Como esta auditoria funciona no seu condomínio
A auditoria de conformidade LGPD é um checklist anual que o próprio síndico pode conduzir em uma tarde. Com poucos tratamentos de dados e poucos titulares, o risco é baixo e a revisão é simples — cadastro, CFTV, contratos com prestadores e comunicados são os quatro pontos que bastam.
Com administradora, app condominial e vários prestadores que acessam dados dos moradores, a auditoria precisa mapear todos os operadores envolvidos. Recomendável uma revisão semestral e, a cada dois ou três anos, apoio externo pontual para revisar contratos e políticas.
A auditoria se aproxima de uma revisão de segurança: envolve testes de acesso, revisão de logs, verificação de fornecedores e, se houver CFTV com IA ou reconhecimento facial, elaboração ou revisão de DPIA. Apoio de consultoria ou DPO terceirizado é recomendável. O resultado deve ser apresentado ao conselho fiscal.
A auditoria de conformidade LGPD é a revisão periódica das práticas de tratamento de dados pessoais do condomínio — verificando se o que foi implantado continua funcionando e se novos tratamentos (novo fornecedor, novo app, novo funcionário) foram incorporados com as proteções adequadas. Diferentemente de uma implantação inicial, a auditoria parte do que já existe e pergunta: ainda está correto? Ainda está completo? Mudou alguma coisa desde a última revisão?
Por que auditar a conformidade LGPD do condomínio
Conformidade com a Lei 13.709/2018 (LGPD) não é um evento único. O condomínio que mapeou seus dados em 2022, elaborou uma política de privacidade e assinou aditivos com a administradora fez o trabalho inicial — mas desde então provavelmente mudou de zelador, contratou um novo sistema de interfone, adotou um app diferente ou instalou câmeras adicionais. Cada uma dessas mudanças pode ter criado novos tratamentos de dados sem as proteções devidas.
A LGPD impõe obrigações contínuas ao condomínio enquanto controlador de dados pessoais. Os arts. 37, 46 e 48 da lei estabelecem, respectivamente, a obrigação de manter registros das operações de tratamento, adotar medidas de segurança para proteger dados e notificar a ANPD (Autoridade Nacional de Proteção de Dados) em caso de incidentes.[1] Essas obrigações não têm data de validade — existem enquanto o condomínio trata dados, o que é permanente.
A auditoria periódica é o mecanismo prático para cumprir essas obrigações de forma continuada. Ela serve a três propósitos concretos: identificar novos tratamentos que surgiram desde a última revisão; verificar se as proteções existentes ainda funcionam; e documentar que o condomínio está agindo com diligência — o que importa tanto para uma eventual fiscalização da ANPD quanto para a confiança dos próprios moradores.
Vale ser direto: a auditoria de conformidade LGPD não é obrigação explícita da lei para todo condomínio. É uma boa prática que concretiza obrigações que a lei sim impõe — e que qualquer síndico responsável deveria adotar, independentemente do porte do condomínio.
As cinco áreas que toda auditoria condominial precisa cobrir
Independentemente do porte, uma auditoria de conformidade LGPD em condomínio deve revisar cinco áreas. Elas cobrem todos os pontos onde dados pessoais são tratados no dia a dia condominial — e onde problemas de conformidade tipicamente surgem.
- Cadastro de moradores, funcionários e visitantes. Verificar quais dados são coletados, onde ficam armazenados, quem tem acesso e se há mais dados do que o necessário para a finalidade declarada. Campos como CPF, data de nascimento e dados de veículos precisam ter justificativa de uso. Quem saiu do condomínio ainda tem dados ativos no sistema?
- CFTV e controle de acesso. Imagens de câmeras são dados pessoais. Revisar: por quanto tempo as gravações são mantidas (o prazo deve ser declarado e proporcional à finalidade); quem tem acesso às imagens; se há avisos visíveis informando que o local é monitorado; e, em sistemas com IA ou reconhecimento facial, se há base legal adequada para esse tratamento mais sensível.
