Como este tema funciona no seu condomínio
As obrigações da LGPD são as mesmas independentemente do porte. Em condomínios pequenos, o volume de dados compartilhado com a administradora é menor e o contrato tende a ser mais simples — mas a cláusula de proteção de dados é igualmente obrigatória. A autogestão ainda é comum nesse porte; quando existe administradora, a formalização da relação controlador–operador pode ser feita com um contrato enxuto, desde que cubra os itens essenciais.
Com administradora quase sempre presente e fluxo de dados mais estruturado (folha de pagamento, inadimplência, controle de acesso), o contrato precisa especificar com clareza quais categorias de dados são compartilhadas e para qual finalidade. É o porte em que uma cláusula LGPD bem escrita começa a fazer diferença real — e em que a exigência de relatório de incidentes ao síndico já deve constar no texto.
O volume e a variedade de dados pessoais — biometria, dados de visitantes, câmeras de reconhecimento facial, dados de controle veicular — tornam a gestão da relação com a administradora mais complexa. Nesse porte, recomenda-se que o contrato traga SLA de resposta a incidentes, previsão de auditorias periódicas e, quando o condomínio já designou um DPO, a comunicação entre os dois agentes de tratamento deve estar formalizada.
Compartilhar dados pessoais dos moradores com a administradora do condomínio é necessário, legal e inevitável — desde que feito com base em contrato que delimite finalidade, segurança e responsabilidades. Pela LGPD (Lei 13.709/2018), o condomínio é o controlador dos dados pessoais que coleta; a administradora, ao tratá-los por instrução do síndico, atua como operadora. Essa distinção define quem decide, quem executa e o que acontece quando algo dá errado.
Por que compartilhar dados com a administradora é necessário e legal
A administradora precisa de dados pessoais dos moradores e funcionários para executar as tarefas que o condomínio contratou: emitir boletos, controlar inadimplência, processar a folha de pagamento, registrar correspondências, gerenciar reservas de áreas comuns, comunicar assembleias. Sem acesso a esses dados, ela simplesmente não consegue fazer o trabalho.
A LGPD não proíbe esse compartilhamento. O que ela exige é que o tratamento tenha uma base legal válida e que o operador (a administradora) receba os dados com proteção adequada. No caso dos condomínios, as bases legais mais aplicáveis são o cumprimento de obrigação legal ou regulatória (art. 7º, II da LGPD) — como o processamento da folha de pagamento — e a execução de contrato (art. 7º, V) — como os serviços de gestão condominial contratados.[1]
O ponto central é este: compartilhar é obrigatório e permitido. O que não é permitido é compartilhar sem contrato, sem finalidade definida e sem cuidados mínimos de segurança.
Em condomínios horizontais, o escopo do compartilhamento pode ser mais amplo: dados de controle de acesso de veículos, registros de entrada e saída em portarias distribuídas, e informações sobre uso de áreas externas. Esses dados devem estar contemplados no mapeamento feito pelo síndico antes de firmar ou renovar o contrato com a administradora.
A administradora como operadora: o que isso significa
A LGPD define com clareza os dois papéis principais no tratamento de dados pessoais.[1]
- Controlador (art. 5º, VI): quem toma as decisões sobre o tratamento — o que coletar, para qual finalidade, por quanto tempo guardar. No condomínio, esse papel é do síndico, em nome da pessoa jurídica do condomínio.
- Operador (art. 5º, VII): quem realiza o tratamento por conta e em nome do controlador, seguindo suas instruções. A administradora é, por definição, operadora — ela não decide o que fazer com os dados; ela os processa para prestar o serviço contratado.
Essa distinção tem uma consequência prática importante: a administradora não pode usar os dados dos moradores para finalidades próprias. Ela não pode criar listas de marketing, ceder dados a terceiros por conta própria ou guardar os dados depois que o contrato for encerrado — a não ser que tenha autorização expressa do condomínio ou obrigação legal para isso.
O art. 39 da LGPD é direto: o operador deve realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas legais. Isso significa que o síndico não apenas pode — ele deve verificar se a administradora está cumprindo as regras.[1]
Uma nota sobre responsabilidade: a administradora que, no exercício de sua atividade de operadora, descumprir a legislação aplicável ou as instruções lícitas do controlador, responde solidariamente pelos danos causados. Mas isso não transfere ao síndico a responsabilidade de zelar pela escolha adequada do operador e pela existência de contrato com garantias suficientes.
O que o contrato com a administradora precisa ter
O art. 46 da LGPD exige que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.[1] Para o condomínio, isso começa no contrato com a administradora.
A cláusula LGPD do contrato não precisa ser longa — precisa ser completa. O checklist abaixo cobre os itens que não podem faltar:
| Item | O que deve constar |
|---|---|
| Finalidade | Para que os dados são compartilhados — gestão condominial, folha de pagamento, controle de inadimplência, assembleias. A administradora não pode usar os dados para fins além dos listados. |
| Categorias de dados | Quais dados pessoais são efetivamente transferidos: nome, CPF, e-mail, telefone, dados bancários, dados de funcionários, dados de acesso, etc. |
| Prazo de retenção | Por quanto tempo a administradora pode guardar os dados durante o contrato — e o que acontece com eles após o encerramento (devolução ou destruição segura). |
| Medidas de segurança | Quais proteções técnicas a administradora mantém: controle de acesso interno ao sistema, criptografia, política de backup, restrição de acesso por função. |
| Subcontratação | Se a administradora usa sistemas de terceiros (software de gestão condominial, plataformas de cobrança), isso deve ser declarado — e a administradora responde por esses suboperadores. |
| Notificação de incidentes | Prazo em que a administradora deve comunicar o síndico em caso de vazamento ou acesso não autorizado — o padrão de mercado é 24 a 72 horas após a detecção. |
| Auditoria | Direito do condomínio de solicitar informações ou auditoria sobre o tratamento realizado pela administradora. |
| Encerramento do contrato | Procedimento claro para devolução ou destruição dos dados ao fim do contrato, com prazo definido. |
Condomínios que estão renovando contrato têm a oportunidade de incluir esses itens sem custo adicional. Para condomínios assinando contrato novo, exigir esses termos é parte do processo de due diligence na escolha da administradora.
Uma observação prática: muitas administradoras já têm minutas de contrato com cláusulas LGPD preparadas. Se a administradora não consegue apresentar um texto mínimo sobre proteção de dados, esse é um sinal de alerta sobre a maturidade dela em conformidade — não apenas jurídica, mas operacional.
Responsabilidade em caso de incidente pela administradora
Quando a administradora sofre um vazamento de dados — seja por ataque externo, falha de sistema ou erro humano —, a pergunta mais comum do síndico é: "Isso é problema da administradora ou do condomínio?"
A resposta é: pode ser dos dois, e entender os papéis é essencial para agir corretamente.
A responsabilidade é compartilhada, com papéis distintos. O condomínio, como controlador, tem a obrigação de ter escolhido uma administradora com garantias adequadas (art. 46 da LGPD) e de zelar pelo cumprimento dessas garantias. Se o condomínio não tinha contrato com cláusulas de proteção, ou nunca verificou como os dados eram tratados, pode ser responsabilizado por negligência na escolha e supervisão do operador.[1]
A administradora, como operadora, responde pelos danos que causar ao descumprir as instruções do controlador ou a legislação. Segundo o art. 42 da LGPD, o operador responde solidariamente com o controlador quando houver descumprimento das normas aplicáveis.
Na prática, o síndico precisa entender que:
- Transferir os dados para a administradora não transfere a responsabilidade do condomínio — ela é dividida, com papéis distintos
- Caso os titulares dos dados (moradores, funcionários) sofram danos por um vazamento causado pela administradora, podem acionar tanto a administradora quanto o condomínio
- Ter contrato com cláusulas LGPD claras é a principal proteção do síndico: demonstra que o condomínio agiu com diligência na escolha e na formalização da relação com o operador
- Após ser notificado de um incidente, o síndico deve comunicar a ANPD (Autoridade Nacional de Proteção de Dados) em prazo razoável — o guia da ANPD recomenda até 72 horas quando há risco relevante para os titulares[2]
O que fazer ao ser notificado de um incidente:
- Documentar imediatamente o que foi comunicado pela administradora (data, horário, dados afetados, causa informada)
- Verificar quais titulares foram impactados e avaliar o grau de risco
- Comunicar a ANPD se o incidente apresentar risco relevante para os titulares
- Avaliar se é necessário comunicar diretamente os moradores ou funcionários afetados
- Exigir da administradora relatório detalhado do incidente e das medidas corretivas adotadas
- Registrar tudo em ata ou documento formal para eventual defesa futura
Como verificar se a administradora está em conformidade com a LGPD
O art. 39 da LGPD atribui ao controlador o papel de verificar a observância das suas instruções pela administradora. Isso não exige uma auditoria formal anual — mas exige que o síndico faça perguntas e exija respostas.[1]
O checklist abaixo pode ser usado em reuniões periódicas com a administradora ou na renovação contratual:
- Mapeamento de dados: a administradora sabe quais dados pessoais do condomínio ela processa e onde estão armazenados?
- Controle de acesso interno: apenas os funcionários que precisam têm acesso aos dados do condomínio? Existe restrição por perfil de usuário no sistema?
- Política de senhas e autenticação: os sistemas usam autenticação com dois fatores ou medidas equivalentes?
