A pergunta chega sempre na mesma ordem. Primeiro a área de negócio quer o dado. Depois o jurídico pergunta se pode. E aí alguém responde "é público, então pode", que é a resposta errada mais comum sobre LGPD no Brasil.
Este texto organiza o que costuma ser perguntado e como isso aparece no desenho técnico da coleta. Não é parecer jurídico. É o roteiro de engenharia que a gente leva para a mesa quando o jurídico entra na conversa, e a decisão final é sempre do jurídico do cliente.
O Erro de Partida: "É Público, Logo É Livre"
Dado de acesso público continua sendo dado pessoal quando identifica ou torna identificável uma pessoa natural. A LGPD não deixa de valer porque a informação está num portal aberto.
O que muda é uma coisa específica e limitada: para dados tornados manifestamente públicos pelo próprio titular, a lei dispensa a exigência de consentimento, e faz questão de ressalvar, na mesma frase, que os direitos do titular e os princípios da lei continuam valendo.
Dispensa de consentimento não é dispensa de base legal, e muito menos dispensa de finalidade. É por isso que "é público" nunca encerra a discussão.
Os Dois Pontos Que o Jurídico Sempre Levanta
1. A finalidade que justificou a divulgação limita o uso
A lei manda considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização daquele dado. Traduzindo para a prática: o Diário Oficial publica um ato para dar publicidade a um ato administrativo. Isso não converte a publicação em matéria-prima livre para qualquer uso.
O teste operacional é direto: a sua finalidade é compatível com o motivo pelo qual aquilo foi tornado público? Verificar a regularidade de um fornecedor com quem você vai contratar costuma passar nesse teste com folga. Montar uma base para revender costuma não passar.
2. Dado público não vira dado anônimo por agregação
Cruzar cinco fontes públicas pode produzir um perfil que nenhuma delas continha sozinha. O resultado do cruzamento é tratamento de dado pessoal, e responde por isso, inclusive quando cada peça, isolada, era pública.
Isso importa no desenho: quanto mais o projeto cruza fontes, mais o jurídico precisa ver a finalidade escrita antes, e não depois.
Onde Isso Aparece no Desenho Técnico
A conformidade não nasce de um termo assinado no fim. Ela nasce de decisões de arquitetura tomadas antes da primeira linha de código.
Fronteira da origem
Somente fontes públicas oficiais e dados fornecidos pelo próprio cliente. Sem base própria de terceiros e sem revenda de cadastro. Essa é a decisão que sustenta todo o resto: quando a origem é uma base comprada, a procedência de cada campo vira impossível de auditar.
Minimização vira contrato de coleta
O escopo lista os campos que voltam. Coletar o portal inteiro "porque já estamos lá" é o oposto do princípio da necessidade. Campo que ninguém usa não deveria ser coletado.
Finalidade vira configuração, não intenção
A finalidade fica escrita no escopo, junto com a fonte, os campos, a frequência e o destino. Quando alguém pedir para usar aquele dado para outra coisa, isso é uma mudança de escopo, visível e não silenciosa.
Rastreabilidade por entrega
Log de cada entrega, com data, fonte e retorno. É o que permite responder, meses depois, exatamente o que foi coletado, de onde e quando. Sem isso não existe prestação de contas possível.
Segregação e transporte
Credencial exclusiva por cliente e tráfego cifrado com TLS 1.3. Credencial compartilhada mistura o rastro de clientes diferentes, o que é um problema de segurança antes de ser um problema de bloqueio.
O Que Fica Fora, e Por Quê
Três categorias exigem tratamento mais restritivo do que uma coleta operacional comporta:
E, por definição de escopo: nada disso é verificação de antecedentes, prova de identidade ou score de crédito. Esse é o produto de um bureau, com regulação e responsabilidades próprias. Aqui o serviço é engenharia de coleta sobre fonte pública.
Papéis: Quem É Controlador e Quem É Operador
A confusão aqui atrasa contrato com frequência.
Quem define a finalidade e o meio do tratamento é controlador. Quem trata em nome do controlador, seguindo as instruções dele, é operador.
No arranjo típico de uma coleta contratada, a empresa que contrata define para que quer o dado: ela é controladora. O fornecedor executa a coleta conforme o escopo definido e atua como operador.
Isso não é detalhe formal: define quem responde ao titular, quem responde à autoridade e o que precisa estar escrito no contrato. Vale acertar antes do piloto, não depois.
O Checklist Que Costuma Destravar a Aprovação
Se o projeto está parado no jurídico
Se o seu projeto está parado no jurídico, o gargalo raramente é a lei. É a ausência de finalidade escrita e de origem nomeada, as duas coisas que o escopo de coleta resolve antes de qualquer robô subir.
Para levar essa conversa pronta ao jurídico, comece escrevendo, para cada campo, qual decisão de negócio ele alimenta. Campo sem decisão associada não deveria estar na lista.