LAI e LGPD: como decidir sem expor dados pessoais

Transparência e proteção de dados precisam conversar

Para responder um pedido de informação sem expor dados pessoais, primeiro identifique o regime aplicável: acesso a informação pública, direito do próprio titular ou compartilhamento contratual. A notícia da ANPD sobre a consulta do Guia de Transparência e Proteção de Dados Pessoais registrou prazo até 24 de julho de 2026. O material então submetido pela ANPD e pela CGU buscava conciliar LAI e LGPD; essa referência histórica não comprova publicação posterior de uma versão final.

O guia é voltado principalmente ao setor público, mas o raciocínio é útil para qualquer organização que lida com documentos, relatórios, contratos, bases, auditorias, pedidos de titulares, obrigações regulatórias e prestação de contas.

O erro comum é tratar o assunto como uma escolha simples. Ou divulga tudo em nome da transparência, ou nega tudo em nome da LGPD. A decisão não é um meio-termo automático: deve identificar o direito de acesso, os dados envolvidos, os fundamentos de divulgação ou restrição e a possibilidade de acesso à parte não sigilosa, registrando o critério usado.

LAI e LGPD não precisam ser vistas como inimigas. A transparência continua importante. A proteção de dados também. O que muda é que a organização precisa decidir com método.

O risco de responder no impulso

Pedidos de informação chegam por canais diferentes: ouvidoria, jurídico, atendimento, e-mail institucional, portal de transparência, SAC, cliente corporativo, órgão público, auditoria, imprensa ou titular de dados.

Sem rotina, cada área responde de um jeito. Uma pessoa envia planilha completa. Outra oculta informação demais. Alguém compartilha contrato com CPF, assinatura e dados bancários. Outro nega acesso sem fundamento. O resultado é insegurança para quem pede e para quem responde.

A LGPD não impede transparência. Ela pede critério. Dado pessoal não deve ser tratado como obstáculo automático, mas também não pode ser exposto por descuido.

Esse ponto é especialmente importante para organizações que trabalham com alto volume de documentos. Um contrato, um relatório de auditoria, uma ata, uma planilha de atendimento ou um processo administrativo pode misturar informação pública, dado pessoal comum, dado sensível, segredo comercial e informação de terceiros. A resposta segura depende de separar essas camadas.

O que observar antes de divulgar um documento

Um fluxo simples ajuda a reduzir erro. Antes de liberar um documento, base ou resposta, a organização pode perguntar:

Qual é exatamente o pedido?
Qual regime rege o pedido? Na LAI, qualquer interessado pode solicitar informação pública, sem precisar justificar os motivos; nos pedidos do próprio titular ou de representante, a identidade e a representação devem ser verificadas de forma proporcional.
Existe obrigação legal ou regulatória de divulgar?
Quais dados pessoais aparecem no material?
Há dados sensíveis, dados de crianças, informações financeiras ou dados de terceiros?
A finalidade pode ser atendida com versão anonimizada, tarjada ou resumida?
A divulgação é ativa, passiva, contratual ou decorrente de direito do titular?
Quem precisa aprovar a resposta?
Qual fundamento será registrado?
Como a resposta será enviada com segurança?
Por quanto tempo a evidência será guardada?
O encarregado/DPO deve ser acionado?

Esse tipo de matriz não precisa ser sofisticado no início. Precisa existir e ser usada.

O artigo 10 da LAI veda exigir os motivos do pedido de informação de interesse público e impede exigências de identificação que inviabilizem a solicitação. Já o artigo 7º, § 2º, assegura acesso à parte não sigilosa de informação parcialmente protegida. O analista deve indicar a parte liberada, a restrição fundamentada e a forma segura de entrega, sem confundir esse fluxo com a autenticação de um pedido de dados do próprio titular.

Anonimizar não é só passar uma tarja

Quando o assunto é LAI e LGPD, muita gente presume que basta ocultar nome e CPF. Em alguns casos, isso resolve. Em outros, não.

Uma pessoa pode ser identificada por cargo, matrícula, endereço, unidade consumidora, número de processo, combinação de datas, localidade pequena, assinatura, e-mail, telefone, imagem, metadados ou contexto. Um documento tarjado de forma superficial ainda pode expor o titular.

Também existe o risco contrário: ocultar dados demais e tornar a resposta inútil. Transparência exige informação compreensível. Proteção de dados exige minimização. A decisão precisa equilibrar as duas coisas.

Por isso, uma boa rotina deve orientar quando usar tarja, quando anonimizar, quando agregar dados, quando entregar extrato, quando negar acesso e quando pedir revisão jurídica. O roteiro de anonimização e risco de reidentificação ajuda a avaliar a versão efetivamente enviada, inclusive metadados e cruzamentos.

