LGPD para academias: quais dados podem ser coletados?

O que é a lgpd e por que é fundamental para academias

Para oferecer um treino personalizado é preciso conhecer o aluno. Isso implica saber desde o seu nome, medidas corporais, até histórico médico, por exemplo. No entanto, segundo a LGPD para academias, todos os responsáveis pelo tratamento de informações pessoais devem seguir processos adequados à Lei para proteger os dados dos clientes.

A Lei n° 13.709, ou Lei Geral de Proteção de Dados, é uma legislação brasileira que tem como referência o Regulamento Geral de Proteção de Dados (GDPR), criado pela União Europeia, desenvolvida para regular as atividades de tratamento de dados pessoais. Seu objetivo é oferecer segurança jurídica, proteger a privacidade e garantir transparência de dados de pessoas físicas.

Sancionada em agosto de 2018 – entrando em vigor dois anos depois, em setembro de 2020, a Lei Geral de Proteção de Dados criou diretrizes para que as organizações de qualquer porte e segmento possam fazer o uso, proteção, coleta e tratamento de dados pessoais de forma a proteger essas informações.

Por que academias precisam se preocupar com a lgpd

Dados financeiros, cadastros de clientes e formulários em sites e aplicativos são alguns exemplos de informações que circulam no dia a dia das academias, boxes de CrossFit e studios. Por isso, a Lei Geral de Proteção de Dados, mais conhecida como LGPD, também é aplicável às empresas do ramo fitness.

O descumprimento da Lei pode levar a organização a receber desde advertência até penalizações que podem chegar a 2% do faturamento da empresa – limitado a R$ 50 milhões por infração. No entanto, a necessidade da conformidade vai muito além do não pagamento de multas. Proteger os dados pessoais significa garantir a segurança para os alunos.

A quem a lgpd se aplica

A LGPD deve ser cumprida por toda e qualquer empresa que coleta, armazena, trata ou compartilha informações de pessoas no Brasil – independentemente do seu porte, segmento ou classificação jurídica. A Lei n° 13.709 aplica-se a qualquer pessoa natural ou jurídica, independentemente da nacionalidade, que faça uso, proteção, coleta e tratamento de dados pessoais para fins comerciais.

Definição de dados pessoais

De acordo com essa Lei, dados pessoais são todas as informações que possam identificar direta ou indiretamente alguém, como: nome, RG, CPF, gênero, data e local de nascimento, telefone, endereço, localização via GPS, foto/imagem, prontuário de saúde, cartão bancário, renda, histórico bancário, hábitos de consumo, endereço de IP, cookies, entre outros.

Aplicabilidade no setor fitness

Para confirmar a aplicabilidade da LGPD às academias, é necessário ter em mente duas premissas:

• A LGPD define como dado pessoal qualquer informação que identifica diretamente ou torne identificável uma pessoa natural
• A Lei designa como tratamento de dados qualquer operação de coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação

Com base nesses pressupostos, é fácil constatar a aplicabilidade da LGPD às academias de ginástica, studios, boxes de CrossFit, entre outros, já que a rotina de todas essas operações está integralmente ligada ao tratamento de dados pessoais.

Exceções à lgpd

Existem algumas exceções para a aplicação da LGPD. São os casos de fins jornalísticos, artísticos, de segurança pública, defesa nacional, segurança do Estado, investigação ou repressão de infrações penais. Informações de pessoas de fora do Brasil e que não sejam objetos de transferência internacional também não são protegidas pela Lei Geral de Proteção de Dados.

Como a lgpd afeta a rotina das academias

Desde os profissionais da recepção até os professores – praticamente todas as pessoas que trabalham em uma academia são responsáveis pelo tratamento de dados em processos de cadastro, contrato, avaliação médica e anamnese, fichas de treino, entre outros.

Jornada do cliente e tratamento de dados

Desde o primeiro contato, o cliente (pessoa natural) é obrigado a informar seus dados para realizar sua matrícula, passando pela coleta de dados sensíveis como a biometria e fotografia, bem como informações de saúde através de avaliações físicas, preenchimento de formulários disponíveis em sites e aplicativos, eventual divulgação de fotos em ações de marketing e redes sociais e, por fim, o armazenamento dos dados quando a pessoa deixa a unidade e passa a ser um ex-cliente.

