LGPD na Prática: Como Adequar Sua Empresa à Lei de Proteção de Dados Sem Complicação

LGPD na Prática: Por Onde Sua Empresa Deve Começar

A Lei Geral de Proteção de Dados já está em vigor há alguns anos, as multas da ANPD já acontecem, e ainda assim uma parcela considerável das empresas brasileiras — especialmente pequenas e médias — segue operando sem um processo claro de adequação. Não é necessariamente má vontade: é que o tema parece complexo demais, cheio de termos jurídicos e exigências que parecem feitas para empresas com departamentos inteiros dedicados ao assunto.

A realidade, porém, é diferente. A LGPD tem uma lógica bastante prática quando você a desmonta em partes menores. Este guia mostra o caminho real — sem juridiquês desnecessário e sem sugerir que você vai precisar de um orçamento estratosférico para sair do zero.

O Que a LGPD Realmente Exige das Empresas

A Lei nº 13.709/2018 estabelece regras sobre como dados pessoais de cidadãos brasileiros podem ser coletados, armazenados, tratados e compartilhados. Isso se aplica a qualquer empresa que trate dados de pessoas físicas no Brasil — independentemente de onde a empresa está sediada.

Os pilares principais são:

• Base legal para tratamento: você precisa de um motivo legítimo para coletar e usar dados. Os mais comuns são o consentimento do titular, o cumprimento de obrigação legal, a execução de contrato e o legítimo interesse.
• Transparência: o titular deve saber o que você faz com os dados dele.
• Minimização: colete apenas o que é necessário para a finalidade declarada.
• Segurança: implemente medidas técnicas e administrativas para proteger os dados.
• Direitos dos titulares: o cidadão pode pedir acesso, correção, exclusão e portabilidade dos pr��prios dados.

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão regulador. As sanções vão desde advertências até multas que podem chegar a 2% do faturamento bruto da empresa no Brasil, limitadas a R$ 50 milhões por infração.

Mapeamento de Dados: O Primeiro Passo Real

Antes de mudar qualquer processo ou redigir qualquer política de privacidade, você precisa saber o que está acontecendo dentro da sua própria empresa. O mapeamento de dados — também chamado de data mapping ou inventário de dados — é o ponto de partida obrigatório.

Como Fazer um Mapeamento Simples

Para empresas menores, uma planilha já resolve. Para cada processo ou sistema que usa dados pessoais, registre:

1. Quais dados são coletados (nome, CPF, e-mail, telefone, dados de saúde, etc.)
2. Por que são coletados (finalidade)
3. Qual é a base legal (consentimento, contrato, obrigação legal…)
4. Onde ficam armazenados (servidor próprio, Google Drive, sistema de CRM, planilha local)
5. Quem tem acesso (apenas a equipe de vendas? O financeiro também?)
6. Por quanto tempo são retidos
7. São compartilhados com terceiros? (parceiros, plataformas de marketing, gateways de pagamento)

Esse exercício costuma revelar surpresas desagradáveis: listas de e-mails em planilhas sem proteção, dados de clientes antigos que nunca foram excluídos, integrações com ferramentas externas que ninguém se lembra de ter configurado.

Política de Privacidade e Aviso de Cookies: Não É Só Copia e Cola

Um dos erros mais comuns é baixar um modelo genérico de política de privacidade da internet e publicar sem adaptação. O documento precisa refletir o que sua empresa realmente faz com os dados — caso contrário, ele pode ser usado contra você numa investigação.

O Que Deve Constar na Política de Privacidade

• Identidade e contato do controlador (sua empresa)
• Dados do Encarregado de Proteção de Dados (DPO), se houver
• Quais dados são coletados e para quê
• Com quem os dados são compartilhados
• Transferências internacionais de dados (quando usa ferramentas como AWS, Google Cloud, HubSpot)
• Por quanto tempo os dados ficam retidos
• Como o titular pode exercer seus direitos
• Como o titular pode revogar o consentimento

Para sites com cookies de rastreamento e análise — o que inclui praticamente qualquer site com Google Analytics ou Meta Pixel — é necessário também um aviso de cookies que permita ao usuário aceitar ou recusar categorias específicas.

Consentimento: Quando Você Precisa e Quando Não Precisa

Muitas empresas partem do princípio de que precisam de consentimento para tudo. Não é assim que a lei funciona. O consentimento é apenas uma das dez bases legais previstas na LGPD — e não necessariamente a mais adequada para todos os casos.

Se você coleta dados para executar um contrato com o cliente (por exemplo, um endereço para entrega), a base legal é a execução de contrato, não o consentimento. Se você guarda dados fiscais por obrigação tributária, a base é cumprimento de obrigação legal.

O consentimento faz mais sentido para envio de newsletter, comunicações de marketing e uso de dados para perfis comportamentais. E quando usado, precisa ser:

• Livre: sem pressão ou condicionar o uso do serviço
• Informado: o usuário sabe exatamente o que está autorizando
• Específico: não é um consentimento genérico para "tudo"
• Inequívoco: sem checkboxes pré-marcados

Quem É o DPO e Sua Empresa Precisa de Um?

O DPO (Data Protection Officer) ou Encarregado de Proteção de Dados é a pessoa responsável por fazer a interface entre a empresa, os titulares e a ANPD. A LGPD exige que toda empresa que trate dados pessoais tenha um encarregado indicado.