- Suboperadores declarados: quais plataformas de terceiros recebem ou processam dados dos moradores (software de gestão, plataformas de cobrança, aplicativos condominiais)?
- Procedimento de incidente: existe um processo interno documentado para identificar, conter e comunicar vazamentos?
- Descarte de dados: como os dados são descartados ao fim do contrato — qual o prazo e o método de destruição segura?
- Treinamento da equipe: os funcionários que acessam dados dos moradores são orientados sobre sigilo e boas práticas de proteção de dados?
Uma administradora madura em LGPD consegue responder a essas perguntas sem hesitação. A incapacidade de responder não implica necessariamente má-fé — mas indica onde estão os riscos que o síndico precisa monitorar.
Troca de administradora: como gerenciar a migração de dados
A troca de administradora é um dos momentos de maior risco para os dados pessoais do condomínio. Dois cuidados são essenciais.
Primeiro: a administradora saindo deve devolver todos os dados do condomínio em formato utilizável, dentro do prazo previsto no contrato. Isso inclui cadastros de moradores, histórico financeiro, dados de funcionários e documentação de correspondências. Guardar os dados além do prazo sem justificativa legal é uma violação da LGPD.
Segundo: a administradora entrante deve assinar o contrato com cláusulas LGPD antes de receber qualquer dado. Não transferir os dados antes da formalização contratual é uma proteção básica para o síndico.
O condomínio precisa de suporte jurídico ou operacional para adequar o contrato com a administradora à LGPD?
Se o contrato atual não tem cláusulas de proteção de dados, a administradora não soube responder às perguntas de conformidade, ou o condomínio passou por um incidente recente, o oHub conecta condomínios a consultores jurídicos e empresas de compliance condominial. Em menos de 3 minutos, sem compromisso.
Encontrar fornecedores de Condomínios no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O condomínio pode passar dados dos moradores para a administradora?
Sim — pode e precisa. A execução dos serviços contratados exige que a administradora acesse dados pessoais dos moradores e funcionários. A LGPD não proíbe esse compartilhamento; ela exige que seja feito com base legal válida (cumprimento de obrigação legal ou execução de contrato) e que exista contrato formalizando a relação, com cláusulas que delimitem finalidade, segurança e responsabilidades.
A administradora é controladora ou operadora dos dados do condomínio?
A administradora é operadora (art. 5º, VII da LGPD). Ela trata os dados pessoais por instrução do síndico — que, em nome do condomínio, exerce o papel de controlador. Isso significa que a administradora não pode usar os dados para finalidades próprias, ceder a terceiros por conta própria ou guardar os dados além do prazo contratual sem justificativa legal.
O contrato com a administradora precisa ter cláusula LGPD?
Sim. O art. 46 da LGPD exige que o controlador adote medidas para proteger os dados que coleta — e isso começa na formalização da relação com o operador. A cláusula deve cobrir ao menos: finalidade do tratamento, categorias de dados compartilhados, prazo de retenção, medidas de segurança da administradora, procedimento de notificação em caso de incidente e regras para encerramento do contrato.
O que acontece se a administradora vazar dados dos moradores?
A responsabilidade pode recair sobre ambos: a administradora, por descumprir as obrigações de segurança como operadora; e o condomínio, se não tiver tomado as precauções necessárias na escolha e supervisão do operador. Ter contrato com cláusulas LGPD claras é a principal proteção do síndico — demonstra diligência na formalização da relação. Em caso de incidente com risco relevante para os titulares, o condomínio deve comunicar a ANPD.
Como escolher uma administradora que respeite a LGPD?
Pergunte diretamente antes de contratar: a empresa tem política de proteção de dados documentada? Sabe quais dados do condomínio processa e onde estão armazenados? Tem procedimento interno para responder a incidentes? Utiliza sistemas de terceiros para processar dados dos moradores, e esses suboperadores estão declarados? Uma administradora madura em conformidade consegue responder a essas perguntas com clareza. A incapacidade de responder é um sinal de alerta.
Posso incluir cláusula LGPD no contrato já assinado com a administradora?
Sim, por meio de aditivo contratual. Não é necessário aguardar o vencimento do contrato para incluir as proteções de dados — e do ponto de vista do síndico, quanto antes formalizar, melhor. A iniciativa também serve como teste: uma administradora que resiste a incluir cláusulas básicas de proteção de dados está sinalizando algo relevante sobre sua postura em conformidade.
Fontes e referências
- Brasil. Lei 13.709, de 14 de agosto de 2018 (LGPD) — art. 5º, VI e VII; art. 39; art. 42; art. 46. Planalto.gov.br.
- ANPD — Autoridade Nacional de Proteção de Dados. Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais. Gov.br.
- SíndicoNet. LGPD em condomínios: o que o síndico precisa saber. SíndicoNet.