Principais mudanças necessárias

Além disso, as ferramentas, aplicativos e sistemas como o de biometria, reconhecimento facial, gestão administrativa e financeira, por exemplo – assim como as empresas que promovem essas soluções para uma academia, também são responsáveis pela proteção das informações.

Isso significa que todas essas atividades devem ser revisitadas para que estejam de acordo com as normas criadas pela LGPD:

1. Coleta de dados pessoais

A LGPD exige que apenas os dados necessários para a realização da atividade sejam solicitados pela empresa. Se tiver alguma informação que não seja utilizada no contrato ou contato com o aluno, a indicação é não solicitar. Além disso, esses dados devem ser armazenados de forma confidencial, garantindo sua privacidade.

2. Solicitação de consentimento

Outra premissa prevista pela Lei é que as empresas obtenham o consentimento documentado dos seus clientes para tratamento dos dados pessoais. Eles devem ser informados sobre como, quando e por quais motivos suas informações serão tratadas e, a partir disso, devem concordar de forma voluntária com essas atividades.

3. Segurança de informações

A Lei também exige que as empresas implementem planos de ação, com medidas de segurança para proteger os dados contra acessos não autorizados ou vazamentos. Vale avaliar se todos os profissionais da sua academia precisam ter acesso a todos os dados pessoais dos alunos.

4. Direitos dos titulares

A qualquer momento, de acordo com a LGPD, os titulares dos dados pessoais podem solicitar suas informações para corrigi-las, excluí-las ou simplesmente se opor ao tratamento em alguma ocasião – como a foto em peças publicitárias ou de comunicação, por exemplo.

Tipos de dados que academias podem coletar

Qualquer dado pessoal pode ser coletado – desde que haja justificativa consistente para o seu uso, garantindo a privacidade e segurança dos seus clientes. Ou seja, caso perceba que alguma informação dos seus alunos não está sendo usada para qualquer fim – como sua orientação sexual, religiosa ou características físicas, por exemplo – ela não deve ser solicitada.

Dados pessoais básicos

São as informações básicas que identificam o cliente: nome, telefone, e-mail, RG, CPF, data de nascimento e informações de contato de emergência, por exemplo.

Histórico médico

Em geral, para realizar avaliações e sugerir treinos personalizados de acordo com as necessidades e limitações dos alunos, são solicitados dados médicos. Eles envolvem: alergias, lesões, condições de saúde, doenças, influências hereditárias, entre outros.

Dados biométricos

Algumas academias usam sistemas de biometria para identificação e controle de acesso dos clientes. Conforme abordamos anteriormente, tanto a academia, quanto a empresa fornecedora do software são responsáveis pela proteção dos dados pessoais dos alunos, neste caso.

Fotos em ações de comunicação e marketing

É muito comum que as academias publiquem fotos e vídeos de seus alunos para promover a academia – seja nos seus perfis de redes sociais ou como forma de compartilhamento. No entanto, para o uso de qualquer imagem, é preciso que haja o consentimento explícito dos clientes, os quais têm o direito de concordar ou recusar com o uso de imagem para fins de divulgação da academia.

Dados de menores de idade

Algumas academias permitem o atendimento a alunos menores de idade. Neste caso, o consentimento também deve ser obtido por meio dos seus pais ou responsáveis legais, para a coleta e tratamento de qualquer tipo de dado pessoal.

Como adaptar sua academia às exigências da lgpd

Apesar de parecerem adaptações burocráticas que, em alguns casos, devem exigir algum tipo de investimento, adequar os processos da academia à LGPD é mais do que uma obrigação legal, é também a garantia de segurança para os seus alunos.

1. Diagnóstico completo dos dados

O primeiro passo é um diagnóstico detalhado e completo sobre todos os dados pessoais tratados nas atividades de uma academia, além das pessoas responsáveis por esse tratamento.

Algumas perguntas como: “Esse dado é realmente necessário?”, “Tal pessoa precisa ter acesso a essa informação?” ou “Tenho o consentimento documentado do aluno para o tratamento desse dado pessoal?” devem ser respondidas nesta etapa.

