Bases legais de tratamento em condomínio

O que são bases legais e por que importam

Bases legais são as razões jurídicas que autorizam o tratamento de dados pessoais — ou seja, qualquer operação que envolva coletar, registrar, armazenar, usar, compartilhar ou eliminar dados de uma pessoa identificável. Sem uma base legal correspondente a cada finalidade, o tratamento é ilegal, independentemente do tamanho do condomínio ou de quem está reclamando.

A LGPD lista dez hipóteses no art. 7º (para dados comuns) e hipóteses adicionais no art. 11 (para dados sensíveis, como biometria e imagem). O condomínio não precisa usar todas — precisa identificar qual delas se aplica a cada situação específica antes de iniciar o tratamento. Essa identificação deve ser documentada no mapeamento de fluxo de dados do condomínio.^[1]

Por que isso é relevante na prática? Segundo levantamento do Instituto Brasileiro de Ensino, Desenvolvimento e Pesquisa (IDP) com apoio do Jusbrasil, as decisões judiciais relacionadas à LGPD cresceram 81,4% entre 2022 e 2023.^[2] No relatório da ANPD referente ao primeiro semestre de 2023, o segmento condominial aparece como o 4º setor com maior volume de infrações comunicadas ao órgão — e o 1º entre entes despersonalizados. A maioria das demandas se concentra no monitoramento de imagens e na ausência de políticas de privacidade.^[2]

Em outras palavras: o risco para condomínios não é teórico. O síndico que não sabe qual base legal fundamenta o CFTV do prédio está exposto a reclamações, ações judiciais e, eventualmente, sanções administrativas da ANPD.

O condomínio como controlador de dados

Pela LGPD, o condomínio é o controlador dos dados — é ele quem decide que dados coletar, com qual finalidade e com quem compartilhar. As empresas contratadas (administradora, empresa de portaria, fornecedor de CFTV) são os operadores: elas tratam dados sob instrução do controlador. A responsabilidade primária, caso haja vazamento ou uso indevido, é do condomínio — que deve contratar bem e fiscalizar o cumprimento dos contratos.^[3]

A Resolução CD/ANPD nº 2, de 2022, incluiu condomínios no conceito de agentes de tratamento de pequeno porte, o que simplifica algumas obrigações — como a indicação de encarregado de dados, que deixou de ser obrigatória para esse perfil. Mas a obrigação de definir base legal, informar os titulares e documentar as operações permanece.^[2]

As bases legais mais usadas em condomínios

Das dez hipóteses do art. 7º da LGPD, cinco têm aplicação direta e frequente no cotidiano condominial. As demais (estudos por órgão de pesquisa, políticas públicas, tutela da saúde, proteção do crédito) raramente se encaixam no contexto de um condomínio residencial ou comercial.^[1]

1. Consentimento (art. 7º, inciso I)

O consentimento é a base legal mais conhecida — e a mais mal compreendida. Ele exige que o titular dê autorização de forma livre, informada, específica e inequívoca. Isso significa que o condomínio precisa explicar, antes de coletar, qual dado está coletando, para qual finalidade, por quanto tempo e com quem irá compartilhar.

O consentimento é a base correta para gravações de assembleias (os participantes precisam ser informados e concordar com a gravação) e para o uso de dados biométricos de visitantes, quando a finalidade não é segurança obrigatória. Mas é a última base a ser usada para situações em que outra hipótese já autoriza o tratamento — como o CFTV instalado para segurança do patrimônio, que encontra base mais robusta no legítimo interesse.

Uma observação importante: o consentimento pode ser revogado pelo titular a qualquer momento. Isso torna essa base legalmente frágil para tratamentos contínuos e estruturais do condomínio, como o cadastro de moradores ou o controle de acesso.^[3]

2. Obrigação legal ou regulatória (art. 7º, inciso II)

Quando uma lei ou regulamento exige que o condomínio colete determinado dado, o tratamento dispensa qualquer outra justificativa. A base é a própria obrigação legal.

Esta é a base que autoriza o tratamento de dados trabalhistas dos funcionários CLT do condomínio: folha de pagamento, registros de ponto, admissão e demissão, dados previdenciários. A CLT e a legislação trabalhista obrigam o empregador a manter esses registros — o condomínio não precisa pedir consentimento ao funcionário para guardar o número do seu PIS. A mesma lógica se aplica a obrigações fiscais e contábeis.^[1]

3. Execução de contrato (art. 7º, inciso V)

Quando o tratamento de dados é necessário para executar um contrato do qual o titular é parte, ou para realizar procedimentos preliminares a pedido do próprio titular, o consentimento adicional é dispensado.

Esta base é a mais natural para o cadastro de moradores e condôminos: ao adquirir ou locar uma unidade, a pessoa entra em relação contratual com o condomínio. O tratamento dos dados de cadastro (nome, CPF, contato, unidade) é necessário para administrar essa relação. O mesmo vale para dados de prestadores de serviço contratados pelo condomínio.^[3]

4. Legítimo interesse (art. 7º, inciso IX)

O legítimo interesse permite o tratamento de dados quando houver uma finalidade legítima do controlador que se sobreponha razoavelmente aos direitos dos titulares, desde que os dados sejam os mínimos necessários. É uma base que exige documentação e raciocínio justificado — não basta alegar interesse; é preciso registrar por que o interesse do condomínio prevalece sobre a expectativa de privacidade do titular.^[1]

Esta é a base mais apropriada para o CFTV instalado para segurança do patrimônio e das pessoas: o interesse legítimo do condomínio na proteção física é facilmente demonstrável e supera a expectativa de privacidade em áreas comuns de acesso coletivo. O mesmo raciocínio se aplica ao controle de acesso veicular e ao registro de entrada e saída de visitantes na portaria.