- Contratos com operadores. Toda empresa que trata dados pessoais por conta do condomínio é um operador na linguagem da LGPD — administradora, empresa de portaria virtual, fornecedor do app, prestador de CFTV, empresa de limpeza com acesso a sistemas. Verificar se os contratos têm cláusulas de proteção de dados; se os operadores têm política de privacidade própria; e se há registro de quem são esses operadores.
- Comunicados e canais de comunicação. WhatsApp em grupo com moradores, listas de e-mail e murais digitais envolvem dados pessoais. Revisar se os dados de contato têm consentimento ou outra base legal válida para o uso; se há dados de ex-moradores ainda nas listas; e se a política de privacidade do condomínio está acessível e atualizada.
- Registro de incidentes. O condomínio tem algum controle dos incidentes de segurança que ocorreram desde a última revisão? Vazamento de lista de moradores, acesso não autorizado ao sistema de interfone, câmera invadida remotamente — todos são incidentes que devem ser registrados e, se relevantes, comunicados à ANPD conforme o art. 48 da LGPD.[1] Se não existe nenhum registro, esse é um ponto de falha.
Auditoria por porte: o que muda em cada caso
A profundidade e a estrutura da auditoria variam de acordo com o porte do condomínio — não porque as obrigações legais sejam diferentes, mas porque o volume de dados tratados, o número de operadores envolvidos e a complexidade dos sistemas utilizados crescem com o número de unidades.
A auditoria é um checklist que o síndico faz sozinho em uma ou duas horas. O número de tratamentos de dados é pequeno: cadastro básico de moradores, eventualmente lista de e-mail ou grupo de WhatsApp, sistema de CFTV simples, contrato com administradora (se houver) ou autogestão. A superfície de risco é reduzida.
O que revisar na prática: (1) o cadastro de moradores ainda tem só os dados necessários? (2) as gravações do CFTV são apagadas dentro do prazo declarado? (3) há aviso visível de monitoramento? (4) o contrato com a administradora tem cláusula de proteção de dados? (5) existe algum lugar onde ficam registradas reclamações ou incidentes de privacidade — mesmo que seja um arquivo simples?
Não é necessário contratar consultoria. Um roteiro de checklist bem estruturado é suficiente para este porte. O ciclo anual é adequado — mais do que isso seria excessivo para a complexidade real.
Neste porte, o número de operadores começa a crescer: administradora, empresa de portaria (presencial ou virtual), fornecedor de app condominial, empresa de CFTV, eventualmente sistema de controle veicular. Cada um desses fornecedores trata dados por conta do condomínio. Mapear todos os operadores ativos é o passo central da auditoria.
O ciclo semestral é recomendável — não para cada ponto, mas pelo menos uma revisão completa por ano e uma revisão de contratos a cada seis meses. A cada dois ou três anos, faz sentido contar com apoio externo pontual para revisar a documentação com olhos de fora, especialmente se o condomínio mudou de administradora ou de sistema de acesso nesse período.
Um ponto de atenção específico: apps condominiais integrados a portaria, câmeras e controle de acesso criam fluxos de dados entre sistemas diferentes. Verificar se esses fluxos estão mapeados e se cada fornecedor tem contrato adequado é mais trabalhoso do que em condomínios pequenos — mas ainda está dentro do alcance do síndico ou do conselho fiscal com alguma orientação.
A auditoria de conformidade LGPD em condomínio grande tem estrutura e periodicidade comparáveis às de uma organização empresarial de médio porte. O volume de dados tratados, o número de fornecedores, a complexidade dos sistemas (CFTV com IA, biometria, controle veicular automatizado, app com múltiplas integrações) e o número de pessoas envolvidas tornam a revisão interna insuficiente sem alguma estruturação.
O que distingue a auditoria nesse porte: revisão de logs de acesso aos sistemas para identificar acessos não autorizados; testes de acesso para verificar se as permissões estão configuradas corretamente; revisão de DPIA (Relatório de Impacto à Proteção de Dados) quando há CFTV com IA ou reconhecimento facial — tecnologias de maior risco que exigem avaliação específica segundo os guias da ANPD;[2] e verificação da cadeia de suboperadores contratados pela administradora e pela empresa de portaria.