2. Registro e documentação

O armazenamento e registro das coletas, consentimentos e informações pessoais tratadas por uma empresa também são requisitos da LGPD. Isso é ainda mais importante no caso de auditorias e solicitações de acesso aos dados por parte dos titulares. A academia pode ser obrigada pela Lei a fornecer as informações nesses casos.

3. Implementação de medidas de segurança

O cuidado com o armazenamento e tratamento de dados pessoais é responsabilidade da empresa que os coletou. Por isso, a academia deve criar procedimentos e protocolos para garantir a segurança dessas informações contra crimes cibernéticos e vazamentos – cada vez mais comuns.

4. Atualização da política de privacidade

Por ser uma Lei relativamente nova no país, é muito provável que haja a necessidade de reformular todos os processos e política de privacidade interna e externa, para que a academia esteja em conformidade com a LGPD.

5. Treinamento da equipe

Vale reforçar que não são apenas os dados pessoais dos alunos que precisam ser protegidos. Os colaboradores, parceiros e demais stakeholders também estão envolvidos nesta Lei. Além de comunicados, os profissionais devem ser treinados para abordarem os dados pessoais com segurança.

6. Nomeação do encarregado de proteção de dados (dpo)

Deverá ser nomeado um Encarregado de Proteção de Dados (DPO – Data Protection Officer), pessoa física ou jurídica, para ser a interface da sua organização com a Agência Nacional de Proteção de Dados (ANPD).

Segurança digital para academias: os 4 pilares fundamentais

Há quem diga que “dados são o mais novo petróleo”, considerando a relevância desse tipo de informação, principalmente para a tomada de decisão nas empresas. No entanto, o valor dos dados está justamente no saber usá-los, seja para o bem ou para o mal. E é exatamente por conta dessa dualidade que, cada vez mais, precisamos nos especializar na segurança digital para academias.

Conceito de segurança digital

Segurança digital – também chamada de segurança da informação – trata-se de um conjunto de práticas, medidas e ferramentas adotadas para proteger informações trabalhadas em meios digitais. Estamos falando nos mais diversos tipos de dispositivos, desde o celular até sistemas ou arquivos.

Os 4 pilares da segurança digital

Para garantir a segurança digital, destacamos quatro pilares fundamentais:

1. Confidencialidade

Que, basicamente, são as práticas e políticas para garantir o “segredo” de informações importantes para as empresas. Dentro de um ambiente de academia, por exemplo, os dados pessoais dos alunos não devem ser compartilhados para nenhum outro fim a não ser o cadastro e criação de planos personalizados.

2. Integridade

Significa trabalhar com informações verdadeiras, o tempo todo! Ou seja, não alterar nenhum tipo de dado de forma indevida, intencional ou acidental. No caso de uma academia, por exemplo, a integridade dos registros financeiros de mensalidades, pagamentos de profissionais ou outros serviços é fundamental para evitar fraudes.

3. Disponibilidade

Indica o fácil acesso a um dado, sempre que necessário. No universo fitness, uma das melhores formas de garantir a disponibilidade é por meio de um sistema de gestão completo e personalizado.

4. Autenticidade

Contempla diferentes formas de comprovar a autoria e veracidade de determinados dados, como a assinatura autenticada de um contrato, por exemplo.

Principais ameaças cibernéticas e como evitá-las

Assim como qualquer empresa que trabalha dados pessoais de diferentes stakeholders, as academias podem ser alvo de diferentes ameaças cibernéticas:

Tipos de ameaças

• Phishing: Ataques que buscam enganar clientes ou funcionários para obterem informações sensíveis
• Ransomware: Sistemas são “hackeados” em troca de resgate para liberação de informações
• Vírus: Podem comprometer a integridade das informações e o uso das ferramentas internas

Fraudes online e vazamento de dados

A Pesquisa Nacional do Instituto DataSenado de 2024 mostrou que mais de 20% dos brasileiros foram vítimas de golpes digitais no último ano. Apesar da simplicidade da operacionalização de algumas fraudes, o risco é muito maior do que se pode imaginar, ainda mais quando se tratam de dados sensíveis – como histórico de saúde.