Setor público, empresas reguladas e cadeia privada

A LAI alcança os órgãos e entidades previstos no artigo 1º e, no que couber, entidades privadas sem fins lucrativos que recebam recursos públicos nas condições do artigo 2º, com publicidade ligada a esses recursos e sua destinação. Ser empresa privada ou atuar em setor regulado não transfere automaticamente todo esse regime. Nos exemplos abaixo, identifique também dever setorial, contrato ou direito do titular pertinente.

No setor público, a tensão entre LAI e LGPD aparece de forma direta em pedidos de acesso à informação, transparência ativa, processos administrativos, contratos, remuneração, benefícios, dados de usuários de serviços públicos e documentos de fiscalização.

Mas empresas privadas também enfrentam situações parecidas. Uma concessionária pode receber pedidos sobre atendimento, medição, reclamações e contratos. Uma escola pode lidar com documentos de alunos. Um hospital pode receber solicitações envolvendo prontuários, auditorias e contratos. Um escritório jurídico pode compartilhar documentos processuais. Uma entidade de classe pode divulgar atas, listas, processos internos e decisões.

Em setores regulados, a pressão por prestação de contas é maior. Justamente por isso, a governança precisa ser melhor. A organização deve saber quando divulgar, quando restringir, quando anonimizar e quando explicar a negativa.

Energia, jurídico e privacidade na prática

No setor de energia, a transparência pode envolver unidades consumidoras, medições, reclamações, indicadores, dados de faturamento, contratos, inadimplência, atendimento e informações técnicas associadas a consumidores. Alguns dados são necessários para prestar contas e cumprir regulação. Outros podem identificar pessoas ou revelar padrões de consumo.

No mercado jurídico, a discussão aparece em compartilhamento de peças, contratos, relatórios, documentos de clientes, informações processuais e solicitações de auditoria. Nem tudo que está em um documento pode circular livremente dentro e fora da organização.

Em ambos os mercados, o desafio é parecido: a organização precisa responder sem expor além do necessário. Isso exige fluxo, treinamento e revisão.

Como montar uma matriz de decisão

Uma matriz simples pode classificar pedidos em quatro grupos.

O primeiro grupo é de baixo risco: informações institucionais, documentos sem dados pessoais ou dados já públicos por obrigação legal. Aqui, a resposta tende a ser direta.

O segundo grupo exige tratamento: documentos com dados pessoais que podem ser tarjados, agregados ou resumidos sem prejudicar a finalidade da resposta.

O terceiro grupo exige análise aprofundada: dados sensíveis, dados de crianças e adolescentes, informações financeiras, dados de saúde, documentos com terceiros ou risco de reidentificação.

O quarto grupo exige restrição fundamentada, acesso parcial ou encaminhamento ao canal competente: documentos protegidos por sigilo, informações de terceiros sujeitas às condições do artigo 31 da LAI ou pedido de acesso aos dados de outra pessoa sem representação ou fundamento aplicável. A classificação não pode negar informação pública só porque o solicitante não explicou seu interesse. Cada recusa deve indicar o fundamento e observar os meios de recurso aplicáveis.

A matriz não substitui análise jurídica. Ela dá velocidade e consistência para que a organização não decida cada caso do zero.

O que muda para a rotina de privacidade

A consulta da ANPD e da CGU reforça que privacidade não vive isolada em uma política. Ela entra nos fluxos de documentos, atendimento, auditoria, contratos, portais, relatórios e comunicação pública.

Algumas medidas práticas:

criar uma regra de triagem para pedidos de informação;
manter modelos de resposta com linguagem clara;
treinar atendimento, jurídico e áreas técnicas;
usar tarjas e anonimização com critério;
registrar decisões relevantes;
revisar documentos antes de publicar;
envolver o encarregado/DPO quando houver dúvida relevante;
atualizar políticas internas conforme novos guias e normas;
mapear sistemas onde documentos e bases ficam armazenados;
revisar permissões de acesso interno.

A organização ganha velocidade quando deixa de decidir cada caso do zero.

Como a TOGETHER pode apoiar

A TOGETHER ajuda organizações a lidar com LAI e LGPD de forma prática. O trabalho pode incluir desenho de fluxos de resposta, matriz de decisão, modelos de documentos, treinamento de equipes, revisão de políticas, orientação para anonimização e apoio do DPO as a Service em casos mais sensíveis.

Para empresas reguladas e organizações que lidam com muitos documentos, a TOGETHER também pode apoiar a revisão de portais, contratos, relatórios, canais de atendimento e procedimentos internos. O objetivo é responder melhor, expor menos e deixar evidência de que a decisão foi pensada.

A atuação não se limita a dizer “pode” ou “não pode”. A TOGETHER ajuda a montar a rotina para que jurídico, atendimento, compliance, TI e áreas de negócio saibam como agir quando o pedido chega.