Formulário de inscrição de evento: que dados pedir e o que a LGPD prevê

Pedir menos: finalidade e necessidade no art. 6º

O art. 6º lista os princípios que todo tratamento observa. Três deles alcançam diretamente a montagem do formulário. Pelo da finalidade, o dado é tratado para um propósito legítimo, específico, explícito e informado ao titular, sem uso posterior incompatível com ele (inciso I). Pelo da necessidade, o tratamento fica no mínimo necessário para essa finalidade, com dados pertinentes, proporcionais e não excessivos (inciso III). Pelo da transparência, o titular recebe informação clara, precisa e de fácil acesso sobre o tratamento e sobre quem o faz (inciso VI).

A lei não diz quais campos um formulário de evento pode ter. Ela não proíbe nem exige CPF, empresa ou cargo: cada campo se mede pela finalidade declarada. A aplicação do princípio da necessidade a outro tipo de cadastro, o da loja virtual, está no texto sobre personalização sem coleta excessiva de dados. A pergunta sobre recursos de acessibilidade, que muitos eventos fazem na inscrição, tem orientação própria no texto sobre acessibilidade em evento presencial.

Com que base legal o evento usa os dados da inscrição?

O art. 7º da LGPD admite o tratamento de dados pessoais só nas hipóteses que lista, chamadas de bases legais. Na leitura do ConnectWeek, quatro costumam aparecer na conversa sobre eventos: o consentimento do titular (inciso I), o cumprimento de obrigação legal ou regulatória (inciso II), a execução, quando necessária, de contrato ou de procedimentos preliminares de contrato de que o titular é parte, a pedido dele (inciso V), e o legítimo interesse do controlador ou de terceiro, quando necessário, salvo se os direitos e as liberdades fundamentais do titular que pedem a proteção dos dados pessoais prevalecerem (inciso IX). Quando a base é o legítimo interesse, o art. 10, § 1º, limita o tratamento aos dados estritamente necessários. A lei não diz qual hipótese serve a cada uso dos dados de um evento.

Se a base escolhida for o consentimento, ele precisa ser uma manifestação livre, informada e inequívoca para uma finalidade determinada (art. 5º, XII). O art. 8º acrescenta que autorizações genéricas são nulas (§ 4º) e que o titular pode revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado (§ 5º). Para esse caso, a Sympla orienta o organizador a configurar como opcional o termo de responsabilidade que leva a declaração de privacidade, desmarcando "Campo de preenchimento obrigatório", e deixar opcionais também os campos personalizados. Com outras bases, como o legítimo interesse, a obrigação legal ou a execução de contrato, a página da Sympla diz que nada disso precisa ser opcional.

Dado sensível segue o art. 11. Quando a base é o consentimento, o titular ou o responsável legal precisa consentir de forma específica e destacada, para finalidades específicas (inciso I). Sem consentimento, só nas hipóteses do inciso II em que o tratamento for indispensável, como cumprir obrigação legal, exercer direitos em contrato ou processo e proteger a vida ou a incolumidade física do titular ou de terceiro. A orientação da Sympla para o formulário é pedir dado sensível só com consentimento expresso e em campo opcional, para que a recusa não impeça o acesso ao evento.

Para crianças e adolescentes, o art. 14 manda tratar os dados no melhor interesse deles. Para dados de crianças, o § 1º fala em consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, e o § 3º admite a coleta sem esse consentimento para contatar os pais ou o responsável, uma única vez e sem armazenamento, ou para proteger a criança; em nenhum dos dois casos os dados podem ser repassados a terceiro sem aquele consentimento. A Agência Nacional de Proteção de Dados (ANPD, nome usado no art. 5º, VIII, na redação dada pela Lei nº 15.352, de 2026), no Enunciado CD/ANPD nº 1, publicado no Diário Oficial da União de 24 de maio de 2023, fixou que esse tratamento pode usar as hipóteses do art. 7º ou do art. 11, desde que o melhor interesse seja observado e prevaleça, com avaliação no caso concreto.

O que o participante precisa saber antes de enviar o formulário

O art. 9º dá ao titular o direito de acesso facilitado, de forma clara, adequada e ostensiva, a informações sobre o tratamento, entre elas as sete que os incisos listam: a finalidade específica do tratamento; a forma e a duração; a identificação do controlador; o contato dele; o uso compartilhado dos dados e a finalidade desse compartilhamento; as responsabilidades de quem vai tratar os dados; e os direitos do titular, com menção expressa aos do art. 18. Quando o tratamento dos dados é condição para o fornecimento do serviço (no evento, a inscrição), o § 3º manda informar isso com destaque, junto com os meios de exercer esses direitos.

Na Sympla, o aviso pode ir em dois lugares, segundo o artigo sobre transparência: uma declaração de privacidade dentro do campo de termo de responsabilidade do formulário, ou o mesmo texto na descrição do evento. A página lista recomendações para esse texto e traz três modelos de declaração. Entre as recomendações estão: dizer se os dados vão para terceiros, como patrocinadores e fornecedores, e com que finalidade; informar por quanto tempo ficam guardados e que medidas de segurança os protegem; e oferecer um meio para o participante exercer direitos e tirar dúvidas. Os modelos completos ficam na página da Sympla.

Se o patrocinador recebe a lista de inscritos como controlador, há regra própria quando a base é o consentimento: o controlador que obteve o consentimento (no exemplo, o organizador) e precisa comunicar ou compartilhar os dados com outros controladores obtém do titular consentimento específico para isso, salvo as dispensas previstas na lei (art. 7º, § 5º).

Até quando guardar a lista de inscritos e o que o participante pode pedir

A LGPD não fixa um número de dias. O art. 15 diz que o tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários, quando acaba o período de tratamento, por comunicação do titular, inclusive ao revogar o consentimento, resguardado o interesse público, ou por determinação da autoridade nacional (a ANPD), em caso de violação da lei. Terminado o tratamento, o art. 16 manda eliminar os dados e permite conservá-los em quatro casos, entre eles o cumprimento de obrigação legal ou regulatória e o uso exclusivo do controlador, sem acesso de terceiro, com os dados anonimizados, isto é, sem que o titular possa ser identificado pelos meios técnicos razoáveis disponíveis no tratamento (art. 5º, III).

O art. 18 dá ao inscrito o direito de pedir ao controlador, entre outros pontos, a confirmação de que há tratamento, o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a eliminação dos dados tratados com consentimento (salvo os casos do art. 16), a informação sobre a possibilidade de não consentir e as consequências da recusa, e a revogação do consentimento. O § 1º permite ao titular peticionar contra o controlador na ANPD, e o § 8º permite fazer o mesmo nos organismos de defesa do consumidor.

Mandar novidades e campanhas à lista depois do evento depende do que foi informado na inscrição: o art. 6º, I, veda o tratamento posterior incompatível com a finalidade informada ao titular. O uso dos contatos depois do evento é assunto do texto sobre o follow-up nos 30 dias depois do evento. A planilha exportada da plataforma também entra na conta: o art. 5º, X, inclui armazenamento, transferência e eliminação na definição de tratamento, e a cópia guardada no computador da organização continua sendo dado pessoal dos inscritos.