A LGPD se aplica por inteiro ao credenciamento de eventos: nome, documento, e-mail, foto e histórico de acessos são dados pessoais, e o organizador responde por eles como controlador, mesmo quando o sistema é de um fornecedor. Na prática, cumprir a lei exige quatro coisas: coletar só o necessário, escolher a base legal certa para cada uso, contratar fornecedores que tratem dados como operadores sérios e definir, antes do evento, o que acontece com tudo depois dele.
O credenciamento é uma operação de dados
Todo evento com inscrição é, tecnicamente, um projeto de tratamento de dados pessoais. A Lei Geral de Proteção de Dados (LGPD, a lei brasileira de privacidade) organiza esse tratamento em papéis: o controlador decide por que e como os dados são tratados, e o operador trata os dados por conta do controlador. No evento, o organizador é o controlador; a plataforma de inscrição, a empresa de credenciamento e a ticketeira são operadores.
Essa distinção não é burocracia: ela define quem responde perante o participante e a autoridade. Contratar um bom fornecedor não transfere a sua responsabilidade; ela continua sendo sua, com o fornecedor respondendo junto.
Colete menos: o princípio que resolve metade do problema
A LGPD exige que o tratamento se limite ao mínimo necessário para a finalidade. Aplicado ao credenciamento, isso vira uma pergunta simples por campo do formulário: para que serve este dado neste evento?
- Nome e e-mail sustentam a inscrição e a comunicação operacional. Necessários.
- Documento de identidade se justifica quando há validação de identidade no acesso ou exigência legal. Nem todo evento precisa.
- Data de nascimento se justifica em eventos com restrição etária ou venda de álcool. Fora disso, é coleta por hábito.
- Cargo e empresa fazem sentido em congressos e feiras, onde são parte da experiência de networking.
- CPF “para cadastro” sem uso definido é o exemplo clássico de dado coletado por inércia, que só adiciona risco.
Cada campo a menos no formulário é risco a menos no evento, e de quebra melhora a taxa de conclusão da inscrição.
Base legal: consentimento não é a resposta para tudo
O reflexo comum é resolver tudo com um checkbox de consentimento. É um erro duplo: juridicamente frágil (consentimento genérico não vale) e operacionalmente ruim. A LGPD oferece dez bases legais, e o credenciamento usa bem três delas:
| Uso do dado | Base legal típica | O que exige de você |
|---|---|---|
| Inscrição e acesso ao evento | Execução de contrato | Informar com clareza no momento da coleta |
| Segurança e controle de acessos | Legítimo interesse | Registrar a avaliação desse interesse |
| Marketing pós-evento | Consentimento | Opt-in específico, separado da inscrição |
| Compartilhamento com patrocinadores | Consentimento | Opt-in próprio, nomeando o uso |
| Biometria (Face ID) | Consentimento para dado sensível | Adesão destacada e alternativa de acesso |
A regra prática: o que é necessário para o evento acontecer se apoia em contrato e legítimo interesse; o que é desejável para o seu marketing ou dos seus patrocinadores exige consentimento específico, pedido em separado e recusável sem prejuízo para o participante.
Biometria: o caso especial do reconhecimento facial
O acesso por reconhecimento facial cresceu em eventos brasileiros porque resolve filas e fraude de ingressos. Pela LGPD, porém, dado biométrico é dado pessoal sensível, com regime mais rígido. O desenho que funciona, e que aplicamos na operação:
- Face ID como opção, nunca como caminho único: sempre há alternativa por QR ou credencial física.
- Consentimento específico e destacado no momento do cadastro da foto, explicando o uso.
- Modelos biométricos eliminados após o evento, com prazo documentado no contrato com o fornecedor.
- Nenhum uso secundário da biometria: ela serve ao acesso e a nada mais.
Como funciona a tecnologia por dentro está explicado em reconhecimento facial em eventos.
O que exigir do fornecedor de credenciamento
O seu risco de LGPD mora, em grande parte, nos sistemas dos seus fornecedores. Antes de contratar, exija respostas por escrito para estas perguntas:
- Onde os dados são armazenados e quem tem acesso a eles?
- Os dados trafegam e repousam cifrados?
- Existe contrato de tratamento de dados definindo o fornecedor como operador, com finalidades e prazos?
- O que acontece com os dados após o evento, e como a eliminação é comprovada?
- Há registro de quem consultou o quê (trilha de auditoria)?
- Como o sistema opera offline sem espalhar cópias descontroladas da base?
Um fornecedor sério responde isso em um dia. Um fornecedor que hesita está dizendo algo importante. O panorama completo do ciclo de vida da informação num evento está em dados e privacidade dos participantes, junto com os critérios gerais para escolher uma empresa de controle de acesso séria.
Depois do evento: o dado também desmonta
A produção desmonta o palco, devolve os geradores e esquece a base de dados. É o erro final e o mais comum. O encerramento correto define três destinos:
- Eliminar o que cumpriu a finalidade: biometria, documentos, históricos de acesso individuais sem uso legal.
- Guardar por prazo definido o que sustenta obrigações legais, prestação de contas e relatórios, de preferência agregado e sem identificação individual quando o relatório permitir.
- Manter para relacionamento apenas os contatos com consentimento válido para marketing, num sistema com opt-out funcionando.
Esse fechamento vira uma cláusula no contrato de cada operador e um item no checklist de desmontagem, com a mesma seriedade da devolução do espaço.
Um detalhe operacional que quase toda produção esquece: os dados também circulam dentro do evento. Listas de VIPs impressas na mesa do credenciamento, planilhas compartilhadas por aplicativo de mensagens com a equipe de portaria, fotos de documentos no celular de um coordenador. Cada uma dessas cópias informais é um vazamento esperando ocasião. A regra de campo é simples: a equipe consulta o dado no sistema, com login individual, e nenhuma lista sai dele em papel ou arquivo solto.
O que a LGPD muda na prática: quase tudo para melhor
Tratada a tempo, a LGPD não encarece o evento: disciplina o formulário, enxuga a coleta, melhora a experiência de inscrição e transforma a privacidade em argumento de venda para patrocinadores e marcas globais, que já exigem esse padrão dos seus fornecedores. Tratada em cima da hora, vira retrabalho, cláusula mal negociada e risco reputacional num setor onde a confiança é o produto.
Vai credenciar um evento no Brasil e quer o desenho de dados resolvido junto com o de acessos, num sistema só? Conheça o nosso controle de acesso e credenciamento ou fale com a gente para desenhar a operação completa.