LGPD para igrejas: como proteger os dados dos membros

A LGPD na igreja vale sim: a Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a toda organização que trata dados pessoais, e as igrejas tratam muitos, do cadastro de membros às contribuições e aos pedidos de oração. Uma dúvida comum sobre a LGPD: igreja pequena também precisa se adequar? Precisa, na medida do seu porte. Mais do que isso, o simples fato de uma pessoa constar como membro revela sua convicção religiosa, que a lei classifica como dado pessoal sensível. Adequar-se não exige burocracia exagerada, mas pede método: saber que dados a igreja tem, por que os tem, quem acessa e como responder aos pedidos dos titulares.

Nesta leitura, você vai entender como a lei se aplica à igreja, que dados merecem mais cuidado, quais bases legais usar, como atender os direitos do titular, o que fazer em caso de vazamento e um plano de adequação em oito passos. A parte técnica de segurança da informação e o direito de imagem são tratados em artigos próprios.

A LGPD se aplica à igreja?

Sim. A Lei Geral de Proteção de Dados alcança pessoas e organizações, públicas ou privadas, que tratam dados pessoais no Brasil, com algumas exceções específicas (como uso exclusivamente particular por pessoa física, fins jornalísticos e outras hipóteses previstas na própria lei). Organizações religiosas são pessoas jurídicas de direito privado e não estão entre essas exceções.

"Tratar dados" é qualquer operação: coletar, anotar, guardar, consultar, compartilhar, apagar. A ficha de visitante, a planilha da tesouraria, a lista de aniversariantes no mural e o grupo de WhatsApp com os telefones dos voluntários são tratamento de dados.

Isso não significa que a igreja esteja fazendo algo errado ao cadastrar membros. Significa que ela deve fazê-lo com finalidade clara, segurança e respeito aos direitos de quem confiou seus dados. É um tema que se soma às demais obrigações legais da igreja.

Que dados pessoais a igreja trata

O primeiro passo da adequação é saber o que existe. Na maioria das igrejas, os dados se concentram em quatro grupos.

Cadastro de membros e visitantes

Nome, data de nascimento, endereço, telefone, e-mail, estado civil, filiação, data de batismo, cargos e ministérios. A pergunta a fazer para cada campo é: por que precisamos disso? Se não há resposta, o campo pode sair. O artigo sobre cadastro de membros da igreja mostra como montar uma ficha enxuta.

Fichas de visitantes merecem cuidado extra: a pessoa acabou de conhecer a igreja e pode não esperar ser contatada várias vezes. Pergunte se ela autoriza o contato e por qual meio.

Contribuições

O histórico de dízimos e ofertas por membro revela capacidade financeira e prática religiosa. Deve ser acessado apenas por quem precisa dele para a função, normalmente a tesouraria, e usado apenas para as finalidades conhecidas (controle interno, declaração de contribuição para o membro, prestação de contas agregada).

Crianças e adolescentes

Ministério infantil, escola bíblica, acampamentos e fichas de autorização envolvem dados de menores. A LGPD dá atenção especial a eles, exigindo que o tratamento seja feito no melhor interesse da criança e do adolescente, com participação dos pais ou responsáveis nos casos previstos. Na prática: fichas assinadas pelos responsáveis, coleta mínima (nome, idade, responsáveis, alergias e contatos de emergência) e muito cuidado com fotos.

Pedidos de oração e aconselhamento

É o grupo mais delicado. Pedidos de oração e anotações de aconselhamento frequentemente envolvem saúde, conflitos familiares, dependência química e outras informações que a lei considera sensíveis. Devem ter acesso restrito, nunca circular em grupos abertos e, no caso do aconselhamento, respeitar o sigilo pastoral.

Convicção religiosa como dado sensível

A LGPD define como dado pessoal sensível, entre outros, o dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa (art. 5º, II). A lista de membros de uma igreja evangélica, por si só, revela a convicção religiosa de cada pessoa listada.

