Por Compartilhamento de dados pessoais é uma forma de tratamento e precisa ter finalidade definida, hipótese legal aplicável e salvaguardas compatíveis. A LGPD não proíbe toda circulação de dados, mas exige observar princípios como finalidade, adequação, necessidade, transparência, segurança e responsabilização; regras específicas se aplicam ao poder público e a dados sensíveis.
Onde esse conceito aparece?
Antes de transmitir informações, identifique controlador e operador, categorias de dados, destinatários, propósito, base legal, retenção e medidas de segurança. Contrato ajuda a documentar papéis, mas não cria por si só uma base legal. Consulte LGPD, princípio da necessidade, consultas a terceiros e política de privacidade.
Por que importa em uma decisão?
Registre a decisão e limite o envio ao mínimo necessário. Informe o titular de maneira clara sobre o compartilhamento quando a lei exigir transparência; avalie compatibilidade da finalidade e riscos de reutilização. Para operações de maior risco, considere avaliação de impacto e controles de acesso, auditoria, prazo de descarte e resposta a incidentes.
Limites e cuidados de interpretação
Consentimento não é a única base legal e tampouco resolve coleta excessiva ou finalidade incompatível. A divulgação de dado público continua sujeita à LGPD. Compartilhamento transfronteiriço, dados de crianças e setor regulado podem exigir análise adicional; não use autorização genérica como justificativa universal.
Solicitação e autorização de novo compartilhamento
Toda nova finalidade ou destinatário deve passar por triagem antes da transferência. O solicitante descreve propósito, base legal, campos, prazo e controles; privacidade valida necessidade e compatibilidade; segurança aprova canal; gestor registra decisão. Se a justificativa não estiver clara, não envie até esclarecimento. Atualize aviso, contrato e inventário quando necessário. O fluxo cria evidência de prestação de contas e impede que pedido informal amplie acesso sem aprovação.
Auditoria periódica do fluxo
Revise amostra de compartilhamentos: destinatário correto, finalidade compatível, campos mínimos, base registrada, canal seguro e descarte no prazo. Compare contrato com logs e operação real. Investigue exportações manuais, contas inativas e subcontratação não informada. Registre achados, correção e responsável, e repita auditoria após mudança de produto ou incidente. Um fluxo mapeado no papel não prova que o dado não saiu por outro caminho.
Compatibilidade de expectativa e comunicação
Quando o titular forneceu dado para uma relação específica, avalie se esperaria o compartilhamento com esse destinatário e para qual propósito. Informe categorias, finalidades e direitos em aviso claro; atualize informação se fluxo materialmente mudar. Não dependa apenas de cláusula extensa que ninguém compreende. Se compartilhamento for necessário para obrigação legal, registre fundamento e limite. Transparência antecipada facilita contestação e reduz surpresa.
Compartilhamento com autoridades e exercício de direitos
Pedido de autoridade precisa ser autenticado, analisado quanto a competência, escopo, base e prazo. Responda somente o necessário e mantenha cópia do pedido e do que foi enviado. Solicitação de titular pode exigir cooperação entre controlador e operador para localizar e corrigir informação. Defina canal, prazo e responsável. Não envie dados a endereço não verificado nem use pedido informal para liberar base inteira.
Matriz de compartilhamento antes da operação
Para cada fluxo, anote conjunto de dados, origem, finalidade, hipótese legal, agente que decide, destinatário, local de armazenamento, retenção e controle. Identifique se há dado sensível, criança ou informação judicial. Pergunte se o destinatário precisa de identificador direto ou se versão minimizada atende. Avalie expectativa do titular e impacto. A matriz deve ser atualizada quando produto, fornecedor, país ou finalidade mudar; documento antigo não autoriza fluxo novo.
Compatibilidade e uso secundário
Dados recebidos para uma finalidade não devem ser automaticamente usados para marketing, perfil ou treinamento de modelo. Compare propósito original, aviso dado, base legal, necessidade e expectativa; obtenha nova autorização ou base quando necessário. Consentimento não é solução universal e deve ser livre, informado e específico quando aplicável. Reutilização incompatível pode contrariar princípios de finalidade e adequação. Registre avaliação e restrinja cópias até decisão.
Governança de acesso entre empresas
Implemente contas individuais, perfis, logs, autenticação forte, revisão periódica e revogação de acesso. Evite compartilhamento por link público ou usuário genérico. Contrato define obrigação, mas controle técnico confirma quem acessou. Se parceiro pedir exportação maior, pergunte por que e ofereça subconjunto. Faça avaliação de segurança e privacidade antes de produção, não depois do incidente. Treine equipes sobre envio seguro e classificação de informação.
Resposta a encerramento ou mudança de fornecedor
No fim do compartilhamento, suspenda integrações, revogue credenciais, devolva ou elimine dados, trate backups e obtenha declaração verificável. Se novo fornecedor assumir, valide necessidade de transferir histórico e base legal; portabilidade não deve incluir dado excessivo. Atualize avisos de privacidade, contratos, registro de operações e lista de suboperadores. Confirme que planilhas locais e ambientes de teste foram limpos. Atribua responsável e prazo de auditoria.
Mapeie finalidade, agentes e fluxo
Antes de compartilhar, identifique controlador, operador, destinatário, titulares, categorias, finalidade, base legal, origem e país de processamento. Desenhe por onde o dado passa, quais sistemas recebem e quem pode consultar. Compartilhamento entre empresas do mesmo grupo também é tratamento e exige justificativa; não é automaticamente autorizado por vínculo societário. Use conjunto mínimo e defina frequência e critérios de atualização. Se finalidade nova surgir, faça avaliação própria antes de reutilizar a base.
Contrato e instruções de tratamento
Formalize papéis, instruções, confidencialidade, segurança, subcontratação, atendimento a direitos, incidente, retenção e descarte. Identifique se destinatário pode decidir uso independente e se haverá transferência internacional. Proíba reidentificação ou revenda quando incompatíveis com finalidade e lei. Preveja auditoria e evidência de eliminação. Cláusula genérica de “cumprimento da LGPD” não esclarece responsabilidades operacionais nem substitui análise de base legal.
Segurança antes e depois do envio
Use canal criptografado, controle de acesso, autenticação, registro, expiração de link e proteção de arquivo sensível. Confirme destinatário por meio confiável, especialmente em mudança de e-mail ou conta. Evite planilha aberta ou cópia em dispositivo pessoal. Após envio, verifique recebimento e permissões; revogue acesso ao fim da finalidade. Para conjunto pseudonimizado, avalie chave e risco de reidentificação no destino.
Direitos, incidentes e prestação de contas
Defina qual parte recebe pedido de titular e como comunica a outra sem ultrapassar prazo. Em incidente, preserve evidência, contenha acesso e coordene avaliação e comunicação segundo regra vigente. Registre decisão, responsáveis e medidas de mitigação. O controlador mantém deveres próprios e deve supervisionar operador conforme papel; o operador não deve tratar dados fora de instruções lícitas. Consulte LGPD, operador de dados e tratamento de dados pessoais.
Compartilhar é uma operação de tratamento
Enviar, permitir acesso ou combinar dados pessoais com outra organização é tratamento sujeito à LGPD. Identifique finalidade, categorias, destinatário, base legal e expectativa do titular. Publicidade ou disponibilidade técnica não equivale a autorização irrestrita de reutilização.
Papéis e responsabilidades no fluxo
Defina se o destinatário atua como operador sob instruções ou como controlador com finalidade própria; a resposta depende da realidade. Registre quem decide coleta, seleção, prazo, uso e resposta a solicitações. Um contrato deve traduzir o fluxo, não apenas declarar papéis convenientes.
Transparência e salvaguardas
Informe o titular nos termos aplicáveis e limite campos, destinatários, acesso e retenção. Use criptografia ou controles proporcionais, trilha de consulta, procedimento de exclusão e avaliação de transferência internacional se pertinente. Dado sensível ou de criança demanda atenção reforçada.
Revisão e encerramento
Antes de novo parceiro ou nova finalidade, reavalie necessidade, base legal, compatibilidade e risco. Ao encerrar, revogue credenciais e determine devolução, eliminação ou conservação legalmente necessária. Consulte LGPD, controlador de dados e consulta de terceiros e LGPD.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.