Medidas preventivas

Não existe apenas uma forma de mitigar esses riscos – por isso é tão importante implementar políticas e processos completos para a segurança digital para academias:

• Treinamento dos funcionários
• Compartilhamento de dicas para proteção de dados para os alunos
• Implementar sistemas antivírus e firewalls
• Monitoramento constante da rede, dispositivos e ferramentas utilizados na academia

Implementação de segurança digital em academias

Senhas fortes e autenticação em dois fatores

Além do sistema contratado oferecer esse tipo de funcionalidade para segurança digital para academias, é fundamental que funcionários e alunos sejam instruídos a usarem essas medidas para protegerem suas informações nas plataformas usadas na academia.

Recomendações para senhas:

• Senhas longas que combinem letras, números e caracteres especiais
• Nunca salvar senhas em locais físicos, como cadernos ou post-its
• Não compartilhar senhas entre usuários
• Implementar autenticação de dois fatores (2FA) como camada extra de segurança

Backups e recuperação de dados

Assim como realizado de forma automática em boa parte dos sistemas de gestão fitness, é super recomendado que os funcionários da sua academia façam o backup de qualquer tipo de ferramenta de forma periódica, tanto na nuvem, quanto em servidores locais.

É importante fazer o teste de recuperação de informações de tempos em tempos. Assim, você garante que vai ter as informações necessárias para dar continuidade à operação da sua academia, sem prejuízos, mesmo em caso de ataques.

Proteção de pagamentos e transações financeiras

A criptografia de ponta a ponta também é palavra de ordem quando o assunto é a segurança digital para os dados financeiros da sua academia! Para além disso, a contratação de plataformas com a certificação PCI DSS (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento), também é uma boa pedida para garantir a segurança durante as transações financeiras.

Segurança na comunicação com alunos

Por mais ágil e simples que seja a comunicação e troca de informações com os alunos via aplicativos de mensagens instantâneas ou redes sociais, a responsabilidade de proteção nessa relação também é das academias!

Por isso, considere priorizar meios de comunicação mais seguros, como a notificação via aplicativo de treino ou sistema, além da autenticação de dois fatores e mensagens criptografadas.

Dispositivos conectados e redes wi-fi

Nem sempre disponibilizar uma plaquinha com a senha do Wi-Fi é uma boa ideia, considerando a segurança digital para academias. As redes Wi-Fi, principalmente aquelas utilizadas para câmeras de segurança, sistemas de gestão e dispositivos inteligentes, devem ser protegidas por criptografia e senhas fortes.

O papel dos sistemas de gestão na segurança digital

Conforme abordamos anteriormente, o uso de sistemas de gestão fitness é uma das recomendações para garantir a segurança digital para academias.

Como funcionam as plataformas de gestão

Isso porque essas plataformas costumam usar a criptografia para proteção e transferência das informações armazenadas – desde os dados de pagamento até acompanhamento da performance dos alunos.

Além disso, frequentemente contam com login e senha de acesso, assim como a autenticação por dois fatores, garantindo que apenas as pessoas autorizadas tenham acesso a diferentes níveis de informação.

Vantagens para segurança e conformidade

Um sistema de gestão fitness também vai além da segurança: além de ser a melhor alternativa para trocar uma série de papeis não seguros (de contratos, notas fiscais, boletos, comprovantes de pagamento), um sistema normalmente oferece uma estrutura segura para coletar, armazenar e gerenciar tanto as informações dos alunos, quanto as dos profissionais e da academia.

Via de regra, todos os dados coletados nos processos dentro de uma empresa do segmento fitness são armazenados dentro de um sistema de gestão. Portanto, essas empresas são compreendidas como operadores dos dados, e por isso respondem legalmente pela sua manutenção.

Penalidades e riscos do descumprimento

Multas e sanções

A nova lei prevê sanções administrativas àqueles que infringirem suas normas, quais sejam advertência, multa e até mesmo proibição total ou parcial de atividades. A multa pode variar de 2% sobre o faturamento anual da empresa até R$ 50 milhões.

Dados sobre conformidade no brasil

Em julho de 2021, a ABES (Associação Brasileira das Empresas de Software) realizou um estudo que apontou que 60% das empresas brasileiras ainda não estão prontas para a LGPD. Ou seja, têm menos de 2 meses para entrarem em conformidade com a lei.

Impactos além das multas

Além das penalidades financeiras, o descumprimento da LGPD pode resultar em:

• Danos à reputação da academia
• Perda de confiança dos clientes
• Processos judiciais
• Suspensão de atividades

Treinamento de equipe para conformidade

Importância do treinamento

Como comentamos em quase todos os tópicos deste artigo, o treinamento dos profissionais é essencial para garantirmos a segurança digital para academias. Isso porque são eles que vão coletar, tratar e compartilhar essas informações na operação do negócio.

Estratégias de capacitação

Para isso, além de construir uma política de segurança clara, considere criar momentos de troca de informação formais, com a capacitação, promoção de testes para comprovação do conhecimento e até ações de reconhecimento para os profissionais que se destacarem nessa missão!

Responsabilidade compartilhada

Desde antes mesmo da sua vigência, em 2019, a LGPD tem mudado a forma como as empresas coletam, armazenam, tratam e compartilham qualquer tipo de dado pessoal – seja dos seus clientes, funcionários ou qualquer outro stakeholder.

Adequação completa: checklist prático

Relatório de impacto à proteção de dados

Todas as operações de tratamento de dados deverão ser devidamente registradas em um Relatório de Impacto à Proteção de Dados Pessoais.

Medidas de segurança efetivas

As empresas deverão tomar medidas de segurança efetivas para evitar que os dados pessoais de sua responsabilidade sejam acessados indevidamente, extinguidos, perdidos ou alterados, sendo que todo e qualquer incidente deverá ser reportado de forma clara à ANPD e aos próprios usuários em prazo razoável.

Repaginação da política de privacidade

Em resumo, a adequação à Lei Geral de Proteção de Dados acarretará total repaginação das empresas no que tange à política de privacidade, a fim de que toda a operação passe a atender aos requisitos legais impostos pela nova lei e minimize efetivamente os riscos operacionais e os danos aos seus clientes.

Sistemas de gestão como aliados na conformidade

Tecnofit gym: segurança e conformidade

Para que você possa comprovar todas as vantagens de um sistema de gestão para academias, queremos que você conheça o Tecnofit Gym, a plataforma escolhida por mais de 16 mil empresas do setor.

Por meio de diversas funcionalidades, ele permite acelerar processos, otimizar o tempo de gestão e facilitar a utilização de informações da academia – como o agendamento de horários, acompanhamento da performance dos alunos e comunicação.

Funcionalidades de segurança

• Criptografia de dados
• Controle de acesso por níveis
• Backups automáticos
• Conformidade com LGPD
• Autenticação segura
• Monitoramento de atividades

Softwares piratas: riscos para a segurança

Pode parecer óbvio e às vezes até inofensivo demais – mas vale reforçar! Quando o assunto é a segurança digital para academias, a contratação de sistemas piratas ou não autorizados é completamente proibida! Isso porque, em geral, eles não contam com as funcionalidades necessárias para proteger você, seus alunos e o seu negócio.

Sendo assim, a proteção dessas valiosas informações serão “supervisionadas” por um terceiro e, para evitar riscos, é importante certificar-se de que o sistema utilizado esteja em conformidade com a legislação.

Conclusão: lgpd como vantagem competitiva

Esperamos que com este artigo tenha sido possível esclarecer as principais dúvidas sobre a LGPD para academias, além dos cuidados necessários para manter a empresa em conformidade com a Lei.

Esse cuidado já é mais do que um diferencial, e sim uma exigência para os clientes de qualquer negócio. A implementação adequada da LGPD não deve ser vista apenas como uma obrigação legal, mas como uma oportunidade de:

• Construir maior confiança com os clientes
• Melhorar processos internos
• Reduzir riscos operacionais
• Destacar-se da concorrência
• Preparar a empresa para o futuro digital

Essas são apenas algumas das atividades que podem mudar com a LGPD. No entanto, é fundamental contar com um especialista para apoiar na criação das medidas de segurança e fiscalização dos dados pessoais, a fim de garantir a conformidade com a Lei.

Faça um teste gratuito e aproveite cada uma das funcionalidades de segurança e conformidade!

Para mais dicas relacionadas à gestão administrativa e financeira completa de um negócio fitness, continue acompanhando o Blog da Tecnofit!