# A tese desconfortável: você provavelmente está em descumprimento
Você que tem CREF e atende online provavelmente coleta dados sensíveis de saúde do seu aluno todos os dias e nunca leu inteira a Lei 13.709/2018. Você guarda foto de composição corporal no celular, faz vídeo de execução circular em conversa de WhatsApp, posta antes-e-depois no Instagram com permissão verbal e mantém anamnese em Google Drive sem criptografia avançada. Quase todos os personals online brasileiros estão em algum nível de descumprimento da LGPD em 2026.
A ANPD (Autoridade Nacional de Proteção de Dados) entrou em fase ativa de fiscalização a partir de 2023, com a Resolução CD/ANPD 04/2023 dando estrutura formal à dosimetria de sanções. Em 2024 e 2025, autuações públicas atingiram desde clínicas até pequenas empresas, com multas variando de R$ 250 até R$ 50 milhões dependendo do porte do infrator. O personal autônomo tem multas menores na escala, mas não é imune: o porte do agente é usado como modulador, não como exclusão.
A boa notícia: a conformidade não é cara nem técnica. É documental. Personal organizado coloca a casa em ordem em 30 a 45 dias, com investimento abaixo de R$ 1.500 (TCLE bem feito, política de privacidade, contrato atualizado, infraestrutura de armazenamento adequada). A má notícia: quem deixa para depois constrói passivo que cresce a cada novo aluno cadastrado sem documento certo.
# O fundamento legal: por que foto e vídeo de aluno são dado sensível
A LGPD (Lei 13.709/2018), no artigo 5, inciso II, define dado pessoal sensível como aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Foto e vídeo de aluno em contexto de personal trainer enquadram-se em dado sensível por três razões. Primeira: revelam estado de saúde (composição corporal, sobrepeso, sequela visível de cirurgia, mobilidade reduzida). Segunda: revelam dado biométrico (rosto identificável, características corporais únicas). Terceira: em alguns casos revelam patologia (hérnia visível, postura compensatória, sequela visível). Anamnese, exames, peso, composição corporal medida com bioimpedância e dobras cutâneas são dados de saúde diretamente.
Diferentemente do dado pessoal comum (nome, email, endereço), o tratamento de dado sensível tem regime mais restrito no artigo 11 da LGPD. As bases legais disponíveis para tratamento de dado sensível são taxativas (não pode usar qualquer base do artigo 7, só pode usar as do artigo 11), e o consentimento, quando usado, precisa ser específico e destacado para finalidades determinadas.
Em prática, isso significa três coisas concretas para o personal online. Primeira: você precisa de termo de consentimento livre e esclarecido (TCLE) específico para dado sensível, separado e claro, não embutido em contrato genérico. Segunda: a finalidade precisa ser explícita em cada uso (acompanhamento de progresso, marketing, divulgação em redes sociais). Terceira: o consentimento para uma finalidade não autoriza outra (consentimento para foto de progresso interno não autoriza postagem em Instagram).
# Quais bases legais aplicar a cada tipo de uso
A LGPD permite que o tratamento de dado seja sustentado por diferentes bases legais. Para o personal online, três bases convivem na prática, e usar a base errada é convite para questionamento.
Base 1 (mais usada): execução de contrato (artigo 7, V, para dado comum; artigo 11, II, f, para dado sensível). Cobre o que é absolutamente necessário para entregar o serviço contratado. Exemplos: anamnese para definir treino, peso e composição corporal para acompanhar evolução, exames apresentados pelo aluno para subsidiar prescrição, mensagens de WhatsApp para coordenar treino. Não exige consentimento separado se estiver bem descrito no contrato.
Base 2: consentimento (artigo 7, I, para dado comum; artigo 11, I, para dado sensível). Necessário para tudo que vai além da execução do contrato. Exemplos críticos: postar foto antes-e-depois em Instagram, divulgar vídeo de aluno em landing page, usar depoimento em campanha de tráfego pago, compartilhar caso de aluno em palestra técnica para outros profissionais. Sem consentimento específico documentado, qualquer um desses usos é violação direta.