Isso tem consequências práticas:

• o tratamento de dados sensíveis de convicção religiosa só pode acontecer nas hipóteses específicas que a lei prevê para dados sensíveis, que são mais restritas do que as dos dados comuns;
• a segurança deve ser proporcional à sensibilidade: listas de membros não devem ficar em planilhas abertas, pendrives soltos ou celulares sem senha;
• compartilhar a lista com terceiros (empresas, políticos, outras organizações) exige base legal adequada e, na grande maioria dos casos, simplesmente não deve acontecer.

A lei traz dispositivos que tratam de organizações religiosas e de dados de seus membros. A redação exata e o alcance dessas regras devem ser conferidos no texto oficial da lei e com um advogado antes de fundamentar qualquer política.

Bases legais e consentimento

Todo tratamento de dados precisa de uma base legal, ou seja, de uma das hipóteses que a lei autoriza. As mais comuns na rotina de uma igreja são:

Quando a base for o consentimento, ele deve ser livre, informado e para finalidades específicas. Um termo de consentimento LGPD para igreja costuma incluir:

• quem é a igreja e como contatá-la;
• quais dados são coletados e para quê;
• com quem podem ser compartilhados (por exemplo, a denominação ou o fornecedor do sistema);
• por quanto tempo serão guardados;
• como a pessoa pode exercer seus direitos e revogar o consentimento.

A imagem de pessoas em cultos e transmissões tem regras próprias, explicadas em direito de imagem na igreja.

Direitos do titular e como atender

A LGPD garante ao titular dos dados uma série de direitos, entre eles: confirmar se a igreja trata seus dados, acessá-los, corrigir dados incompletos ou desatualizados, pedir anonimização, bloqueio ou eliminação de dados desnecessários, saber com quem foram compartilhados e revogar o consentimento. A lista completa e as condições de cada direito estão na lei.

Para atender sem improviso:

1. Defina um canal: um e-mail ou a própria secretaria, divulgado na ficha de cadastro e no site.
2. Registre cada pedido com data, nome, o que foi pedido e a resposta dada.
3. Confirme a identidade de quem pede, para não entregar dados a terceiros.
4. Responda com clareza, explicando o que foi feito e o que precisa ser mantido por obrigação legal.
5. Respeite prazos: a lei e a regulamentação da ANPD tratam dos prazos de resposta; confira os vigentes com seu advogado.

Incidentes: o que fazer em caso de vazamento

Um celular com a lista de membros roubado, uma planilha enviada por engano ao grupo errado, um e-mail invadido. Incidentes acontecem, e a diferença está na resposta.

1. Contenha o problema: troque senhas, peça a exclusão da mensagem enviada por engano, bloqueie o acesso indevido.
2. Avalie o impacto: que dados foram expostos, de quantas pessoas, se há dados sensíveis, que riscos isso traz.
3. Registre tudo: o que aconteceu, quando, o que foi feito.
4. Verifique a obrigação de comunicar: a LGPD e a regulamentação da ANPD preveem a comunicação à Autoridade e aos titulares em incidentes que possam acarretar risco ou dano relevante. Prazos e formato estão definidos pela ANPD; consulte um advogado imediatamente.
5. Aprenda com o ocorrido: ajuste procedimentos para que não se repita.

As medidas técnicas para reduzir esses riscos (senhas, backups, acesso por perfil, dispositivos) estão em segurança de dados na igreja.