5. Exercício regular de direitos (art. 7º, inciso VI)

Esta base autoriza o tratamento de dados quando necessário para o exercício regular de direitos em processo judicial, administrativo ou arbitral. Na prática condominial, é a base que fundamenta a manutenção de registros de inadimplência, histórico de notificações por infração ao regimento, atas de assembleia com votações nominais e comunicações formais sobre conflitos entre moradores.

Em outras palavras: o condomínio pode guardar e usar os dados necessários para cobrar uma dívida ou provar, judicialmente, que aplicou uma multa com base no regimento.^[1]

Quando o consentimento é (e quando não é) a base certa

Um dos erros mais comuns na adequação de condomínios à LGPD é tratar o consentimento como base legal universal — como se todo tratamento de dados precisasse de autorização assinada pelo morador. Não é assim que a lei funciona.

O consentimento é necessário quando não existe outra base legal que cubra a finalidade do tratamento. Na maioria das situações rotineiras do condomínio, há bases mais adequadas disponíveis — e usá-las é mais correto juridicamente do que depender de um consentimento que pode ser revogado a qualquer momento.^[3]

Mapa prático: base legal por situação condominial

O quadro abaixo reúne as situações mais comuns de tratamento de dados em condomínios, a base legal recomendada e o principal cuidado operacional. Ele não substitui uma análise jurídica individualizada, mas serve como referência prática para o síndico documentar o mapeamento de fluxo de dados exigido pela LGPD.

Dados sensíveis: atenção redobrada

Biometria (impressão digital, reconhecimento facial, íris, voz) é classificada pela LGPD como dado sensível e está sujeita ao art. 11 da lei, que prevê hipóteses mais restritas de tratamento. O consentimento para dados sensíveis precisa ser específico e destacado — não basta incluir em uma cláusula genérica do contrato de locação ou na convenção.^[3]

Em condomínios horizontais, onde o controle de acesso veicular tende a envolver maior volume de registros de placas e eventualmente reconhecimento facial na guarita, o cuidado com dados sensíveis ganha ainda mais relevância. A posição das câmeras e o acesso restrito às imagens devem ser tratados com política específica.

Como documentar a base legal escolhida

Escolher a base legal correta é o primeiro passo; documentar a escolha é o segundo. A LGPD exige que o controlador seja capaz de demonstrar conformidade — o que, na prática, significa ter registro escrito das decisões tomadas sobre o tratamento de dados.

O instrumento central é o mapeamento de fluxo de dados: um registro que identifica, para cada operação de tratamento, quais dados são coletados, qual a finalidade, qual a base legal, quem tem acesso, com quem são compartilhados, onde ficam armazenados, por quanto tempo são retidos e como são descartados. Não existe formato obrigatório definido pela ANPD — o importante é que o registro exista e seja mantido atualizado.^[3]

Além do mapeamento, a documentação de conformidade de um condomínio deve incluir:

• Política de privacidade do condomínio — documento público que informa moradores, visitantes e prestadores sobre quais dados são coletados, para qual finalidade e quais são seus direitos. Pode ser disponibilizada em aviso na portaria, no site ou aplicativo do condomínio e na convenção.
• Cláusulas de proteção de dados nos contratos com operadores — administradora, empresa de portaria, fornecedor de CFTV e qualquer outro prestador que acesse dados pessoais precisa ter, no contrato, cláusulas que definam responsabilidades, finalidade do tratamento, medidas de segurança e o que fazer em caso de incidente.
• Termos de confidencialidade para funcionários — colaboradores CLT ou terceirizados que tenham acesso a dados pessoais devem assinar termo de confidencialidade e receber treinamento sobre como tratar esses dados corretamente.
• Registro de incidentes de segurança — caso ocorra vazamento ou acesso indevido, o condomínio deve ter procedimento definido para registrar o ocorrido, mitigar danos e, se o incidente for grave, comunicar à ANPD e aos titulares afetados.

Bases legais para dados de funcionários do condomínio

Os dados trabalhistas dos funcionários CLT do condomínio — porteiros, zeladores, faxineiros — têm tratamento em parte diferente do restante do mapeamento. Aqui a base predominante é a obrigação legal: a consolidação das leis do trabalho, a legislação previdenciária e as obrigações do eSocial exigem que o empregador mantenha registros específicos sobre admissão, desligamento, jornada, remuneração e benefícios.^[1]

Para dados além do exigido por lei — como dados de saúde do funcionário, dados de dependentes ou informações coletadas para programas internos — a base adequada pode ser o consentimento ou o legítimo interesse, dependendo do caso. Dados de saúde são sensíveis e exigem cuidado adicional: o acesso deve ser restrito ao mínimo necessário (síndico, administradora e, quando aplicável, médico do trabalho), e a finalidade deve ser claramente definida.