Base 3: exercício regular de direitos em processo (artigo 7, VI; artigo 11, II, f). Cobre retenção de dados após término do contrato para eventual defesa em demanda judicial. Permite manter anamnese, fichas e histórico de comunicação por prazo razoável (geralmente 5 a 10 anos, conforme prescrição civil aplicável), mesmo se o aluno revogar consentimento para outros fins. Funciona como reserva legal de proteção do prestador.
Recomendação prática: separe seu fluxo documental em três blocos. Bloco 1: contrato + anexo descrevendo dados tratados sob execução de contrato (não exige consentimento separado). Bloco 2: TCLE específico para uso em marketing (foto, vídeo, depoimento), com finalidade, prazo, canais permitidos e direito de revogação claros. Bloco 3: política de privacidade publicada explicando bases legais aplicáveis e direito do titular.
- Contrato com anexo de tratamento sob execução de contrato
- TCLE separado para uso em marketing e divulgação
- Política de privacidade publicada
- Registro de operações de tratamento (mesmo que rústico)
- Canal de contato para titular exercer direitos
# TCLE para personal online: a estrutura mínima que protege juridicamente
TCLE (Termo de Consentimento Livre e Esclarecido) precisa de oito componentes para servir como prova robusta de consentimento sob a LGPD. Personal que entrega só um botão concordo sem detalhamento dos oito itens recebe questionamento direto se houver disputa.
Componente 1: identificação clara do controlador. Seu nome completo, CPF ou CNPJ, endereço de contato, email e WhatsApp profissional. O aluno precisa saber quem é o responsável legal pelo tratamento.
Componente 2: identificação do titular. Nome completo do aluno, CPF, contato. Sem isso, o termo não vincula o titular específico.
Componente 3: descrição detalhada dos dados coletados. Anamnese (histórico de saúde, lesões, cirurgias, medicamentos), exames apresentados pelo aluno (laudos, imagens, sangue), medidas físicas (peso, altura, dobras cutâneas, bioimpedância, perímetros), foto e vídeo (de progresso, de execução de exercício, de avaliação postural), comunicação (WhatsApp, email, chamadas de vídeo).
Componente 4: finalidades específicas. Separe duas grandes finalidades: execução do contrato (prescrição, acompanhamento, ajuste de plano, comunicação operacional) e divulgação/marketing (postagem em rede social, uso em landing page, depoimento em campanha). Para cada finalidade da segunda categoria, o aluno marca opt-in separado.
Componente 5: prazo de retenção. Indique por quanto tempo cada categoria de dado será mantida. Sugestão: dados operacionais (anamnese, fichas, exames) por 5 anos após término do contrato, para eventual defesa em demanda; dados de marketing (fotos e vídeos publicados) por prazo da campanha + 12 meses; comunicação por 2 anos.
Componente 6: forma de tratamento e segurança. Armazenamento em nuvem com criptografia em trânsito (HTTPS) e em repouso (Google Workspace, Microsoft 365, Dropbox Business, todos com criptografia AES-256), acesso restrito ao personal e equipe autorizada (se houver), proibição de compartilhamento com terceiros sem nova autorização.
Componente 7: direitos do titular. Listar explicitamente: acesso aos dados, correção, exclusão, portabilidade, revogação de consentimento, anonimização, oposição a tratamento baseado em legítimo interesse. Indicar canal único para exercer direitos (email específico ou WhatsApp dedicado).
Componente 8: assinatura e data. Assinatura digital com plataforma confiável (Clicksign, DocuSign, ZapSign, Autentique) ou assinatura manuscrita digitalizada com confirmação em mensagem. Data e hora capturadas. Sem isso, o consentimento não é provável em juízo.
TCLE não é formalismo. É a sua única defesa quando aluno descontente reclamar uso de foto sem permissão dois anos depois.
# Armazenamento criptografado: o que basta para o personal individual
O Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte, publicado pela ANPD em 2022, estabelece referencial proporcional ao porte. Para personal autônomo, a infraestrutura recomendada é simples e acessível.
