LGPD e Eventos Corporativos: o que sua empresa precisa saber sobre Dados de Participantes

Por que LGPD e eventos corporativos precisam estar na mesma pauta

Toda vez que um participante se inscreve em um evento corporativo em São Paulo, preenche um formulário com nome, e-mail, telefone, empresa e às vezes CPF. Esse formulário, por mais simples que pareça, é uma operação de tratamento de dados pessoais sujeita à Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).

A maioria dos organizadores de eventos trata esse formulário como um detalhe operacional, não como uma responsabilidade legal. O problema é que a LGPD não faz distinção entre uma grande empresa de tecnologia e uma equipe organizando uma convenção de 300 pessoas: ambas são responsáveis pelo tratamento correto dos dados coletados, com as mesmas obrigações de base legal, finalidade e segurança.

LGPD e eventos corporativos: o que a lei considera dado pessoal

A LGPD define dado pessoal como qualquer informação relacionada a uma pessoa identificada ou identificável. Em um evento corporativo, isso cobre praticamente todo o fluxo de inscrição e credenciamento:

• Dados de inscrição: nome, e-mail, telefone, empresa, cargo e CPF, coletados no momento em que o participante se inscreve para o evento.
• Dados de credenciamento: foto para crachá, código de acesso e informações usadas para controlar entrada e presença durante o evento.
• Dados de acessibilidade: quando o participante informa uma necessidade de acessibilidade, como deficiência auditiva ou visual, esse dado entra na categoria de dado pessoal sensível pela LGPD, o que exige atenção redobrada no tratamento. Esse ponto se conecta diretamente com a estratégia de acessibilidade em eventos da sua empresa, já que a informação sobre a necessidade específica do participante precisa ser tratada com o mesmo cuidado que qualquer outro dado sensível.
• Dados de pagamento: quando o evento é pago, informações de cartão de crédito ou dados bancários também entram no escopo, geralmente tratados por um gateway de pagamento terceirizado, o que exige verificação de conformidade desse fornecedor.

Quais bases legais justificam a coleta de dados em um evento

A LGPD exige que toda coleta de dados tenha uma base legal específica que a justifique. Em eventos corporativos, as três mais aplicáveis são:

Consentimento

É a base legal mais usada para inscrições voluntárias e para o envio de comunicações de marketing sobre eventos futuros. O consentimento precisa ser claro, específico e registrável, ou seja, o participante precisa saber exatamente para que seus dados serão usados e ter uma forma de comprovar que concordou, geralmente por meio de uma caixa de aceite explícita no formulário de inscrição.

Execução de contrato

Quando o dado é estritamente necessário para que o serviço aconteça, como nome e e-mail para gerar o crachá e o certificado de participação, a base legal é a execução de contrato, não o consentimento. Isso significa que, mesmo sem uma caixa de aceite específica, esses dados podem ser tratados legalmente, desde que usados apenas para essa finalidade.

Legítimo interesse

Dados de segurança, como registro de entrada e saída em eventos de grande porte ou lista de presença exigida por normas de segurança do venue, podem ser tratados com base no legítimo interesse do organizador, desde que não conflitem com os direitos e liberdades do participante e sejam proporcionais à finalidade de segurança.

Responsabilidade da empresa mesmo com fornecedores terceirizados

Um erro comum de interpretação é assumir que, ao contratar uma empresa de inscrição online, uma agência de eventos ou um fornecedor de intérpretes que recebe uma lista de participantes, a responsabilidade sobre os dados se transfere integralmente para esse terceiro. Não é assim que a LGPD funciona.

A empresa que organiza o evento é, na maioria dos casos, a controladora dos dados, e os fornecedores contratados são operadores. A controladora continua responsável por garantir que os operadores tratem os dados de forma adequada, o que na prática significa: verificar se o fornecedor tem políticas de segurança da informação, incluir cláusulas de proteção de dados nos contratos de prestação de serviço, e limitar o acesso de cada fornecedor apenas aos dados estritamente necessários para a função que ele exerce no evento.

Gravação e transcrição de reuniões corporativas

Quando o evento inclui gravação de reuniões executivas para posterior transcrição de áudio, o conteúdo gravado pode conter dados pessoais e informações comercialmente sensíveis dos participantes. Fornecedores de transcrição que operam com processamento interno e política de sigilo formal, ao invés de ferramentas de IA em nuvem pública, reduzem o risco de exposição desses dados a terceiros fora do controle da empresa contratante.

