LAI e LGPD: como decidir sem expor dados pessoais

Transparência e proteção de dados precisam conversar

A ANPD e a CGU prorrogaram até 24 de julho de 2026 a consulta pública sobre o Guia de Transparência e Proteção de Dados Pessoais. O documento busca orientar órgãos e entidades na análise de pedidos de acesso à informação que envolvam dados pessoais, conciliando a Lei de Acesso à Informação e a LGPD.

O guia é voltado principalmente ao setor público, mas o raciocínio é útil para qualquer organização que lida com documentos, relatórios, contratos, bases, auditorias, pedidos de titulares, obrigações regulatórias e prestação de contas.

O erro comum é tratar o assunto como uma escolha simples. Ou divulga tudo em nome da transparência, ou nega tudo em nome da LGPD. Na prática, a boa decisão costuma estar no meio: entender o pedido, identificar dados pessoais, avaliar finalidade, aplicar minimização e registrar o critério usado.

LAI e LGPD não precisam ser vistas como inimigas. A transparência continua importante. A proteção de dados também. O que muda é que a organização precisa decidir com método.

O risco de responder no impulso

Pedidos de informação chegam por canais diferentes: ouvidoria, jurídico, atendimento, e-mail institucional, portal de transparência, SAC, cliente corporativo, órgão público, auditoria, imprensa ou titular de dados.

Sem rotina, cada área responde de um jeito. Uma pessoa envia planilha completa. Outra oculta informação demais. Alguém compartilha contrato com CPF, assinatura e dados bancários. Outro nega acesso sem fundamento. O resultado é insegurança para quem pede e para quem responde.

A LGPD não impede transparência. Ela pede critério. Dado pessoal não deve ser tratado como obstáculo automático, mas também não pode ser exposto por descuido.

Esse ponto é especialmente importante para organizações que trabalham com alto volume de documentos. Um contrato, um relatório de auditoria, uma ata, uma planilha de atendimento ou um processo administrativo pode misturar informação pública, dado pessoal comum, dado sensível, segredo comercial e informação de terceiros. A resposta segura depende de separar essas camadas.

O que observar antes de divulgar um documento

Um fluxo simples ajuda a reduzir erro. Antes de liberar um documento, base ou resposta, a organização pode perguntar:

Qual é exatamente o pedido?
Quem está pedindo e com qual legitimidade?
Existe obrigação legal ou regulatória de divulgar?
Quais dados pessoais aparecem no material?
Há dados sensíveis, dados de crianças, informações financeiras ou dados de terceiros?
A finalidade pode ser atendida com versão anonimizada, tarjada ou resumida?
A divulgação é ativa, passiva, contratual ou decorrente de direito do titular?
Quem precisa aprovar a resposta?
Qual fundamento será registrado?
Como a resposta será enviada com segurança?
Por quanto tempo a evidência será guardada?
O encarregado/DPO deve ser acionado?

Esse tipo de matriz não precisa ser sofisticado no início. Precisa existir e ser usada.

Anonimizar não é só passar uma tarja

Quando o assunto é LAI e LGPD, muita gente presume que basta ocultar nome e CPF. Em alguns casos, isso resolve. Em outros, não.

Uma pessoa pode ser identificada por cargo, matrícula, endereço, unidade consumidora, número de processo, combinação de datas, localidade pequena, assinatura, e-mail, telefone, imagem, metadados ou contexto. Um documento tarjado de forma superficial ainda pode expor o titular.

Também existe o risco contrário: ocultar dados demais e tornar a resposta inútil. Transparência exige informação compreensível. Proteção de dados exige minimização. A decisão precisa equilibrar as duas coisas.

Por isso, uma boa rotina deve orientar quando usar tarja, quando anonimizar, quando agregar dados, quando entregar extrato, quando negar acesso e quando pedir revisão jurídica.

Setor público, empresas reguladas e cadeia privada

No setor público, a tensão entre LAI e LGPD aparece de forma direta em pedidos de acesso à informação, transparência ativa, processos administrativos, contratos, remuneração, benefícios, dados de usuários de serviços públicos e documentos de fiscalização.