Situações do dia a dia

Boa parte dos riscos está em hábitos simples, não em grandes sistemas:

Plano de adequação em 8 passos

Uma adequação à LGPD para organização religiosa de pequeno ou médio porte pode ser feita ao longo de alguns meses, sem parar a rotina:

1. Nomeie um responsável. Uma pessoa da liderança ou da secretaria que coordena o tema e serve de ponto de contato. Verifique com advogado a exigência formal de encarregado de dados na igreja, considerando o porte e as regras da ANPD para agentes de pequeno porte.
2. Mapeie os dados. Liste onde estão (fichas de papel, planilhas, sistema, celulares, grupos), que dados são, para que servem e quem acessa.
3. Elimine o excesso. Retire campos desnecessários das fichas e descarte com segurança dados antigos que não precisam ser mantidos.
4. Defina bases legais. Para cada finalidade, identifique a base legal, com apoio jurídico.
5. Revise fichas e termos. Inclua informações claras e, quando for o caso, consentimento destacado.
6. Restrinja acessos. Cada pessoa vê apenas o que precisa para sua função. O artigo sobre permissões de acesso no sistema da igreja traz uma matriz pronta.
7. Treine a liderança. Uma conversa de 30 minutos com secretaria, tesouraria, líderes de célula e intercessão sobre o que pode e o que não pode circular.
8. Documente e revise. Registre as decisões em uma política interna simples e revise uma vez por ano.

Na prática com o IgrejaControl

Um sistema não faz a adequação sozinho, mas facilita muito o trabalho que a lei exige. No IgrejaControl:

• o cadastro de membros fica centralizado, em vez de espalhado por planilhas e celulares;
• permissões por perfil definem quem vê cadastro, contribuições e pedidos de oração;
• pedidos de oração podem ser marcados com sigilo, com acesso restrito;
• o link de convite para autocadastro permite que o próprio membro informe e atualize seus dados;
• os dados ficam hospedados na AWS, com recursos pensados para apoiar a adequação à LGPD.

Assim, responder "quem tem acesso aos dados dos membros?" deixa de ser um palpite.

Para começar esta semana

Pegue uma folha e faça o mapa de dados da igreja: liste todos os lugares onde há nomes, telefones, contribuições e pedidos de oração, e quem acessa cada um. Só esse exercício costuma revelar planilhas esquecidas e grupos com informações demais. A partir dele, escolha o responsável pelos dados e marque uma conversa com um advogado para revisar fichas e termos.

Perguntas frequentes

A igreja precisa nomear um encarregado de dados?

A LGPD prevê a figura do encarregado, e a ANPD publicou regras sobre o tema, inclusive tratamento diferenciado para agentes de pequeno porte. Se a sua igreja é obrigada a indicar formalmente um encarregado depende do porte e das atividades. Na dúvida, indicar uma pessoa responsável pelos dados é uma boa prática; confirme a exigência com um advogado.

Posso compartilhar a lista de aniversariantes no grupo da igreja?

Nome e dia do aniversário, sem ano, telefone ou endereço, costumam ser divulgados em muitas igrejas como parte da vida comunitária. Mesmo assim, informe no cadastro que isso acontece e respeite quem pedir para não aparecer. Nunca divulgue data completa de nascimento, documentos ou contatos em grupos.

O membro pode pedir para apagar seus dados?

O titular tem direito de pedir a eliminação de dados tratados com base no consentimento, entre outros direitos. A igreja, porém, pode precisar manter alguns registros por obrigação legal ou para exercício regular de direitos, como lançamentos contábeis e atas. Responda ao pedido explicando o que será apagado e o que precisa ser mantido e por quê.

Igreja pode divulgar pedidos de oração com nome?

Só com autorização clara da pessoa. Pedidos de oração frequentemente envolvem saúde, família e finanças, que são informações delicadas, e dados de saúde são sensíveis pela LGPD. O ideal é perguntar no próprio pedido se ele pode ser compartilhado com a igreja, só com a equipe de intercessão ou se é confidencial.

Fontes e referências

1. Lei Geral de Proteção de Dados (Lei 13.709/2018)
2. Autoridade Nacional de Proteção de Dados

IgrejaControl

Conheça o IgrejaControl

Sua igreja organizada, sua gente bem cuidada. Membros, células, escalas, eventos, tesouraria e app do membro em um só sistema. Comece sem cartão de crédito.

Conheça o IgrejaControlCriar conta grátis