A boa notícia: não precisa ser um funcionário exclusivo. Pode ser um colaborador interno que acumula essa função, ou uma empresa contratada para isso (o chamado DPO-as-a-Service, que está se tornando comum no Brasil). Para pequenas empresas com tratamento de dados de baixo risco, o próprio sócio pode assumir o papel com treinamento adequado.

O nome e o contato do DPO precisam estar públicos — geralmente na política de privacidade do site.

Segurança Técnica: Além do Papel

Adequação à LGPD não é apenas documentação. A lei exige medidas técnicas e administrativas para proteger os dados. Isso se traduz em práticas concretas de segurança da informação — muitas das quais já são recomendadas por outros motivos.

Medidas Técnicas Essenciais

• Controle de acesso: cada colaborador acessa apenas os dados necessários para a sua função (princípio do menor privilégio)
• Criptografia: dados sensíveis armazenados e transmitidos de forma criptografada
• Autenticação forte: uso de autenticação multifator, especialmente em sistemas que concentram dados de clientes
• Backups seguros: cópias de segurança com controle de acesso próprio
• Logs de acesso: registros de quem acessou o quê e quando
• Política de senhas: senhas fortes, trocas periódicas, proibição de reutilização

Se sua empresa usa ferramentas como CRMs e plataformas de automação, verifique os contratos com esses fornecedores. Eles são considerados operadores de dados sob a LGPD e você, como controlador, é responsável por garantir que eles também estejam em conformidade.

Resposta a Incidentes: O Que Fazer Quando Acontece um Vazamento

A LGPD exige que incidentes de segurança que possam acarretar risco ou dano relevante aos titulares sejam comunicados à ANPD e aos próprios titulares. O prazo é de 72 horas após a ciência do incidente — o mesmo padrão do GDPR europeu.

Para estar preparado, sua empresa precisa de um plano básico de resposta a incidentes que defina:

1. Como identificar que um incidente ocorreu
2. Quem é notificado internamente (DPO, direção, TI)
3. Como avaliar a gravidade e o risco para os titulares
4. Como e quando comunicar a ANPD
5. Como comunicar os titulares afetados
6. Como documentar o incidente e as ações tomadas

Sem esse plano, empresas que sofrem ataques como ransomware ficam sem saber como agir nos momentos críticos, o que pode agravar as sanções.

Direitos dos Titulares: Prepare-se Para Receber Pedidos

A LGPD garante ao cidadão uma série de direitos que ele pode exercer a qualquer momento. Sua empresa precisa estar pronta para responder. Os principais são:

• Acesso: o titular pode pedir uma cópia dos dados que você tem sobre ele
• Correção: pode pedir que dados incorretos sejam corrigidos
• Exclusão: pode pedir que dados desnecessários ou tratados sem base legal sejam apagados
• Portabilidade: pode pedir os dados em formato estruturado para levar a outro fornecedor
• Revogação de consentimento: pode retirar o consentimento a qualquer momento
• Oposição: pode se opor a tratamentos baseados em legítimo interesse

O prazo para resposta não está fixado em lei, mas a ANPD orienta que seja razoável. Ter um canal claro para receber esses pedidos — um e-mail dedicado, por exemplo — já é um bom começo.

Treinamento da Equipe: O Elo Mais Fraco da Corrente

De nada adianta ter documentação impecável se os colaboradores não sabem como lidar com dados pessoais no dia a dia. Boa parte dos incidentes de segurança começa com um erro humano — um e-mail enviado para o destinatário errado, uma planilha compartilhada sem proteção, um clique num link de phishing.

Treinamentos periódicos não precisam ser longos. Uma sessão mensal de 30 minutos sobre boas práticas já é muito mais eficaz do que um treinamento anual que ninguém lembra. Tópicos essenciais incluem:

• O que são dados pessoais e dados sensíveis
• Como lidar com pedidos de titulares
• Como identificar tentativas de phishing
• Como reportar um incidente internamente
• Regras para compartilhamento de dados com terceiros

Se sua empresa usa ferramentas de automação e IA, inclua no treinamento orientações sobre o que pode ou não ser inserido nessas ferramentas — especialmente quando se trata de dados de clientes.

Adequação Contínua, Não Projeto com Data de Fim

Um equívoco frequente é tratar a adequação à LGPD como um projeto com início, meio e fim. Você faz o mapeamento, publica a política de privacidade, nomeia o DPO e considera o trabalho encerrado. Não funciona assim.

A conformidade é um processo contínuo. Cada vez que você lança um novo produto, usa uma nova ferramenta, abre um novo canal de atendimento ou firma uma parceria comercial que envolve dados, o ciclo recomeça. É preciso revisar o mapeamento, verificar as bases legais, atualizar contratos e comunicações.

Empresas que entendem isso constroem uma cultura de privacidade — onde a proteção de dados faz parte das decisões de negócio desde o início, e não é uma obrigação que se cumpre às pressas quando chega uma autuação.

Se você ainda não começou, o primeiro passo é o mais simples: abra uma planilha e comece a mapear os dados que sua empresa coleta. Esse exercício já vai mostrar onde estão os maiores riscos — e onde focar primeiro.