Empresário de restaurante costuma achar que LGPD é assunto de banco, plano de saúde, fintech. Coisa grande, longe da realidade de quem serve marmita ou monta cardápio de delivery. Só que não é assim.
Cada pedido que entra pelo iFood traz nome, telefone e endereço do cliente. Cada câmera de segurança no salão grava rosto de gente que nem sabe que está sendo filmada. Cada cadastro de fidelidade guarda data de aniversário pra puxar promoção depois. Isso tudo é dado pessoal, e cada um desses pontos tem uma regra específica que a maioria dos restaurantes em Blumenau e no Vale do Itajaí ainda não aplicou.
iFood, Rappi, Uber Eats: de quem é o dado do cliente que chegou pelo app?
Quando o pedido vem pela plataforma, o app é controlador da própria base de usuários. Mas o restaurante também trata esse dado assim que recebe nome, telefone e endereço na tela do gestor de pedidos. Cada parte responde pela sua fatia.
Nossa leitura: o erro mais comum é pegar o contato que veio pra completar um pedido e jogar direto numa lista de disparo de WhatsApp promocional. Isso é desvio de finalidade. O cliente autorizou o uso do telefone pra receber notificação sobre o pedido dele, não pra virar leitor de cupom de terça-feira. Se quiser usar esse contato pra outra coisa, precisa de consentimento novo e específico, conforme o art. 7º da Lei.
Câmera no salão: pode gravar, mas não do jeito que a maioria grava hoje
Câmera de segurança tem base legal, geralmente legítimo interesse. O problema não é ter câmera. É não avisar, não ter prazo de guarda definido e não saber quem acessa a gravação.
Na prática: visitamos dezenas de estabelecimentos na região e a regra é câmera rodando há anos, sem aviso visível na entrada e sem política de retenção. Isso é passivo, não é detalhe.
- Aviso claro na porta: "ambiente monitorado por câmeras"
- Prazo de retenção definido, algo como 15 a 30 dias, e depois apaga
- Acesso restrito: só quem precisa investigar ocorrência vê a gravação
- Câmera focada em segurança, não em fiscalizar funcionário o turno inteiro
Cliente avisou que é celíaco ou alérgico? Isso é dado sensível, não anotação de garçom
Restrição alimentar e alergia são dado de saúde. Entram na categoria de dado sensível do art. 5º, inciso II, e exigem cuidado redobrado no tratamento, conforme o art. 11.
Falando sério: se essa informação fica anotada num post-it na cozinha ou numa planilha aberta que todo funcionário acessa, o restaurante está expondo dado sensível sem necessidade. Restrinja o acesso a quem realmente precisa preparar o prato.
Lista de aniversariante: o clássico que quase todo restaurante erra
Cadastrar data de nascimento pra mandar cupom de aniversário é prática comum. O problema é quando essa coleta some dentro do cadastro geral, sem o cliente saber que vai virar disparo de marketing meses depois.
- Separe o campo: "aceito receber promoção de aniversário por WhatsApp"
- Deixe opt-out fácil, um link ou uma resposta simples cancela
- Não reaproveite a data de nascimento pra outra finalidade sem avisar
Fornecedor e motoboy autônomo também são titulares
CPF de motoboy MEI, dado bancário pra pagamento, ficha de fornecedor pessoa física: tudo isso também é dado pessoal protegido pela Lei. A base legal aqui costuma ser execução de contrato, mas isso não autoriza deixar a planilha com acesso liberado pra qualquer funcionário do financeiro.
Encarregado não precisa ser cargo caro, mas precisa existir
O art. 41 exige que todo controlador tenha um encarregado, o DPO. Pra restaurante pequeno, isso pode ser o próprio dono ou um sócio responsável, sem contratar profissional dedicado. A Resolução CD/ANPD nº 2/2022 dá regime simplificado pra microempresa, EPP e pequeno negócio, com menos formalidade de registro.
O que não muda é o prazo: se um cliente pedir acesso, correção ou exclusão do dado dele, a resposta tem que sair em até 15 dias, conforme o art. 19. E a multa por infração vai até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A ANPD aplica sanção administrativa desde agosto de 2021, e o setor de alimentação já está no radar por causa do volume de dado que passa por delivery.
O que fazer nas próximas duas semanas
- Mapear onde entra dado de cliente: balcão, app de delivery, cadastro de fidelidade, câmera
- Colocar aviso de câmera na entrada e definir prazo de retenção da gravação
- Separar o consentimento de promoção de aniversário do cadastro comum de pedido
- Restringir quem acessa informação de alergia ou restrição alimentar
- Nomear um encarregado, mesmo que seja o próprio dono, e ter um e-mail de contato pro cliente exercer direito
- Revisar contrato com motoboy e fornecedor pessoa física quanto a dado bancário e CPF
Nenhum desses ajustes exige sistema caro ou consultoria de meses. Exige olhar pra rotina do restaurante e corrigir o que já está errado há tempo.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
