LGPD para ONGs: Guia Completo de Conformidade para OSCs

Aviso: este guia é informativo e foi elaborado a partir de fontes oficiais consultadas em 12/10/2026. Ele não substitui assessoria jurídica: a aplicação da LGPD depende do contexto de cada organização (porte, tipo de dado, público atendido, parcerias e contratos). Normas e orientações da ANPD podem ser alteradas — confira sempre a versão vigente nas fontes listadas ao final.

Pontos-Chave sobre LGPD para OSCs

• A LGPD alcança, em regra, as OSCs que tratam dados pessoais, inclusive as sem fins lucrativos. Não há uma isenção geral por porte, mas a ANPD prevê regras diferenciadas para alguns agentes de pequeno porte.
• Bases legais são hipóteses definidas em lei (arts. 7º e 11): qual delas cabe em cada tratamento deve ser analisado caso a caso.
• Dados sensíveis e dados de crianças e adolescentes pedem cautela adicional e, em geral, uma análise de risco mais cuidadosa.
• Prazos existem, mas variam conforme o direito exercido e a regulamentação aplicável: não há um "prazo único" para todo pedido de titular.
• Incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares; a regulamentação da ANPD fixa o prazo de 3 dias úteis como regra.

O que é a LGPD e por que ela importa para OSCs

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, estabelece regras sobre coleta, uso, armazenamento, compartilhamento e eliminação de dados pessoais no Brasil. Ela se aplica a pessoas físicas e jurídicas, de direito público ou privado, que realizem tratamento de dados pessoais, ressalvadas as hipóteses do seu art. 4º. Entidades sem fins lucrativos não ficam, por essa razão, fora do alcance da lei.

Organizações da Sociedade Civil (OSCs) e ONGs lidam com informações de atendidos, voluntários, doadores, parceiros e colaboradores, muitas vezes sobre situações de vulnerabilidade. Por isso, a conformidade é uma obrigação legal e também uma forma de cuidar das pessoas atendidas. Conheça a história do Nexus Social e como ele nasceu para resolver problemas de segurança no terceiro setor.

O Nexus Social é uma ferramenta que apoia a OSC na parte técnica desse trabalho. A responsabilidade pela conformidade continua sendo da organização, na condição de controladora dos dados.

Obrigações Centrais da LGPD para Sua OSC

O quadro abaixo resume pontos recorrentes. A aplicação concreta de cada um depende do tipo de tratamento e do risco envolvido.

1. Transparência e informação ao titular

A OSC deve informar de forma clara, adequada e ostensiva, entre outros pontos, a finalidade do tratamento, a forma e a duração, a identificação e o contato do controlador e com quem os dados são compartilhados (art. 9º da LGPD).

Exemplo ilustrativo: ao cadastrar um atendido, o aviso de privacidade pode explicar quais dados são coletados, para quê, por quanto tempo e com quais organizações poderão ser compartilhados. O conteúdo exato deve refletir o que a OSC realmente faz.

2. Direitos dos titulares

O art. 18 da LGPD assegura ao titular direitos como confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamento e revogação do consentimento. Há prazos diferentes: a ANPD informa que a confirmação e o acesso devem ser atendidos imediatamente e que a declaração completa (origem, critérios, finalidade e inexistência de registro) deve ser fornecida em até 15 dias; para outros pedidos, o art. 18 remete a prazos previstos em regulamento. Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 prevê prazo em dobro em algumas situações.

Exemplo ilustrativo: um atendido pede cópia dos seus dados. A OSC precisa verificar a identidade do solicitante, localizar os registros e responder dentro do prazo aplicável ao tipo de pedido, registrando o atendimento.

3. Segurança dos dados

A LGPD exige medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação (art. 46). A LGPD não impõe uma tecnologia específica: o que é adequado depende do risco. Controle de acesso por perfil, senhas individuais, autenticação em dois fatores, criptografia de dados sensíveis e trilhas de auditoria são medidas frequentemente adotadas. Veja como contas compartilhadas aumentam os riscos de segurança em ONGs e como a auditoria de acessos ajuda a demonstrar quem acessou o quê.

4. Base legal para cada tratamento

Todo tratamento precisa se apoiar em uma hipótese legal (art. 7º para dados pessoais em geral; art. 11 para dados pessoais sensíveis). Veja a seção sobre bases legais mais abaixo.

5. Registro das operações de tratamento

Controlador e operador devem manter registro das operações de tratamento (art. 37). Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 admite o registro de forma simplificada.

