A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata como dado pessoal qualquer informação relacionada a uma pessoa identificada ou identificável — o que inclui praticamente tudo que uma incorporadora coleta de compradores e investidores durante um lançamento: nome, CPF, renda, histórico de crédito, contratos de financiamento, procurações e, por vezes, até dados de saúde usados em seguros habitacionais.

• Os princípios que a lei exige na prática

A LGPD não pede apenas 'proteção' em abstrato. Ela detalha princípios objetivos que se aplicam diretamente à operação de uma incorporadora:

1. Finalidade — usar o dado só para o que foi informado ao comprador (ex.: análise de crédito), não para qualquer outro fim.
2. Necessidade — coletar apenas o dado necessário para aquele processo, evitando excesso de coleta.
3. Segurança — adotar medidas técnicas e administrativas para proteger os dados de acessos não autorizados.
4. Transparência — informar claramente ao comprador o que é coletado e por quê.
5. Prevenção e responsabilização — conseguir demonstrar, se questionado, que a empresa toma as medidas adequadas

• O tamanho do risco financeiro

A LGPD prevê sanções administrativas que vão de advertência a multa de até 2% do faturamento da empresa (ou do grupo, no Brasil) no exercício anterior, limitada a R$ 50 milhões por infração. Além da multa, há o risco reputacional: um incidente de dados envolvendo compradores de um empreendimento de alto valor tende a gerar repercussão desproporcional ao tamanho do incidente em si.

• Por onde adequar a operação

Na prática, a adequação à LGPD em uma incorporadora costuma passar por: