Adequação à LGPD e programas de compliance para empresas
Tratar dados pessoais sem base legal definida, sem política interna e sem plano de resposta a incidentes deixa a empresa exposta a sanções da ANPD e a danos de reputação. Estruturamos a adequação de ponta a ponta — e a mantemos viva depois da entrega.
O que a LGPD exige da sua empresa
A Lei nº 13.709/2018 não se aplica apenas a empresas de tecnologia. Ela alcança qualquer organização que trate dados pessoais — e isso inclui a folha de pagamento, o cadastro de clientes, o currículo recebido por e-mail e a câmera na recepção.
Na prática, o cumprimento se apoia em quatro frentes:
- Base legal para cada tratamento. Consentimento é apenas uma das dez hipóteses previstas na lei, e raramente a mais adequada em relações contratuais ou trabalhistas.
- Registro das operações de tratamento. Documento que descreve quais dados a empresa coleta, com que finalidade, por quanto tempo e com quem compartilha.
- Encarregado e canal de atendimento. Um responsável identificado publicamente para receber solicitações de titulares e comunicações da ANPD.
- Plano de resposta a incidentes. A regulamentação da ANPD fixa prazo de três dias úteis para comunicar um vazamento, contados do conhecimento do fato.
O artigo 52 da lei prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio dos dados envolvidos. Antes disso, porém, costuma vir a advertência com prazo de correção — e a diferença entre corrigir e ser penalizado quase sempre está na documentação existente.
Sinais de que a adequação está pendente
Se mais de dois itens se aplicam, há exposição relevante.
- Não existe política de privacidade, ou ela foi copiada de outro site
- Ninguém sabe dizer onde os dados de clientes estão armazenados
- Contratos com fornecedores não tratam de proteção de dados
- Não há encarregado indicado nem canal para titulares
- A equipe nunca recebeu treinamento sobre o tema
- Não existe plano definido para o caso de vazamento
Como conduzimos
Da fotografia da operação ao programa em funcionamento
Adequação não é a entrega de um documento. É um conjunto de decisões sobre a operação, registradas de forma que a empresa consiga demonstrar conformidade depois.
Diagnóstico e mapeamento
Entrevistas com as áreas, inventário dos dados tratados e identificação dos pontos de exposição, do RH ao marketing.
Bases legais e lacunas
Definição da hipótese legal de cada tratamento e análise das distâncias entre a prática atual e o que a lei exige.
Políticas e contratos
Política de privacidade, política interna, aviso a colaboradores e cláusulas de proteção de dados nos contratos com terceiros.
Encarregado e treinamento
Indicação do encarregado, canal de atendimento ao titular, plano de resposta a incidentes e capacitação das equipes.
Compliance e governança
Proteção de dados é uma peça do programa, não o programa inteiro
Empresas que constroem apenas a camada de LGPD costumam refazer trabalho meses depois. As estruturas se sustentam nas mesmas bases, e vale erguê-las juntas.
Programa de integridade
Código de conduta, política antifraude e anticorrupção, canal de denúncias e procedimento de apuração interna.
Governança corporativa
Alçadas de decisão, atas e registros societários em dia, e regras claras sobre quem assina o quê em nome da empresa.
Due diligence de terceiros
Avaliação de fornecedores e parceiros antes da contratação, com cláusulas que distribuam responsabilidade de forma defensável.
Encarregado como serviço
O escritório atua como encarregado externo, com independência em relação às áreas e sem sobrecarregar a equipe interna.
Treinamento recorrente
Capacitação das equipes em linguagem de negócio, com foco nas situações que realmente aparecem no dia a dia.
Manutenção continuada
Revisão periódica dos registros e das políticas, acompanhando mudanças na operação e na regulamentação da ANPD.
Perguntas frequentes
Dúvidas que aparecem antes de começar
Minha empresa é pequena. A LGPD se aplica mesmo assim?
Sim. A LGPD alcança qualquer pessoa jurídica que trate dados pessoais no Brasil, independentemente do porte ou do faturamento. O que muda para agentes de pequeno porte é a forma de cumprir: a ANPD prevê um regime simplificado, com prazos mais largos e menos formalidades, mas não isenta a empresa das obrigações centrais. Mesmo um negócio com poucos funcionários trata dados de clientes, fornecedores e da própria equipe.
Minha empresa é obrigada a ter um encarregado (DPO)?
A lei determina a indicação de um encarregado pelo tratamento de dados pessoais, com identidade e canal de contato divulgados publicamente. Agentes de pequeno porte podem ser dispensados dessa indicação formal, mas seguem obrigados a manter um canal de comunicação com titulares. Na prática, muitas empresas optam por contratar o encarregado como serviço externo, o que garante independência e evita sobrecarregar alguém da operação.
Quais são as multas previstas na LGPD?
O artigo 52 da LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Há também multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos. Antes de chegar à multa, porém, a ANPD costuma aplicar advertência com prazo para correção — e é justamente nesse momento que ter documentação organizada faz diferença.
Em quanto tempo preciso comunicar um vazamento de dados?
A regulamentação da ANPD fixa prazo de 3 dias úteis, contados do conhecimento do incidente, para comunicar a autoridade e os titulares afetados, com prazo em dobro para agentes de pequeno porte. É um prazo curto, que só se cumpre com um plano de resposta definido antes de o incidente acontecer. Improvisar nesse momento costuma agravar a exposição.
Quanto tempo leva uma adequação à LGPD?
Depende do volume de dados e da complexidade da operação. Em empresas de pequeno e médio porte, o diagnóstico e o mapeamento costumam levar algumas semanas, e a implementação das políticas e dos contratos, alguns meses. Trabalhamos por fases, com cronograma acordado no início, para que a empresa veja resultado desde o primeiro entregável em vez de esperar o projeto inteiro terminar.
Qual a diferença entre adequação à LGPD e programa de compliance?
A adequação à LGPD trata especificamente da proteção de dados pessoais. Um programa de compliance é mais amplo: abrange integridade, prevenção a fraude e corrupção, conduta interna e relacionamento com o poder público. Os dois se apoiam na mesma base — políticas escritas, responsáveis definidos, treinamento e registro —, por isso costuma ser mais eficiente construir os dois em conjunto do que tratá-los como projetos separados.
Contato
Vamos avaliar o estágio da sua empresa
Conte brevemente como a sua operação trata dados hoje. Retornamos com os próximos passos e, quando fizer sentido, uma proposta com escopo, fases e honorários.
Envie uma mensagem
Resposta em até 1 dia útil.