Cumprimento de obrigação legal ou regulatória

O que isso quer dizer na prática?

A empresa pode usar dados de pessoas (clientes, funcionários, fornecedores) quando a lei exige que ela faça algo com essas informações. Exemplo: enviar notas fiscais para a Receita Federal, guardar comprovantes de pagamento por 5 anos como manda a CLT, ou repassar dados de um funcionário para o eSocial. Não é "porque a gente quer", é "porque a lei obriga".

Como atender (passo a passo)

1. Identificar quais leis exigem tratamento de dados Listar todas as obrigações legais da empresa que envolvem dados pessoais. Exemplos:
   • RH: Enviar informações de folha de pagamento para o governo (eSocial, GFIP).
   • Financeiro: Guardar notas fiscais com CPF/CNPJ por 5 anos (Receita Federal).
   • Comercial: Manter registros de contratos com clientes por prazos determinados (Código Civil).
2. Mapear quais dados são necessários para cada obrigação Para cada lei, anotar:
   • Quais dados são obrigatórios (ex: nome, CPF, salário, endereço).
   • De onde vêm (planilha do RH, sistema de vendas, contrato assinado).
   • Por quanto tempo devem ser guardados (ex: 5 anos para notas fiscais).
3. Documentar a ligação entre a lei e o dado Criar uma tabela ou registro interno que mostre: "Guardamos o CPF do funcionário por 10 anos porque o art. 477 da CLT exige" ou "Enviamos dados de clientes para a Receita porque a Lei X/2023 obriga relatórios mensais".
4. Treinar as equipes envolvidas Explicar para os times (RH, financeiro, comercial)：
   • Quais dados não podem ser apagados mesmo que o cliente peça (porque a lei manda guardar).
   • Quais dados devem ser excluídos depois do prazo legal (ex: currículos de candidatos não contratados após 2 anos).
5. Revisar anualmente Checar se mudou alguma lei ou se a empresa passou a ter novas obrigações (ex: abrir filial em outro estado com regras diferentes).

O que auditor procura como evidência

• Lista atualizada das obrigações legais da empresa que envolvem dados pessoais (pode ser uma planilha ou documento formal).
• Registros de treinamento das equipes sobre quais dados são obrigatórios por lei (ex: ata de reunião, assinatura de funcionários em política interna).
• Comprovantes de envio de dados para órgãos públicos (ex: protocolo do eSocial, recibo de declaração à Receita).
• Política interna que explique como a empresa lida com dados por obrigação legal (mesmo que seja um fluxograma simples).

Erros comuns

• Guardar dados "por via das dúvidas": Exemplo: manter currículos de 2015 sem motivo, só porque "pode ser útil". Se a lei não obriga, tem que apagar.
• Não documentar o motivo legal: Ter os dados, mas não conseguir provar qual lei exige aquele tratamento (ex: guardar gravações de câmeras por 30 dias sem base legal clara).
• Esquecer de atualizar: Uma lei muda (ex: prazo de guarda de notas fiscais aumenta), mas a empresa continua seguindo a regra antiga.