Exemplo ilustrativo: uma planilha ou sistema que descreva, para cada atividade, quais dados são coletados, a finalidade, a base legal, com quem são compartilhados e por quanto tempo são mantidos. Os prazos de retenção devem ser definidos pela OSC com base em obrigações legais, contratuais e na necessidade do tratamento — veja a política de retenção de dados na prática.

6. Relatório de Impacto à Proteção de Dados Pessoais (RIPD)

O RIPD é a documentação do controlador que descreve processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, com medidas de mitigação (art. 5º, XVII). A ANPD pode solicitá-lo ao controlador (art. 38). Não há, na lei, uma lista fechada de casos em que ele seja sempre obrigatório; tratamentos com dados sensíveis, de crianças e adolescentes ou em larga escala são situações em que a elaboração costuma ser recomendada como boa prática. A decisão deve ser tomada com base na avaliação de risco da própria OSC.

Encarregado (DPO) e Agentes de Pequeno Porte

O encarregado pelo tratamento de dados pessoais é a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD (arts. 5º, VIII, e 41 da LGPD). A atuação do encarregado é regulamentada pela Resolução CD/ANPD nº 18/2024, que trata, por exemplo, da indicação por ato formal, da divulgação da identidade e do contato do encarregado e das condições para o exercício da função. Ele pode ser um funcionário da organização ou uma pessoa externa, nos termos da resolução.

A regra geral é a de que o controlador indique um encarregado. A Resolução CD/ANPD nº 2/2022 prevê uma exceção: os agentes de tratamento de pequeno porte não são obrigados a indicar encarregado, mas devem disponibilizar um canal de comunicação com o titular. A resolução também diz que a indicação, ainda que não obrigatória, é considerada boa prática de governança. A Resolução nº 18/2024 mantém essa ressalva ao tratar da indicação.

Pontos de atenção:

• A resolução de 2022 define agentes de tratamento de pequeno porte de forma ampla, incluindo pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente. Nem toda OSC, porém, se enquadra.
• Ficam fora do tratamento diferenciado, entre outros, os agentes que realizam tratamento de alto risco para os titulares ou que ultrapassam os limites de receita bruta previstos na regulamentação. O alto risco é definido pela combinação de critérios gerais (por exemplo, larga escala) e específicos (por exemplo, uso de dados sensíveis ou de dados de crianças, adolescentes e idosos).
• Isso significa que uma OSC que trata dados sensíveis de famílias atendidas ou de crianças em larga escala precisa avaliar com cuidado se de fato pode invocar a dispensa. A ANPD pode, ainda, determinar o cumprimento de obrigações flexibilizadas conforme as circunstâncias.
• Quando solicitada, a organização deve comprovar o enquadramento como agente de pequeno porte.
• A dispensa de indicar encarregado não afasta as demais obrigações da LGPD, como bases legais, princípios e direitos dos titulares.

Em caso de dúvida sobre enquadramento, recomenda-se consultar a regulamentação vigente e uma assessoria jurídica especializada. O guia da ANPD sobre agentes de tratamento e encarregado ajuda a entender os papéis de controlador, operador e encarregado.

Bases Legais da LGPD com Exemplos para OSCs

O art. 7º lista as hipóteses legais para o tratamento de dados pessoais em geral. Os exemplos abaixo são ilustrativos e não indicam que determinada base seja automaticamente adequada: a escolha depende da finalidade, do contexto e deve ser documentada.

• Consentimento: manifestação livre, informada e inequívoca do titular para uma finalidade determinada. Ex.: inscrição em newsletter, autorização para uso de imagem em materiais de divulgação. Detalhes em consentimento para uso de imagem em projetos sociais. O titular pode revogá-lo a qualquer momento.
• Cumprimento de obrigação legal ou regulatória: quando uma norma exige o tratamento ou a guarda dos dados. Ex.: documentos exigidos por legislação fiscal, trabalhista ou previdenciária. Os prazos e documentos dependem da norma aplicável a cada caso.
• Execução de políticas públicas: a hipótese do art. 7º, III, é voltada à administração pública. Uma OSC que executa serviço em parceria com o poder público deve avaliar, com apoio jurídico, se e como essa hipótese se aplica ao seu caso — a mera atuação em área social não basta para invocá-la.
• Estudos por órgão de pesquisa: tratamento por órgão de pesquisa, com anonimização sempre que possível. A condição de "órgão de pesquisa" tem definição legal e deve ser verificada.
• Execução de contrato ou de procedimentos preliminares: quando o titular é parte de um contrato. Ex.: termo de adesão de voluntário, contratos com prestadores.
• Exercício regular de direitos: em processo judicial, administrativo ou arbitral. Ex.: guarda de documentos para eventual defesa.
• Proteção da vida ou da incolumidade física: do titular ou de terceiro. Ex.: contato com familiares em situação de emergência.
• Tutela da saúde: em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Legítimo interesse: do controlador ou de terceiro, desde que não prevaleçam direitos e liberdades fundamentais do titular. Exige avaliação documentada de necessidade e proporcionalidade; a ANPD possui guia orientativo sobre o tema. Não é base disponível para dados sensíveis.
• Proteção do crédito: hipótese prevista na lei e, em geral, pouco relevante para o dia a dia de uma OSC.

