LGPD e experiência do cliente: o que muda na prática do atendimento
A Lei Geral de Proteção de Dados está em vigor há anos, e mesmo assim continuo encontrando operações de atendimento que a tratam como assunto exclusivo do jurídico ou da TI.
É um engano custoso. A linha de frente é justamente onde a maior parte dos dados pessoais é coletada, confirmada, alterada e, com alguma frequência, exposta. Quem atende é quem pergunta CPF, confirma endereço, registra reclamação com detalhes de saúde e grava conversas inteiras.
Este artigo trata do que a lei significa na rotina de quem atende. Não é orientação jurídica, e recomendo validar qualquer implementação com o time legal da sua empresa.
O que a lei chama de dado pessoal, na prática do atendimento
Dado pessoal é qualquer informação que identifique ou possa identificar alguém. No atendimento, isso é praticamente tudo: nome, CPF, telefone, e-mail, endereço, histórico de compras, gravação de voz, número de protocolo associado a uma pessoa.
Existe ainda a categoria de dado pessoal sensível, que inclui informações sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos e biométricos e vida sexual. Essa categoria tem proteção reforçada.
E aqui está o ponto que a maioria das operações ignora: atendimento coleta dado sensível o tempo todo sem perceber. O cliente que liga para cancelar um plano de saúde e explica o motivo. O que pede prazo por estar em tratamento médico. O que registra reclamação envolvendo discriminação. Tudo isso entra no sistema como texto livre, muitas vezes sem qualquer tratamento especial.
Os direitos do titular que chegam pelo seu canal
O artigo 18 da lei estabelece um conjunto de direitos que o cliente pode exercer a qualquer momento. Os que mais aparecem no atendimento são:
- confirmação de que existe tratamento dos dados dele
- acesso aos dados
- correção de dados incompletos, inexatos ou desatualizados
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei
- portabilidade
- eliminação dos dados tratados com consentimento
- informação sobre com quem a empresa compartilhou os dados
- informação sobre a possibilidade de não consentir e as consequências disso
- revogação do consentimento
O prazo que mais importa na operação: o artigo 19 determina que a confirmação de existência ou o acesso aos dados sejam fornecidos em formato simplificado de forma imediata, ou por meio de declaração clara e completa em até quinze dias contados do requerimento.
Vale registrar que a Resolução CD/ANPD nº 2/2022 prevê prazo em dobro em situações específicas para agentes de tratamento de pequeno porte, e que a ANPD tem editado regulamentações complementares sobre temas como portabilidade. Vale acompanhar as atualizações com o jurídico.
O que isso exige da operação, concretamente
Um canal identificável e um encarregado visível
O artigo 41 exige que a identidade e as informações de contato do encarregado pelo tratamento de dados sejam publicadas no site da empresa. Na prática, isso significa que a linha de frente precisa saber para onde encaminhar quando o pedido chega.
E ele vai chegar pelo canal errado. O cliente não vai procurar o endereço do encarregado no rodapé do site, ele vai pedir ao atendente que está falando com ele naquele momento.
Reconhecimento do pedido pela linha de frente
Este é o gargalo mais comum que encontro. O cliente diz “quero saber quais dados vocês têm sobre mim” e o atendente trata como pergunta genérica, responde alguma coisa e encerra o caso. O relógio dos quinze dias começou a correr e ninguém percebeu.
O que resolve: treinar o time para reconhecer as formulações que caracterizam um pedido de titular, mesmo em linguagem coloquial, e criar um caminho de registro específico com protocolo e controle de prazo.
Registro de todos os pedidos
Manter log dos requerimentos recebidos, do que foi respondido e quando é o que demonstra conformidade em caso de fiscalização. A lei valoriza a capacidade de prestar contas, e a documentação interna pesa na avaliação de eventual sanção.
Cuidado com gravação e com o excesso de coleta
Duas práticas merecem revisão em quase toda operação que analiso.
A primeira é a gravação de chamadas sem informação clara ao cliente sobre finalidade e prazo de retenção. Gravar é legítimo em muitos contextos, mas precisa de base legal definida, aviso e política de descarte.
A segunda é a coleta por hábito. Scripts que pedem CPF, data de nascimento e nome da mãe para responder a uma dúvida simples sobre horário de funcionamento. A lei trabalha com o princípio da necessidade: colete o mínimo indispensável para a finalidade. Coletar mais do que precisa aumenta risco sem gerar valor.
Atenção redobrada com automação
Bots e sistemas de inteligência artificial coletam e processam dados pessoais em escala. Duas implicações práticas: o cliente precisa saber que está falando com um sistema automatizado, e decisões automatizadas que afetam interesses do titular podem ser questionadas, com direito à revisão prevista na lei.
Os cinco erros mais comuns que encontro
Tratar como projeto do jurídico. O jurídico define o enquadramento, mas quem executa é a operação. Sem envolver a linha de frente, o projeto vira documento.
Treinar uma vez. A rotatividade em operações de atendimento é alta. Treinamento pontual perde efeito em poucos meses. Precisa entrar na integração de novos colaboradores e ser reforçado periodicamente.
Confundir consentimento com única base legal. A lei prevê várias bases legais, e consentimento é apenas uma delas, muitas vezes não a mais adequada. Execução de contrato e legítimo interesse cobrem boa parte das operações de atendimento. Pedir consentimento onde ele não é necessário cria fragilidade, porque consentimento pode ser revogado.
Guardar tudo para sempre. Sem política de retenção e descarte, a empresa acumula risco. Dado que não precisa mais existir é passivo, não ativo.
Não ter plano para incidente. A lei exige comunicação à autoridade e ao titular em caso de incidente de segurança com risco relevante. Descobrir isso durante o incidente é a pior hora possível.
O ponto que quase ninguém enxerga
Existe uma leitura da LGPD que a trata apenas como custo e risco. Entendo a origem dessa leitura, mas ela deixa passar a parte mais interessante.
Transparência sobre uso de dados é um diferencial competitivo real no Brasil de hoje. O consumidor está mais atento, e a empresa que explica com clareza o que coleta, por quê e por quanto tempo constrói confiança em um mercado onde quase ninguém faz isso bem.
Além disso, boa parte das exigências da lei coincide com boas práticas de experiência. Coletar menos dados torna o atendimento mais rápido. Manter cadastro correto reduz retrabalho. Ter um canal claro para pedidos evita escalonamento desnecessário.
Conformidade bem feita não atrapalha a experiência. Na maior parte dos casos, ela melhora.
Este conteúdo tem caráter informativo e não substitui orientação jurídica. Consulte o time legal da sua empresa ou um especialista em proteção de dados antes de implementar mudanças.
Sua operação de atendimento está preparada?
Na Customer Centric Consulting redesenhamos operações de atendimento conectando processo, tecnologia, governança e capacitação de equipes, com atenção às exigências regulatórias e à experiência do cliente.