Camada 1: armazenamento em nuvem com criptografia em trânsito (HTTPS/TLS) e em repouso (AES-256 padrão). Opções com conformidade adequada: Google Workspace (Business Starter R$ 35/mês), Microsoft 365 Business Basic (R$ 28/mês), Dropbox Business (R$ 65/mês), iCloud+ (a partir de R$ 4/mês). Estes serviços já entregam criptografia padrão sem configuração adicional.
Camada 2: organização lógica das pastas. Estrutura recomendada: pasta principal com nome do personal, subpastas por aluno (nome completo + ano de início), dentro de cada aluno separar contrato, anamnese, exames, fichas, fotos/vídeos. Sem organização, em caso de pedido de exclusão por LGPD, você gasta horas procurando o que apagar.
Camada 3: controle de acesso. Senha forte (mínimo 14 caracteres, com símbolos), autenticação em duas etapas obrigatória (Google Authenticator, Authy ou similar), nada de senha compartilhada com assistente sem documentação de autorização. Pelo menos um administrador deve ter capacidade de reset em caso de perda de credencial principal.
Camada 4: backup independente. Cópia de segurança em segundo serviço (se primário é Google Drive, backup em Dropbox; ou disco rígido externo criptografado em casa) atualizada mensalmente. Se servidor principal cair ou for comprometido por ransomware, você recupera os dados sem precisar pagar resgate.
Camada 5: dispositivos pessoais. Notebook e celular precisam de criptografia de disco (BitLocker no Windows, FileVault no macOS, criptografia padrão no iPhone e Android moderno), senha forte de login, bloqueio automático em 5 minutos de inatividade. Sem essas três medidas, perder o celular é equivalente a expor todos os dados de aluno em domínio público.
# Consentimento explícito vs tácito: a diferença que vale R$ 50 mil
O artigo 5, inciso XII da LGPD define consentimento como manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Os três adjetivos são vinculantes.
Consentimento livre significa sem coerção, sem condição abusiva. Personal não pode dizer ao aluno que se você não autorizar uso da foto, eu não atendo você, porque isso vincula prestação de serviço a consentimento desvinculado da execução do contrato. Aluno pode contratar treino e recusar uso de foto em rede social, e o personal precisa respeitar.
Consentimento informado significa que o titular sabe o que está autorizando. Frase genérica como aceito o tratamento dos meus dados não é consentimento informado. Precisa especificar dado, finalidade, canal, prazo e direito de revogação.
Consentimento inequívoco significa ato afirmativo e claro. Silêncio não é consentimento. Pré-marcação não é consentimento. Caixinha já marcada que o aluno desmarca para recusar é consentimento problemático. O padrão correto é caixinha não marcada que o aluno marca para aceitar, com texto claro do que está sendo aceito.
Em mensagens de WhatsApp, a coleta de consentimento via texto solto (manda foto pra mim que eu uso no Instagram blz?) é frágil em juízo. Funciona em emergência, mas não substitui TCLE assinado. Recomendação: padronize fluxo onde toda autorização de uso de imagem para marketing passa por documento formal assinado (Autentique, ZapSign, Clicksign), com cópia arquivada.
Multas reais aplicadas pela ANPD entre 2023 e 2025 mostram que a falta de consentimento adequado para dado sensível tem sido categoria recorrente de autuação, especialmente quando combinada com vazamento ou exposição em meio público (postagem em rede sem autorização). Mesmo personal pequeno, em casos individuais, pode receber notificação e termo de ajustamento de conduta com multa pecuniária.
# Resolução CD/ANPD 04/2023: como funciona a dosimetria da multa
A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, regulamenta o processo administrativo sancionador da ANPD e detalha como as sanções da LGPD são calculadas. É leitura curta (cerca de 20 páginas) e absolutamente essencial para o personal entender o nível real de risco.
As sanções previstas no artigo 52 da LGPD vão de advertência (mais branda) até multa de 2% do faturamento da pessoa jurídica de direito privado, limitada a R$ 50 milhões por infração. Para pessoa física e pequenas empresas, a Resolução 04/2023 introduz modulação por porte, classificando agentes em microempresa, pequeno porte, médio porte e grande porte, com referenciais de cálculo proporcionais.