Mas empresas privadas também enfrentam situações parecidas. Uma concessionária pode receber pedidos sobre atendimento, medição, reclamações e contratos. Uma escola pode lidar com documentos de alunos. Um hospital pode receber solicitações envolvendo prontuários, auditorias e contratos. Um escritório jurídico pode compartilhar documentos processuais. Uma entidade de classe pode divulgar atas, listas, processos internos e decisões.

Em setores regulados, a pressão por prestação de contas é maior. Justamente por isso, a governança precisa ser melhor. A organização deve saber quando divulgar, quando restringir, quando anonimizar e quando explicar a negativa.

Energia, jurídico e privacidade na prática

No setor de energia, a transparência pode envolver unidades consumidoras, medições, reclamações, indicadores, dados de faturamento, contratos, inadimplência, atendimento e informações técnicas associadas a consumidores. Alguns dados são necessários para prestar contas e cumprir regulação. Outros podem identificar pessoas ou revelar padrões de consumo.

No mercado jurídico, a discussão aparece em compartilhamento de peças, contratos, relatórios, documentos de clientes, informações processuais e solicitações de auditoria. Nem tudo que está em um documento pode circular livremente dentro e fora da organização.

Em ambos os mercados, o desafio é parecido: a organização precisa responder sem expor além do necessário. Isso exige fluxo, treinamento e revisão.

Como montar uma matriz de decisão

Uma matriz simples pode classificar pedidos em quatro grupos.

O primeiro grupo é de baixo risco: informações institucionais, documentos sem dados pessoais ou dados já públicos por obrigação legal. Aqui, a resposta tende a ser direta.

O segundo grupo exige tratamento: documentos com dados pessoais que podem ser tarjados, agregados ou resumidos sem prejudicar a finalidade da resposta.

O terceiro grupo exige análise aprofundada: dados sensíveis, dados de crianças e adolescentes, informações financeiras, dados de saúde, documentos com terceiros ou risco de reidentificação.

O quarto grupo exige negativa fundamentada ou encaminhamento específico: pedidos abusivos, solicitações sem legitimidade, documentos protegidos por sigilo ou situações em que a divulgação viola direitos de terceiros.

A matriz não substitui análise jurídica. Ela dá velocidade e consistência para que a organização não decida cada caso do zero.

O que muda para a rotina de privacidade

A consulta da ANPD e da CGU reforça que privacidade não vive isolada em uma política. Ela entra nos fluxos de documentos, atendimento, auditoria, contratos, portais, relatórios e comunicação pública.

Algumas medidas práticas:

criar uma regra de triagem para pedidos de informação;
manter modelos de resposta com linguagem clara;
treinar atendimento, jurídico e áreas técnicas;
usar tarjas e anonimização com critério;
registrar decisões relevantes;
revisar documentos antes de publicar;
envolver o encarregado/DPO quando houver dúvida relevante;
atualizar políticas internas conforme novos guias e normas;
mapear sistemas onde documentos e bases ficam armazenados;
revisar permissões de acesso interno.

A organização ganha velocidade quando deixa de decidir cada caso do zero.

Como a TOGETHER pode apoiar

A TOGETHER ajuda organizações a lidar com LAI e LGPD de forma prática. O trabalho pode incluir desenho de fluxos de resposta, matriz de decisão, modelos de documentos, treinamento de equipes, revisão de políticas, orientação para anonimização e apoio do DPO as a Service em casos mais sensíveis.

Para empresas reguladas e organizações que lidam com muitos documentos, a TOGETHER também pode apoiar a revisão de portais, contratos, relatórios, canais de atendimento e procedimentos internos. O objetivo é responder melhor, expor menos e deixar evidência de que a decisão foi pensada.

A atuação não se limita a dizer “pode” ou “não pode”. A TOGETHER ajuda a montar a rotina para que jurídico, atendimento, compliance, TI e áreas de negócio saibam como agir quando o pedido chega.