Dados pessoais sensíveis (art. 11)

São dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico (art. 5º, II). Seu tratamento só pode ocorrer nas hipóteses do art. 11: com consentimento específico e destacado para finalidades específicas ou, sem consentimento, nas hipóteses enumeradas no próprio artigo (como cumprimento de obrigação legal, exercício regular de direitos, proteção da vida e tutela da saúde, entre outras). Note que as hipóteses de sensíveis não são idênticas às do art. 7º. Para o contexto de famílias atendidas, veja LGPD e dados sensíveis de famílias atendidas por OSCs.

Crianças e adolescentes (art. 14)

O art. 14 determina que o tratamento de dados de crianças e de adolescentes seja realizado em seu melhor interesse. O §1º exige que o tratamento de dados de crianças seja feito com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal; o texto desse parágrafo menciona crianças, não adolescentes. Para adolescentes, o que a lei fixa no caput é o melhor interesse, e a base legal deve ser escolhida e documentada conforme o caso.

O Enunciado CD/ANPD nº 1/2023 esclarece o entendimento da ANPD de que o tratamento de dados de crianças e adolescentes pode se apoiar nas hipóteses legais dos arts. 7º ou 11, desde que observado e prevalecente o seu melhor interesse, avaliado no caso concreto. Em outras palavras: o consentimento dos pais não é a única base possível, mas qualquer base escolhida precisa respeitar o melhor interesse da criança ou do adolescente. A afirmação, muito difundida, de que "até 12 anos exige consentimento dos pais e depois dos 12 basta o do adolescente" não consta do art. 14 e não deve ser usada como regra. Veja também ética no tratamento de dados de crianças e adolescentes em OSCs.

Compartilhamento com Parceiros e Financiadores

O compartilhamento de dados pessoais é uma forma de tratamento e, portanto, também precisa de base legal, finalidade definida e transparência para o titular. Algumas boas práticas:

• Identifique se o parceiro atua como operador (trata dados em nome da OSC), como controlador próprio ou em controladoria conjunta, pois isso muda as responsabilidades.
• Compartilhe apenas o necessário para a finalidade (princípio da necessidade). Relatórios a financiadores costumam ser atendidos com dados agregados ou anonimizados, quando possível.
• Verifique se o termo de parceria, edital ou contrato exige o envio de dados identificados; nesse caso, a base legal pode ser o cumprimento de obrigação ou a execução de contrato, a depender do caso.
• Formalize as responsabilidades em contrato ou termo, incluindo medidas de segurança e comunicação de incidentes.
• Informe o titular sobre o compartilhamento (art. 9º).

Não existe resposta única para "posso compartilhar com meu financiador?": depende dos dados, da finalidade e do instrumento jurídico. Em caso de dados sensíveis ou de crianças e adolescentes, a análise deve ser ainda mais cuidadosa.

Incidentes de Segurança

O art. 48 da LGPD determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O procedimento está na Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança). Segundo a página da ANPD sobre o tema, a comunicação à ANPD e aos titulares deve ser feita pelo controlador em 3 dias úteis, ressalvada a existência de prazo previsto em legislação específica, e pode ser complementada posteriormente, de forma fundamentada, quando não houver informações completas. Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 (com a redação dada pela Resolução nº 15/2024) prevê prazo em dobro, salvo nas exceções que a própria norma estabelece.

Passos práticos, sem prejuízo da orientação jurídica:

1. Conter o incidente e preservar evidências.
2. Avaliar o risco aos titulares (categorias e quantidade de titulares, tipo de dado, existência de criptografia, presença de crianças ou dados sensíveis).
3. Se houver risco ou dano relevante, comunicar a ANPD e os titulares conforme o regulamento, e registrar o incidente e a avaliação feita.
4. Acionar operadores e parceiros envolvidos e revisar as medidas para evitar recorrência.

Em ransomware, phishing e outras ameaças à segurança de OSCs há exemplos de cenários comuns no terceiro setor.

