Adequação à LGPD: o guia completo para a sua empresa se adequar à lei

A LGPD regula o tratamento de dados pessoais, e "tratamento" é qualquer operação com esses dados: coletar, guardar, usar, compartilhar, transferir ou descartar. Dado pessoal é toda informação que identifica ou pode identificar uma pessoa, do nome e CPF ao IP e à geolocalização. Alguns dados recebem proteção reforçada, os chamados dados sensíveis, que revelam origem racial, convicção religiosa, opinião política, saúde, vida sexual, dados genéticos ou biométricos.

A lei se organiza em torno de princípios como finalidade, necessidade, transparência e segurança, e de obrigações concretas que derivam deles. Na prática, uma empresa adequada consegue responder com fatos a algumas perguntas: quais dados eu trato, por quê, com que base legal, quem acessa, com quem compartilho, como atendo os direitos das pessoas e o que faço se houver um vazamento. A adequação é o trabalho de construir essas respostas e mantê-las verdadeiras.

• Mapear os dados pessoais tratados e onde eles ficam
• Definir a base legal de cada tratamento
• Ser transparente com avisos de privacidade e gestão de consentimento
• Atender aos direitos dos titulares dentro dos prazos
• Indicar o encarregado ou manter um canal de contato
• Organizar contratos com operadores e transferências internacionais
• Aplicar segurança da informação sobre os dados
• Preparar a resposta a incidentes e a comunicação à ANPD
• Documentar a governança como evidência de accountability

Todo tratamento de dados pessoais precisa se apoiar em uma das dez bases legais do artigo 7 da LGPD. Consentimento é a mais conhecida, mas está longe de ser a única, e muitas vezes não é a melhor. Cumprir uma obrigação legal, executar um contrato do qual o titular é parte e o legítimo interesse do controlador são bases que sustentam boa parte do tratamento cotidiano de uma empresa. Dados sensíveis seguem uma lista própria e mais restrita, no artigo 11.

O erro clássico é pedir consentimento para tudo, inclusive para operações que a empresa precisa fazer de qualquer forma, como emitir uma nota fiscal. Consentimento pode ser revogado a qualquer momento, e apoiar nele um tratamento obrigatório cria um problema no dia em que o titular disser não. Enquadrar cada fluxo na base correta é uma decisão jurídica que se apoia no mapeamento feito no passo anterior.

A lei dá às pessoas um conjunto de direitos sobre os seus dados, listados no artigo 18: confirmar se existe tratamento, acessar os dados, corrigir informações erradas, pedir anonimização ou eliminação, obter portabilidade, saber com quem os dados foram compartilhados e revogar o consentimento. Há ainda o direito de pedir a revisão de decisões tomadas apenas por sistemas automatizados, no artigo 20.

Ter os direitos na lei não basta; a empresa precisa conseguir atendê-los na prática e dentro dos prazos. Isso exige um canal para receber os pedidos, um processo para localizar os dados da pessoa em todos os sistemas e uma forma de responder com segurança, confirmando a identidade de quem pede. Um pedido de acesso que a empresa não consegue responder em tempo é um sinal de que o mapeamento e os processos ainda têm buracos.

Poucas empresas tratam dados sozinhas. Elas usam um serviço de nuvem, uma ferramenta de e-mail marketing, uma folha de pagamento terceirizada. Cada fornecedor que trata dados pessoais em nome da empresa é um operador, e a relação precisa estar escrita em contrato, deixando claro o que cada lado pode fazer com os dados e quais garantias de segurança são exigidas.

Quando os dados saem do Brasil, entra a transferência internacional. A Resolução CD/ANPD nº 19/2024 regulamentou o tema e definiu mecanismos como as cláusulas-padrão contratuais. O prazo para incorporar as cláusulas-padrão da ANPD nos contratos existentes terminou em agosto de 2025, o que torna esse um ponto de atenção concreto para qualquer empresa que use serviços hospedados fora do país.

Nenhuma empresa está imune a um vazamento, e a lei cobra preparo para essa hipótese. A Resolução CD/ANPD nº 15/2024 fixou o prazo de três dias úteis para comunicar à ANPD e aos titulares afetados um incidente que envolva dados pessoais e possa causar risco ou dano relevante. Para agentes de pequeno porte, esse prazo conta em dobro.

Três dias úteis é pouco tempo para quem começa a organizar a resposta só depois do incidente. Chegar preparado significa ter um plano definido, saber quem aciona quem, conseguir avaliar rapidamente quais dados foram afetados e qual o risco para as pessoas, e ter os modelos de comunicação prontos. A comunicação aos titulares precisa informar a natureza dos dados, os riscos, as medidas tomadas e o contato do encarregado.

A lista de passos parece longa, e nenhuma empresa executa tudo em uma semana. A saída não é paralisar, e sim priorizar por risco. Depois do mapeamento, que vem sempre primeiro por sustentar todo o resto, ataque o que mais dói: os tratamentos de dados sensíveis, os fluxos expostos à internet e os pontos onde um vazamento causaria mais dano às pessoas e à empresa. Adequação é uma jornada, e uma jornada bem ordenada reduz risco desde os primeiros passos.

• Comece pelo mapeamento, que orienta todas as prioridades seguintes
• Priorize os tratamentos de dados sensíveis e de grande volume
• Feche primeiro as exposições técnicas mais graves, como acesso amplo e dados expostos
• Garanta um canal de atendimento ao titular antes de refinar o resto
• Tenha um plano mínimo de resposta a incidentes desde cedo, mesmo que simples
• Documente o que já existe, para mostrar evolução, e evolua o que falta

Registrar a decisão de priorização também conta. Uma empresa que documenta por que atacou primeiro os riscos mais altos demonstra que age com critério, o que sustenta a prestação de contas melhor do que uma corrida desordenada atrás de todos os itens ao mesmo tempo.