Critérios principais usados na dosimetria. Gravidade e natureza da infração (vazamento de dado sensível é mais grave que vazamento de dado comum). Boa-fé do infrator (cooperar com investigação reduz a sanção). Vantagem auferida ou pretendida com a infração. Condição econômica do infrator (modulador essencial para personal autônomo). Reincidência (autuação anterior pesa fortemente). Grau do dano (afeta a integridade física, financeira ou moral do titular). Cooperação do infrator (entrega documentação, responde notificação, executa plano de adequação). Adoção repetida de medidas técnicas e organizacionais para mitigar dano.
Para o personal autônomo, o cenário típico é: primeira autuação por descumprimento isolado costuma resultar em advertência ou termo de ajustamento de conduta (TAC) com plano de adequação em 60 a 120 dias, sem multa pecuniária imediata, desde que haja boa-fé e cooperação. Multa começa a entrar com reincidência ou com violação grave (vazamento público de foto sensível sem consentimento). Faixas práticas observadas em 2024-2025 para microempresários e autônomos: R$ 500 a R$ 5.000 em primeira autuação relevante; R$ 5.000 a R$ 50.000 em reincidência ou vazamento; valores acima de R$ 100.000 reservados para casos sistêmicos com múltiplos titulares afetados.
Ter documentação básica (TCLE arquivado, política de privacidade publicada, registro mínimo de operações, canal de contato funcional) demonstra boa-fé e governança, reduzindo sanção em até 50% segundo critérios da Resolução. É o investimento de menor custo e maior retorno em mitigação de risco regulatório.
| Cenário | Sanção mais provável | Multa estimada |
|---|---|---|
| Descumprimento documental sem dano | Advertência ou TAC | R$ 0 (TAC com prazo) |
| Primeira autuação com boa-fé | Multa simples | R$ 500 a R$ 5.000 |
| Vazamento sem consentimento | Multa qualificada | R$ 5.000 a R$ 30.000 |
| Reincidência | Multa dobrada + obrigação | R$ 10.000 a R$ 50.000 |
| Vazamento sistêmico (10+ titulares) | Multa qualificada agravada | R$ 30.000 a R$ 100.000+ |
# Retirada de consentimento: como operacionalizar sem perder defesa jurídica
O artigo 8, parágrafo 5 da LGPD garante ao titular o direito de revogar o consentimento a qualquer tempo, mediante manifestação expressa, por meio gratuito e facilitado. Para o personal, isso tem implicação operacional concreta.
Cenário comum 1: aluno em atrito (rescindiu contrato, ficou insatisfeito) pede para retirar fotos publicadas em Instagram e excluir todos os dados. Resposta correta: retirar imediatamente do Instagram as publicações com a foto do aluno (post + stories destacados), confirmar a retirada por escrito, e excluir os dados que estão sob base legal de consentimento (foto pessoal, vídeo de aluno em material de marketing). Manter sob base legal alternativa (execução de contrato, exercício de direito em processo) os dados necessários para defesa em eventual demanda judicial: contrato, anamnese, fichas, exames, comunicação de WhatsApp, por prazo prescricional (geralmente 5 anos).
Cenário comum 2: aluno ativo pede só para parar de aparecer em material novo, mas autoriza manter o que já foi publicado. Operacionalmente: marcar no seu CRM (planilha ou app) que o aluno opt-out para novos materiais, parar imediatamente de criar peças com ele, manter as peças antigas dentro do consentimento original. Documentar a alteração por escrito no histórico do aluno.
Cenário comum 3: ex-aluno pede exclusão integral três anos após término do contrato. Resposta correta: explicar que dados sob base de consentimento (fotos publicadas, depoimentos) são excluídos imediatamente; dados sob base de execução de contrato ou exercício de direito em processo são mantidos pelo prazo legal de prescrição civil (até 10 anos no Código Civil para certas demandas), com anonimização parcial sempre que possível.
Para todos os cenários, formalize a resposta por escrito (email ou mensagem), arquive cópia, e respeite o prazo de 15 dias estabelecido pela LGPD para resposta a solicitação do titular. Atraso na resposta é por si só infração.