O apoio de consultoria especializada em LGPD condominial ou de um DPO (encarregado de proteção de dados) terceirizado é recomendável — não como obrigação legal, mas como medida proporcional ao risco e ao volume de dados envolvidos. O resultado da auditoria deve ser apresentado ao conselho fiscal como parte da prestação de contas do síndico.
Como fazer: da lista de verificação ao relatório
Independentemente do porte, a auditoria segue uma sequência lógica. Os passos abaixo podem ser adaptados para um checklist de tarde (condomínio pequeno) ou para um processo estruturado de semanas (condomínio grande).
- Inventário de dados. Liste todos os tipos de dados pessoais que o condomínio coleta e trata: dados de moradores, funcionários (próprios e terceirizados), visitantes, prestadores de serviço. Para cada tipo, identifique: onde ficam armazenados, quem tem acesso, qual é a finalidade declarada e qual é a base legal (consentimento, contrato, obrigação legal, legítimo interesse).
- Mapeamento de fluxos. Identifique como os dados circulam — do ponto de coleta até o armazenamento e, eventualmente, o descarte. Quais dados vão para a administradora? Quais ficam no app? Quais são gravados pelo CFTV e por quanto tempo? Esse passo revela conexões que o inventário inicial não mostra.
- Identificação de vulnerabilidades. Com o inventário e os fluxos mapeados, verifique onde há lacunas: dados coletados sem finalidade clara, contratos sem cláusula de proteção, prazos de retenção não definidos, acesso compartilhado sem controle, dados de ex-moradores ou ex-funcionários ainda ativos nos sistemas.
- Registro dos achados. Documente o que foi verificado, o que está adequado e o que precisa de correção — com prazo e responsável para cada ponto de melhoria. Esse registro é o que diferencia uma auditoria real de uma conversa informal. Ele também é a evidência de diligência em caso de fiscalização.
- Correções e acompanhamento. Implemente as correções identificadas e acompanhe o fechamento dos pontos abertos até a próxima revisão. Novas vulnerabilidades sem correção registrada são um problema maior do que vulnerabilidades não identificadas — porque documentam que o condomínio sabia do risco e não agiu.
Como apresentar o resultado ao conselho fiscal
Em condomínios médios e grandes, o resultado da auditoria deve ser comunicado ao conselho fiscal. Não é necessário um relatório técnico extenso — o que o conselho precisa saber é: (1) a revisão foi feita? (2) foram identificados pontos de inadequação? (3) esses pontos foram ou estão sendo corrigidos?
Um documento de uma ou duas páginas, com a data da revisão, as cinco áreas verificadas, os pontos de atenção encontrados e o status de cada correção, é suficiente. Em condomínios grandes com DPO terceirizado, o relatório pode ser mais detalhado — mas o princípio é o mesmo: transparência sobre o que foi feito, o que foi encontrado e o que está sendo feito a respeito. Em condomínios horizontais, o relatório deve incluir especificamente as câmeras de perímetro e as guaritas externas, que têm particularidades próprias de cobertura e acesso.
Com qual frequência revisar
A LGPD não determina periodicidade de auditoria. A frequência adequada depende do porte e da velocidade de mudança do ambiente de dados do condomínio.
| Porte | Ciclo recomendado | Gatilho para revisão extraordinária |
|---|---|---|
| Pequeno (até 50 unidades) | Anual | Mudança de administradora, instalação de novo sistema |
| Médio (51 a 150 unidades) | Semestral (contratos); anual (completa) | Novo fornecedor com acesso a dados, troca de app, incidente de segurança |
| Grande (151+ unidades) | Anual (completa); trimestral (monitoramento de logs) | Implantação de CFTV com IA, biometria, mudança de administradora, incidente notificável |
Um critério prático: sempre que o condomínio introduzir um novo tratamento de dados — novo fornecedor, nova tecnologia, novo processo — é o momento de verificar se esse tratamento foi incorporado corretamente. Esperar o ciclo anual para tratar uma vulnerabilidade criada por uma mudança recente é um risco desnecessário.