Sanções Administrativas

A ANPD pode aplicar sanções administrativas previstas no art. 52 da LGPD, entre elas advertência, multa simples, publicização da infração, bloqueio ou eliminação dos dados e suspensões ou proibições parciais ou totais de atividades de tratamento. A aplicação é graduada conforme critérios como a gravidade da infração, a boa-fé, a condição econômica do infrator, a reincidência e a adoção de boas práticas e medidas de segurança. Os limites de multa, a forma de cálculo e o procedimento estão na lei e na regulamentação de dosimetria da ANPD; consulte a norma vigente para o seu caso. A lei também prevê a responsabilização civil por danos causados aos titulares (art. 42), que independe das sanções da ANPD.

Checklist de Conformidade LGPD para OSCs

Use esta lista como ponto de partida para um diagnóstico interno. Ela não é exaustiva. Para uma versão focada em editais e auditorias, veja o checklist de LGPD para OSCs.

• Aviso/política de privacidade acessível aos titulares
• Mapeamento dos dados tratados, finalidades e bases legais
• Registro das operações de tratamento
• Canal e procedimento para atender os direitos dos titulares
• Definição sobre o encarregado (indicação ou avaliação documentada do enquadramento como agente de pequeno porte) e canal de contato divulgado
• Avaliação de necessidade de RIPD para tratamentos de maior risco
• Medidas de segurança técnicas (controle de acesso, criptografia, backup) e administrativas (treinamento, políticas)
• Cuidados específicos para dados sensíveis e de crianças e adolescentes
• Plano de resposta a incidentes
• Critérios de retenção e eliminação de dados
• Contratos e termos com operadores e parceiros prevendo proteção de dados

O Nexus Social oferece recursos técnicos que apoiam parte desses itens, como controle de acesso por perfil, trilha de auditoria e isolamento de dados por organização. Eles não substituem a análise jurídica nem as decisões de governança da OSC.

Como o Nexus Social Apoia a Conformidade

O Nexus Social é uma plataforma de gestão de organizações sociais que inclui recursos técnicos relacionados à proteção de dados. Entenda a tecnologia do Nexus Social e como ela trata segurança:

• Criptografia de campos sensíveis - dados como CPF e documentos são armazenados criptografados
• Isolamento por organização (Row Level Security) - separação dos dados de cada organização no banco de dados
• Trilha de auditoria - registro das alterações realizadas no sistema
• Controle de acesso por perfil - papéis e permissões por usuário
• Registro de consentimentos - apoio ao registro e à gestão de consentimentos de titulares

Esses recursos ajudam na parte técnica; a definição de bases legais, de prazos de retenção, a nomeação (ou dispensa justificada) de encarregado e as respostas a titulares e à ANPD continuam sendo decisões da OSC.

Glossário de Termos LGPD

• Titular - pessoa natural a quem se referem os dados pessoais (atendido, voluntário, doador)
• Controlador - quem toma as decisões sobre o tratamento de dados pessoais (em regra, a OSC)
• Operador - quem trata dados em nome do controlador (ex.: fornecedor de sistema, provedor de nuvem)
• Dado pessoal - informação relacionada a pessoa natural identificada ou identificável
• Dado pessoal sensível - dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, genético ou biométrico
• Base legal - hipótese prevista nos arts. 7º ou 11 que autoriza o tratamento
• Consentimento - manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para uma finalidade determinada
• Encarregado (DPO) - pessoa indicada pelo controlador para atuar como canal de comunicação com titulares e ANPD
• ANPD - Agência Nacional de Proteção de Dados (autarquia de natureza especial, nos termos do art. 55-A da LGPD; antes da Lei nº 15.352/2026, o nome era Autoridade Nacional de Proteção de Dados)
• RIPD - Relatório de Impacto à Proteção de Dados Pessoais
• Tratamento - toda operação com dados pessoais (coleta, armazenamento, consulta, uso, compartilhamento, eliminação)
• Incidente de segurança - evento adverso que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais

Perguntas Frequentes

Minha OSC precisa se adequar à LGPD?

Em regra, sim: a LGPD se aplica a quem trata dados pessoais, inclusive entidades sem fins lucrativos, ressalvadas as hipóteses do art. 4º. Não há isenção geral por porte, mas a ANPD prevê regras simplificadas para alguns agentes de tratamento de pequeno porte, desde que atendidos os requisitos da Resolução CD/ANPD nº 2/2022.

Minha OSC precisa de um encarregado (DPO)?