# Multas reais e incidentes documentados em 2024 e 2025
Para calibrar a percepção de risco, vale conhecer alguns casos públicos relevantes de aplicação da LGPD nos últimos 24 meses, mesmo que não específicos ao setor fitness, porque os princípios e a dosimetria se aplicam.
Em 2024, a ANPD aplicou primeira multa relevante a uma empresa do setor de telecomunicações por vazamento de dados pessoais sem notificação no prazo regulamentar. Valor inicial divulgado: cerca de R$ 14 milhões. O caso estabeleceu precedente de que a omissão de notificação é infração autônoma da do vazamento em si.
Em 2025, casos envolvendo aplicativos e plataformas digitais que coletavam dados sensíveis sem base legal adequada resultaram em advertências formais e TACs com obrigação de adequação em prazo de 90 a 180 dias. Vários casos terminaram em multa pecuniária por descumprimento do TAC, não pelo vazamento original.
No setor de saúde, há registros de autuação de clínicas e consultórios por descumprimento de obrigação documental: ausência de política de privacidade publicada, falta de canal de contato para titular, ausência de registro de operações de tratamento. Multas tipicamente entre R$ 1.000 e R$ 15.000 em primeira autuação para microempresa, com obrigação de adequação.
Embora a ANPD ainda não tenha histórico extenso de autuação de personal trainer autônomo especificamente, dois movimentos sinalizam que o setor entra no radar. Primeiro: a ANPD declarou em 2024 plano de fiscalização setorial em serviços de saúde e bem-estar a partir de 2026, com personal trainer e clínicas estéticas mencionados como categoria de atenção. Segundo: ações civis públicas movidas por Ministério Público Estadual em alguns estados começaram a usar a LGPD como fundamento adicional contra promessa enganosa de resultado e exposição inadequada de paciente em rede social, com personal trainer entre os profissionais atingidos.
# Decisão pessoal: 45 dias para colocar a casa em ordem
Personal organizado entra em conformidade LGPD em seis semanas. Personal procrastinador acumula passivo durante anos até a notificação chegar. O plano abaixo é compatível com a operação típica do personal autônomo brasileiro em 2026.
Semana 1: contrate consulta com advogado especializado em LGPD (custo típico R$ 500 a R$ 1.500 para consulta + documentos modelo). Defina escopo dos dados que você trata, finalidades, prazos de retenção. Faça inventário das pastas e dispositivos onde dados de aluno estão hoje.
Semana 2: receba do advogado os três documentos principais (contrato atualizado, TCLE separado, política de privacidade) e adapte às especificidades do seu serviço. Publique a política de privacidade em uma página simples (site, Linktree, ou link em todas as suas redes sociais).
Semana 3 a 4: passe pelos alunos ativos. Cada um assina o novo contrato e o novo TCLE via plataforma de assinatura digital (Autentique, ZapSign, Clicksign, custo entre R$ 30 e R$ 100/mês). Para alunos antigos com material já publicado em rede social, retroativamente colete consentimento específico (ou retire os materiais sem consentimento documentado).
Semana 5: reorganize armazenamento. Migre dados que estão em pastas soltas, computador pessoal ou disco rígido sem criptografia para Google Workspace ou Microsoft 365 com pasta única por aluno, controle de acesso em dois fatores, criptografia padrão. Configure backup em segundo serviço.
Semana 6: configure canal de contato para titular (email específico, ex.: lgpd@seunome.com.br) e estabeleça rotina de resposta em até 15 dias. Documente o inventário de tratamento em planilha (dado, finalidade, base legal, prazo de retenção, local). Treine assistente (se houver) sobre o que pode e o que não pode em uso de dado de aluno.
A partir do dia 46, qualquer novo aluno entra com fluxo conforme desde o primeiro contato. Investimento total típico: R$ 1.000 a R$ 3.000 em consulta jurídica e ferramentas no ano 1, R$ 500 a R$ 1.000/ano em manutenção (assinaturas, atualizações). É a apólice de seguro mais barata e eficiente que personal autônomo pode contratar em 2026.