Práticas de risco a evitar em eventos corporativos

• Coletar mais dados do que o necessário: pedir CPF, data de nascimento ou endereço completo em um formulário de inscrição quando esses dados não são efetivamente usados para nada no evento é uma violação do princípio de minimização de dados da LGPD.
• Compartilhar listas de participantes com patrocinadores sem consentimento específico: é comum que patrocinadores de eventos peçam acesso à lista de inscritos para ações de marketing. Isso exige consentimento específico do participante para essa finalidade, geralmente diferente do consentimento dado para participar do evento em si.
• Manter dados de eventos antigos sem prazo de retenção definido: dados de inscrição de eventos realizados há anos, mantidos indefinidamente em planilhas ou sistemas sem justificativa, representam risco desnecessário. A boa prática é definir um prazo de retenção e eliminar os dados após esse período, salvo obrigação legal de manter.
• Não ter um canal para o participante exercer seus direitos: a LGPD garante ao titular do dado o direito de solicitar acesso, correção ou exclusão das suas informações. Eventos corporativos que não têm um canal simples para isso, como um e-mail de contato de privacidade, ficam vulneráveis a reclamações formais junto à ANPD.

Dúvidas frequentes sobre LGPD e eventos corporativos

É obrigatório ter uma política de privacidade específica para o evento?

Não é uma exigência formal separada, mas é uma boa prática recomendada. O ideal é que o formulário de inscrição do evento informe claramente quais dados são coletados, para qual finalidade, por quanto tempo serão mantidos e como o participante pode exercer seus direitos, seja em um texto próprio ou vinculando à política de privacidade geral da empresa organizadora.

Posso enviar e-mails de divulgação de futuros eventos para quem se inscreveu uma vez?

Somente se o participante deu consentimento específico para esse fim no momento da inscrição. Usar o e-mail coletado para credenciamento de um evento específico, com base na execução de contrato, para enviar marketing de eventos futuros sem consentimento próprio para essa finalidade é uma prática de risco pela LGPD.

Fotos e vídeos dos participantes durante o evento também são dados pessoais?

Sim, imagem é considerada dado pessoal pela LGPD quando a pessoa é identificável. Esse tema tem tratamento específico, incluindo uso de termo de autorização de imagem, e não é o foco principal deste artigo, que trata do fluxo de inscrição e credenciamento de participantes.

Quem é o responsável legal pelos dados quando terceirizo o credenciamento do evento?

A empresa organizadora do evento normalmente permanece como controladora dos dados, mesmo terceirizando a operação de credenciamento. O fornecedor contratado atua como operador, mas a responsabilidade principal perante a LGPD e a ANPD continua sendo da empresa que organiza o evento, o que reforça a importância de contratos com cláusulas claras de proteção de dados.

Dados de acessibilidade informados na inscrição exigem cuidado extra?

Sim. Informações sobre deficiência ou necessidade de acessibilidade são classificadas como dado pessoal sensível pela LGPD, o que exige um nível de proteção mais rigoroso do que dados comuns como nome ou e-mail. O acesso a esse tipo de informação deve ser restrito apenas às pessoas da equipe que efetivamente precisam dela para providenciar o recurso de acessibilidade solicitado.

Quanto tempo a empresa pode manter os dados dos participantes após o evento?

A LGPD não define um prazo fixo universal, mas exige que o prazo de retenção seja proporcional à finalidade do tratamento. Para eventos corporativos, é comum manter dados de participantes por até 5 anos para fins fiscais e de auditoria, mas a recomendação é que cada empresa defina uma política de retenção clara e documentada, eliminando dados que não têm mais finalidade justificável.

Leia também

Transcrição de Áudio: O que É, Quando Usar e por que Qualidade Importa Mais que Velocidade

Acessibilidade em Eventos: o que a Lei Exige e o que a WST Resolve

Eventos Corporativos em São Paulo: O Guia Definitivo

Checklist prático de conformidade com a LGPD para o seu próximo evento

• Revise o formulário de inscrição: colete apenas os dados efetivamente necessários para o credenciamento e a comunicação do evento.
• Defina a base legal de cada tipo de dado coletado: separe o que é execução de contrato do que exige consentimento explícito, especialmente para marketing.
• Inclua cláusulas de proteção de dados nos contratos com fornecedores: empresas de credenciamento, intérpretes e demais prestadores que têm acesso a dados de participantes.
• Restrinja o acesso a dados sensíveis de acessibilidade: apenas à equipe que efetivamente precisa dessa informação para providenciar o recurso solicitado.
• Defina um prazo de retenção e um canal de contato de privacidade: para que participantes possam solicitar acesso, correção ou exclusão dos seus dados após o evento.

A WST trata com seriedade a proteção de dados de participantes em todos os serviços de acessibilidade e tradução que envolvem informações sensíveis. Para orientações sobre como estruturar seu próximo evento com conformidade adequada, entre em contato pelo WhatsApp.