O condomínio precisa de apoio para conduzir a auditoria LGPD?
Se a auditoria identificou pontos de inadequação complexos, se o condomínio usa CFTV com IA ou reconhecimento facial, ou se o volume de operadores e dados exige uma revisão estruturada com visão de fora, o oHub conecta condomínios a consultorias especializadas em LGPD condominial. Em menos de 3 minutos, sem compromisso.
Encontrar fornecedores de Condomínios no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
A auditoria de conformidade LGPD é obrigatória para todo condomínio?
Não existe obrigação legal explícita de realizar auditorias periódicas de conformidade LGPD para condomínios. O que a lei impõe — nos arts. 37, 46 e 48 da Lei 13.709/2018 — são obrigações contínuas: manter registros das operações de tratamento, adotar medidas de segurança adequadas e notificar a ANPD em caso de incidentes relevantes. A auditoria periódica é a forma prática de cumprir essas obrigações de maneira documentada — e de demonstrar diligência em caso de fiscalização.
Com qual frequência o condomínio deve revisar a conformidade LGPD?
Depende do porte. Para condomínios pequenos (até 50 unidades), uma revisão anual é suficiente. Para médios (51 a 150 unidades), revisão semestral dos contratos e anual completa. Para grandes (151+ unidades), revisão anual completa com monitoramento mais frequente de logs e controles de acesso. Independentemente do ciclo, qualquer mudança relevante — novo fornecedor, novo sistema, troca de administradora — deve ser um gatilho para uma revisão pontual dos tratamentos envolvidos.
O condomínio precisa contratar consultoria para fazer a auditoria LGPD?
Para condomínios pequenos, não. Um checklist bem estruturado e conduzido pelo síndico é suficiente — o número de tratamentos de dados é reduzido e o risco é baixo. Para condomínios médios, apoio externo pontual a cada dois ou três anos é recomendável. Para condomínios grandes, especialmente os que usam CFTV com IA, reconhecimento facial ou têm muitos operadores, consultoria especializada ou DPO terceirizado faz sentido como medida proporcional ao volume e ao risco envolvidos.
O que a ANPD pode verificar em uma fiscalização de condomínio?
A ANPD pode verificar se o condomínio tem registros das operações de tratamento de dados (art. 37), se adotou medidas técnicas e administrativas de segurança adequadas (art. 46) e se incidentes relevantes foram comunicados (art. 48). Na prática, isso significa que o condomínio deve conseguir responder: quais dados trata, com qual finalidade, quem tem acesso, quais medidas de proteção foram adotadas e se houve algum incidente — e o que foi feito a respeito. A ausência de qualquer documentação nesse sentido é o principal fator de risco em uma fiscalização.
Como apresentar o resultado da auditoria LGPD ao conselho fiscal?
Não é necessário um relatório técnico extenso. O conselho fiscal precisa saber: a revisão foi feita? Foram encontrados pontos inadequados? Esses pontos estão sendo corrigidos? Um documento de uma ou duas páginas com a data da revisão, as áreas verificadas, os achados e o status das correções é suficiente. Em condomínios grandes com DPO terceirizado, o relatório pode ser mais detalhado — mas o princípio é o mesmo: transparência como parte da governança.
Quais são os cinco pontos obrigatórios de qualquer auditoria LGPD em condomínio?
Toda auditoria de conformidade LGPD em condomínio deve cobrir: (1) cadastro de moradores, funcionários e visitantes — dados coletados, finalidade e acesso; (2) CFTV e controle de acesso — prazo de retenção, avisos de monitoramento e, se aplicável, uso de IA; (3) contratos com operadores — administradora, portaria, app, CFTV e demais fornecedores com acesso a dados; (4) comunicados e canais de comunicação — base legal para uso dos dados de contato e atualização de listas; (5) registro de incidentes — controle dos eventos de segurança ocorridos desde a última revisão.