Caro Jettson,
Obrigado pela sua postagem! No caso deste tipo de coleta de dados pessoais nome, cpf, rg (não sensíveis) de usuários para liberar acesso às instalações, e partindo da premissa que estes dados não sofrerão outros tipos de tratamento e/ou transferência dos mesmos para outro operador, além da coleta inicial, conforme vc destacou, vcs não precisariam obter o consentimento dos usuários. No entanto, como ocorreu a coleta de dados e os mesmos provavelmente para fins de apoio a segurança patrimonial da instalação ficarão armazenados numa base de dados por algum tempo, seria importante vcs manterem um registro (inventário de dados) em linha com o tabela, contida na página 14 deste guia orientativo do Governo Federal sobre Governança de Dados neste link https://www.gov.br/governodigital/pt-br/governanca-de-dados/GuiaInventario.pdf
Bons estudos!