Inventário de dados pessoais

Por meio do inventário de dados pessoais, uma pessoa física (por exemplo, um MEI ou outro tipo de empresário individual) ou jurídica (por exemplo, uma empresa) pode registrar uma determinada atividade por ela realizada que envolva alguma forma de tratamento de dados pessoais - isto é, uma atividade que envolva a coleta, o armazenamento, o processamento ou qualquer outra forma de utilização de tais dados.

O documento deverá conter uma descrição da atividade realizada pela pessoa ou empresa que envolve o tratamento de dados pessoais, à qual deve ser atribuído, também, um nome. A título de exemplo, é possível que uma empresa tenha uma atividade denominada "admissão de colaboradores", a qual contempla todos os procedimentos necessários à contratação de um funcionário, desde a coleta de documentos até a assinatura do contrato de trabalho, passando pelo armazenamento da documentação e pelo envio das comunicações e informações necessárias aos órgãos competentes (por exemplo, via eSocial). A descrição que constará do inventário de dados pessoais é justamente o detalhamento destes procedimentos, incluindo informações sobre como os dados são coletados e sobre o que é feito com eles.

O documento indicará, ainda, as finalidades pelas quais os dados pessoais são tratados no âmbito da atividade descrita. No caso do exemplo dado anteriormente, uma das finalidades possíveis seria viabilizar o cumprimento da legislação trabalhista, previdenciária e fiscal em relação ao funcionário admitido.

Além disso, o inventário de dados pessoais conterá informações sobre:

• Quais são os tipos de dados pessoais efetivamente utilizados, como dados de qualificação (nome, CPF, endereço etc.), dados sobre a vida financeira dos titulares (contas bancárias, valores a receber etc.), dados familiares, entre outros;
• Quais são os tipos de titulares dos dados pessoais tratados (por exemplo, clientes, funcionários, participantes em processos seletivos, leads etc.);
• Se há o compartilhamento de dados pessoais com outras pessoas ou empresas, dentro ou fora do Brasil;
• As medidas de segurança adotadas para garantir a segurança dos dados pessoais.

Como utilizar este documento

Durante o preenchimento do documento, o fundamento jurídico escolhido para fundamentar o tratamento de dados pessoais deve observar o tipo de dado tratado ("normal" ou sensível) e os tipos de titulares envolvidos (adultos, crianças ou adolescentes). Pela lei, dado pessoal sensível é o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Depois de integralmente preenchido, o documento deve ser armazenado e periodicamente atualizado pelo controlador.

Casos em que este documento não deve ser utilizado

• Atividade pública ou realizada por órgão ou entidade pública

Este documento não deve ser utilizado se a atividade de tratamento for realizada por órgão ou entidade pública ou se a atividade, em si, for de natureza pública (por exemplo, nos casos de execução de política ou serviço público, ainda que por entidade privada).

• Titulares estrangeiros

É possível que a utilização de dados pessoais de titulares estrangeiros, pelo controlador, esteja sujeita a normas internacionais. Sendo assim, este documento não deve ser utilizado se houver titulares estrangeiros.

• Outros casos

Antes de utilizar este documento, o interessado deve estar seguro de que suas disposições se aplicam ao seu caso. Havendo dúvidas, deverá consultar um profissional especializado em proteção de dados pessoais.

O Direito aplicável

A proteção de dados pessoais, no Brasil, é regida pela Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais - LGPD).

Como editar o modelo

Você preenche um formulário. O documento é redigido diante dos seus olhos, conforme as suas respostas.

No fim, você o recebe nos formatos Word e PDF. Você pode editá-lo e reutilizá-lo.