A regra geral é a indicação de encarregado (art. 41 da LGPD). A Resolução CD/ANPD nº 2/2022 dispensa a indicação para agentes de tratamento de pequeno porte, que devem, mesmo assim, oferecer um canal de comunicação com o titular. A dispensa não vale para quem realiza tratamento de alto risco ou ultrapassa os limites de receita previstos na norma, e a indicação voluntária é vista como boa prática. Como o enquadramento depende dos fatos, vale confirmá-lo com assessoria jurídica.

Quais são as sanções previstas na LGPD?

O art. 52 prevê advertência, multa simples, publicização da infração, bloqueio ou eliminação de dados e suspensões ou proibições de atividades de tratamento, aplicadas de forma graduada. Os valores e o procedimento constam da lei e da regulamentação da ANPD; consulte a norma vigente.

Qual é o prazo para responder a um titular?

Depende do pedido. A ANPD informa que a confirmação de tratamento e o acesso devem ser atendidos imediatamente e que a declaração completa deve ser fornecida em até 15 dias; para outros direitos, o prazo é o previsto em regulamento. Agentes de pequeno porte podem ter prazo em dobro em algumas hipóteses. Registre sempre a data do pedido e da resposta.

Dados de crianças e adolescentes são tratados de forma diferente?

Sim. O art. 14 exige que o tratamento de dados de crianças e de adolescentes seja feito em seu melhor interesse. Para dados de crianças, o §1º exige consentimento específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal. Segundo o Enunciado CD/ANPD nº 1/2023, outras bases dos arts. 7º ou 11 também podem ser usadas, desde que prevaleça o melhor interesse, avaliado no caso concreto.

Posso compartilhar dados com parceiros e financiadores?

Pode, desde que haja base legal, finalidade definida, necessidade e transparência para o titular. Prefira dados agregados ou anonimizados quando atenderem à finalidade, verifique o que o instrumento da parceria realmente exige e formalize responsabilidades e medidas de segurança em contrato ou termo.

O que fazer em caso de incidente de segurança?

Conter o incidente, avaliar o risco aos titulares, registrar o ocorrido e, havendo risco ou dano relevante, comunicar a ANPD e os titulares nos termos da Resolução CD/ANPD nº 15/2024, cuja regra geral é o prazo de 3 dias úteis. Busque apoio jurídico e técnico imediatamente.

O Nexus Social substitui a necessidade de um encarregado ou de assessoria jurídica?

Não. O Nexus Social é uma ferramenta que apoia aspectos técnicos da conformidade. A responsabilidade legal permanece com a organização, e as decisões jurídicas e de governança devem ser tomadas por ela, com orientação especializada.

---

Quer ver como um sistema de gestão pode apoiar a parte técnica da proteção de dados na sua OSC? Fale com a equipe do Nexus Social para conversar sobre recursos e demonstração.

---

Fontes e Referências

Consultadas em 12/10/2026. Os artigos da LGPD citados foram conferidos no texto consolidado da lei publicado pela Câmara dos Deputados, que incorpora as alterações até a Lei nº 15.352/2026. Os prazos e a numeração das resoluções da ANPD devem ser conferidos nas versões vigentes dos textos oficiais.

• Lei nº 13.709/2018 (LGPD) — Planalto — texto legal (arts. 5º, 7º, 9º, 11, 14, 18, 19, 37, 38, 41, 42, 46, 48 e 52)
• Lei nº 13.709/2018 — texto atualizado, Câmara dos Deputados (PDF) — mesmo texto, com as alterações até a Lei nº 15.352/2026
• Resolução CD/ANPD nº 2/2022 — Agentes de tratamento de pequeno porte — definição, hipóteses de exclusão, prazo em dobro e dispensa de indicação de encarregado (vigente com alterações da Resolução nº 15/2024)
• Resolução CD/ANPD nº 18/2024 — Atuação do encarregado — Diário Oficial da União
• Resolução CD/ANPD nº 15/2024 — Comunicação de incidente de segurança — Diário Oficial da União
• Enunciado CD/ANPD nº 1/2023 — Crianças e adolescentes e bases legais — Diário Oficial da União
• ANPD — Regulamentações — lista de atos normativos e situação de vigência
• ANPD — Incidente de segurança — orientações e prazo de 3 dias úteis
• ANPD — Direitos dos titulares — direitos e prazos de atendimento
• ANPD — Guia orientativo sobre agentes de tratamento e encarregado — papéis e responsabilidades
• ANPD — Guia orientativo de segurança da informação para agentes de pequeno porte — medidas mínimas de segurança
• ANPD — Guia orientativo sobre legítimo interesse — hipóteses legais e legítimo interesse
• Site oficial da ANPD — regulador e fiscalizador da LGPD