Você coleta nome, CPF, data de nascimento, contato de emergência e, às vezes, informações de saúde dos atletas, tudo isso no formulário de inscrição. Cada campo preenchido é um dado pessoal sob a Lei Geral de Proteção de Dados (Lei 13.709/2018), a LGPD. Ignorar essa realidade não é opção: a Autoridade Nacional de Proteção de Dados (ANPD) já aplicou as primeiras sanções administrativas no Brasil, e eventos esportivos não estão fora do radar.

A boa notícia: adequar um evento à LGPD é trabalhoso, mas não exige advogado em tempo integral. Exige processo.

O Que a LGPD Exige de Quem Organiza Corridas

A lei classifica você como controlador de dados: a pessoa (física ou jurídica) que decide o que coletar, por que coletar e o que fazer com essas informações. Isso traz obrigações concretas.

As principais para um organizador de evento esportivo são:

  • Base legal definida: você precisa de um motivo jurídico para tratar cada dado. Para inscrições, a base mais comum é o contrato (execução do serviço). Para fotos de atletas publicadas nas redes, é o consentimento.
  • Finalidade declarada: coletar data de nascimento para calcular categoria de idade é legítimo. Coletar e depois vender para uma seguradora sem aviso prévio é infração.
  • Política de privacidade publicada: tem que estar acessível antes de o atleta preencher qualquer campo.
  • Direitos do titular garantidos: o atleta pode pedir acesso, correção ou exclusão dos dados a qualquer momento.
  • Segurança mínima: senhas, controle de acesso à planilha de inscritos, backup. Não precisa ser um data center, mas precisa ser intencional.

Dado de saúde (tipo sanguíneo, condição cardíaca, uso de medicamentos) é dado sensível pela LGPD e exige consentimento explícito, separado dos demais termos.

Onde Mora o Risco Real para Eventos Esportivos

Três pontos concentram a maior parte das vulnerabilidades que um organizador típico carrega sem saber.

Formulário de inscrição sem política visível

Se o atleta preenche nome, CPF e endereço sem ter lido uma política de privacidade, você não tem base legal documentada para esse tratamento. Em caso de reclamação à ANPD, a ausência de documentação pesa contra você.

A correção é simples: link para a política de privacidade antes do botão "Finalizar inscrição", com checkbox de aceite registrado e datado.

Planilha de inscritos compartilhada sem controle

É comum o organizador exportar a lista de atletas e mandar por WhatsApp para o pessoal da retirada de kit, para o fotógrafo e para o patrocinador. Cada envio sem contrato de confidencialidade é uma transferência de dados sem amparo legal.

O patrocinador que recebe a lista de 800 inscritos para "ação de marketing" precisa estar previsto na política de privacidade e, dependendo do caso, exige consentimento específico do atleta.

Retenção indefinida de dados

Terminou o evento. Os dados ficam onde? Na mesma planilha, para sempre? A LGPD exige que você defina um prazo de retenção e descarte os dados após ele.

Para fins contábeis e fiscais, cinco anos é o prazo usual. Para dados de saúde coletados exclusivamente para o evento, o descarte pode ser mais rápido.

LGPD e o Termo de Responsabilidade: Documentos Diferentes

Muitos organizadores confundem os dois. O termo de responsabilidade (ou termo de ciência de risco) é um documento de responsabilidade civil: o atleta declara que está ciente dos riscos da prova e que está apto fisicamente. Ele serve para embasar a defesa do organizador em caso de acidente.

A política de privacidade e o aceite de dados são documentos de proteção de dados: regulam o que você faz com as informações do atleta.

Os dois precisam existir. Um não substitui o outro. Uma corrida regional com 300 participantes que tem termo de responsabilidade, mas não tem política de privacidade, está coberta em metade das obrigações legais.

Como Montar a Estrutura Mínima de Conformidade

Você não precisa de um programa de compliance corporativo para se adequar. Precisa de quatro elementos funcionando juntos:

  1. Política de privacidade redigida: descreva quais dados coleta, para que usa cada um, com quem compartilha (fornecedores, patrocinadores, plataforma de inscrição) e por quanto tempo guarda. Uma página objetiva resolve.
  2. Aceite registrado na inscrição: checkbox com data e IP gravados. Plataformas de inscrição sérias fazem isso automaticamente, o que facilita muito a vida do organizador.
  3. Contrato de operador com fornecedores: quem acessa seus dados de inscritos (empresa de cronometragem, plataforma de pagamento, fotógrafo credenciado) precisa assinar uma cláusula de proteção de dados. Pode ser um adendo simples ao contrato já existente.
  4. Processo de resposta a solicitações: se um atleta pedir para excluir os dados dele, você precisa saber quem na sua equipe vai tratar isso e em quanto tempo. A LGPD estabelece prazo de 15 dias para responder.

Eventos com mais de 50 inscrições que coletam dado sensível (condição de saúde) devem considerar nomear um Encarregado de Dados (DPO), que pode ser um colaborador interno ou um profissional contratado por hora.

LGPD e Contrato de Patrocínio: Um Ponto Que Quase Ninguém Lembra

O contrato de patrocínio costuma prever entrega de visibilidade: banner, post nas redes, menção no locutor. Mas alguns patrocinadores querem mais: acesso à lista de inscritos para ação de e-mail marketing, por exemplo.

Se isso não estiver previsto na política de privacidade que o atleta aceitou, você não pode entregar essa lista, independentemente do que o contrato de patrocínio diga. O patrocinador não tem poder de revogar a LGPD.

A solução é prever no formulário de inscrição um campo opcional: "Aceito receber comunicações dos patrocinadores do evento." Quem marca, pode receber. Quem não marca, não entra na lista. Simples, legal e transparente.

O Que Fazer Esta Semana

Se o próximo evento está se aproximando e você ainda não tem nada disso estruturado, priorize nesta ordem:

  • Publique uma política de privacidade básica no site do evento (hoje).
  • Adicione o link e o checkbox de aceite no formulário de inscrição (antes de abrir as inscrições).
  • Revise com quem você compartilha a planilha de inscritos e inclua cláusula de confidencialidade nos contratos desses fornecedores.
  • Defina um prazo de retenção de dados e coloque no calendário o descarte após o evento.

A ANPD ainda está em fase de consolidação das sanções, mas o histórico de órgãos reguladores no Brasil mostra que o período de aviso é mais curto do que as empresas esperam. Quem se adequa agora gasta menos tempo e dinheiro do que quem espera a primeira autuação para agir.