LGPD e Cannabis Social Clubs: guia completo de proteção de dados para associações

Um Cannabis Social Club processa dados pessoais sensíveis: quantidades de cannabis consumidas por membro, frequência de visitas, histórico de transações. No contexto da Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), esses dados podem ser classificados como dados de saúde — uma categoria especial que exige tratamento reforçado. Este guia explica o que sua associação precisa fazer.

Por que os dados de um CSC são dados sensíveis

O art. 11 da LGPD trata dos dados pessoais sensíveis, incluindo dados referentes à saúde. Informações sobre consumo de cannabis — frequência, quantidade, produto — têm relação direta com saúde e comportamento do membro. Isso eleva o nível de exigência no tratamento desses dados e impõe responsabilidades adicionais ao controlador (a associação).

As 6 obrigações LGPD para seu clube

1. Base legal documentada

Para cada tratamento de dados, você precisa de uma base legal conforme o art. 7º ou art. 11 da LGPD. Para dados de membros: execução de contrato (art. 7º, V) combinado com consentimento específico para dados sensíveis (art. 11, I). Essa base legal deve constar na sua política de privacidade.

2. Aviso de privacidade para os membros

Cada membro deve receber, no momento da associação, um aviso de privacidade claro (art. 9º LGPD) explicando: quais dados são coletados, para quê, com qual base legal, por quanto tempo são retidos, com quem são compartilhados e quais são seus direitos. A entrega desse aviso deve ser documentada — preferencialmente com assinatura no contrato de membro.

3. Direitos dos titulares

Todo membro tem direito à confirmação e acesso (art. 18, I e II), à correção (art. 18, III), à eliminação (art. 18, VI), à portabilidade (art. 18, V) e à revogação do consentimento (art. 18, IX). Seu sistema deve permitir atender a essas solicitações em prazo razoável — ou seja, exportar e/ou excluir os dados de um membro rapidamente.

4. Controle de acesso por função

Nem todo funcionário precisa ver todos os dados. O recepcionista que faz check-in não precisa ver o histórico financeiro do membro. O gerente financeiro não precisa ver o histórico de distribuição. Controle de acesso por papel (admin, gerente, funcionário, visualizador) é obrigatório para dados sensíveis.

5. Medidas de segurança técnicas

O art. 46 da LGPD exige medidas de segurança técnicas adequadas: criptografia do banco de dados e das transmissões, controle de acesso, backups regulares e política de retenção com exclusão automática após o prazo legal.

6. Contrato com operadores (fornecedores de software)

Se você usa um software de terceiros para gerir os dados dos membros, esse fornecedor é um operador conforme a LGPD. Você precisa de um contrato de processamento de dados (DPA) que estabeleça as responsabilidades de cada parte. Fornecedores sérios disponibilizam esse contrato por padrão.

THC Gestión e conformidade LGPD/GDPR

THC Gestión foi desenvolvido com os requisitos do GDPR europeu integrados — que é mais exigente do que a LGPD em vários aspectos. Controle de acesso por papel, armazenamento criptografado, função de exportação para solicitações de acesso e função de exclusão para o direito ao esquecimento estão incluídos. Um contrato de processamento de dados (DPA) está disponível para todos os clientes.