limitar o tratamento de dados ao mínimo necessário. |
| Business Process | Fluxo de Tratamento de Dados Pessoais | Define etapas claras para garantir que apenas dados pertinentes e proporcionais sejam tratados. |
| Kpi | Indicador de Volume de Dados Tratados | Monitora a quantidade de dados tratados para assegurar que não sejam excessivos. |
| Audit | Auditoria de Conformidade com a LGPD | Verifica se o tratamento de dados está em conformidade com os princípios de necessidade e proporcionalidade. |
| Evidence | Registro de Consentimento para Tratamento de Dados | Comprova que apenas dados necessários e consentidos são tratados. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos