LGPD para Empresas: Primeiros Passos para Adequação

1. A LGPD se aplica somente a grandes empresas?

Não.

A LGPD pode atingir organizações de diferentes portes sempre que houver tratamento de dados pessoais abrangido pela legislação.

Isso inclui atividades aparentemente simples, como:

• cadastro de clientes;
• envio de propostas comerciais;
• contratos;
• emissão de notas fiscais;
• folha de pagamento;
• recrutamento;
• cadastro de fornecedores;
• câmeras de segurança;
• controle de acesso;
• atendimento por WhatsApp;
• formulários do site;
• campanhas de marketing;
• armazenamento de documentos em serviços de nuvem.

Assim, mesmo empresas com estruturas relativamente pequenas podem realizar diariamente diversas operações envolvendo dados pessoais.

2. O primeiro passo: descobrir quais dados a empresa realmente possui

Antes de criar documentos ou alterar sistemas, é recomendável realizar um mapeamento do tratamento de dados pessoais.

A empresa deve identificar, entre outros pontos:

Esse inventário permite visualizar o chamado ciclo de vida dos dados dentro da organização.

3. Toda utilização de dados depende de consentimento?

Não.

Esse é um dos equívocos mais comuns sobre a LGPD.

O consentimento é apenas uma das hipóteses legais que podem autorizar o tratamento de dados pessoais.

Dependendo da situação, o tratamento poderá estar relacionado, por exemplo, ao cumprimento de obrigação legal ou regulatória, à execução de contrato, ao exercício regular de direitos ou a outras bases previstas na legislação.

Por isso, solicitar consentimento indiscriminadamente pode ser tão inadequado quanto não analisar fundamento jurídico algum.

A questão correta não é apenas:

“Temos consentimento?”

Mas:

“Qual é a finalidade deste tratamento e qual fundamento jurídico é adequado para esta situação?”

4. Dados pessoais e dados pessoais sensíveis não são a mesma coisa

A legislação estabelece proteção específica para determinadas informações consideradas dados pessoais sensíveis.

Podem estar nessa categoria, por exemplo, dados relacionados à saúde, biometria, origem racial ou étnica, convicções religiosas e determinadas informações previstas expressamente na legislação.

Empresas que tratam esse tipo de informação precisam dedicar atenção especial às hipóteses legais aplicáveis, controles de acesso, armazenamento e segurança.

Uma clínica médica, por exemplo, enfrenta riscos diferentes daqueles existentes em uma imobiliária, construtora ou empresa de tecnologia.

Por isso, programas de adequação não devem ser simplesmente copiados de uma empresa para outra.

5. Revise contratos com fornecedores

Uma parte significativa dos dados empresariais passa por terceiros.

Sistemas de gestão, serviços de contabilidade, plataformas de marketing, hospedagem, armazenamento em nuvem, software de atendimento, meios de pagamento e inúmeros outros fornecedores podem participar do tratamento.

Por isso, uma análise de conformidade deve verificar:

• quais fornecedores recebem dados;
• qual é a finalidade desse compartilhamento;
• quais responsabilidades cada participante possui;
• quais medidas de segurança são adotadas;
• o que acontece após o encerramento do contrato;
• como serão tratados eventuais incidentes.

A proteção de dados, portanto, também deve fazer parte da gestão contratual da empresa.

6. Política de Privacidade é importante, mas não resolve tudo

Uma Política de Privacidade bem elaborada é um instrumento de transparência.

Entretanto, ela não substitui a adequação interna.

Uma empresa pode possuir excelente Política de Privacidade publicada em seu site e, ao mesmo tempo, manter bancos de dados excessivos, acessos desnecessários ou procedimentos incompatíveis com aquilo que declara publicamente.

A lógica deve ser inversa:

primeiro compreender e organizar a operação; depois documentá-la adequadamente.

7. Segurança da informação também faz parte da adequação

Proteção de dados não é exclusivamente uma questão documental.

É necessário avaliar medidas técnicas e administrativas compatíveis com os riscos da organização.

Alguns cuidados iniciais podem envolver:

• controle de acesso aos sistemas;
• revisão de senhas e permissões;
• autenticação adicional quando adequada;
• backups;
• atualização de sistemas;
• controle de dispositivos;
• restrição de acesso a documentos;
• descarte seguro de informações;
• treinamento de pessoas.

Nem todos os empregados precisam ter acesso a todos os dados.

O princípio deve ser permitir acesso às informações na medida necessária para o exercício da atividade profissional.

8. A empresa precisa estar preparada para atender titulares

A LGPD atribui direitos aos titulares dos dados pessoais.

Por isso, a organização precisa estabelecer um procedimento para receber, identificar, avaliar e responder solicitações.

Não basta publicar um endereço eletrônico que ninguém acompanha.

É necessário determinar:

quem recebe a solicitação → quem verifica sua legitimidade → quem localiza as informações → quem avalia juridicamente o pedido → como a resposta será registrada.

Esse procedimento também ajuda a produzir evidências da governança adotada pela organização.

9. E se ocorrer um incidente de segurança?

Nenhuma organização está completamente imune a incidentes.

Phishing, ransomware, perda de equipamentos, envio incorreto de documentos, credenciais comprometidas e acessos indevidos são alguns exemplos.

Por isso, a empresa deve possuir procedimento previamente definido para:

• identificar o incidente;
• conter seus efeitos;
• avaliar quais informações foram atingidas;
• analisar os riscos envolvidos;
• preservar evidências;
• definir as providências técnicas e jurídicas necessárias;
• realizar as comunicações legalmente exigíveis, quando aplicáveis.

Improvisar somente depois do incidente normalmente aumenta o risco operacional.

10. Adequação à LGPD não é um projeto que termina

Outro equívoco frequente é imaginar a adequação como um procedimento executado uma única vez.

Empresas mudam continuamente.

Novos sistemas são contratados. Novos empregados ingressam. Campanhas de marketing são lançadas. Fornecedores são substituídos. Produtos são criados. Novos bancos de dados surgem.

Por isso, proteção de dados deve fazer parte da governança permanente da organização.

Um roteiro inicial para empresas

Uma primeira avaliação pode seguir esta sequência:

1. Mapear dados pessoais

   Identificar o que é coletado e onde está armazenado.

2. Mapear finalidades e fluxos

   Entender por que cada informação é utilizada e para onde ela circula.

3. Identificar os agentes envolvidos

   Verificar controladores, operadores, fornecedores e áreas internas.

4. Examinar as bases legais

   Relacionar cada tratamento relevante ao seu fundamento jurídico.

5. Analisar riscos

   Identificar operações que mereçam maior proteção.

6. Revisar contratos e documentos

   Adequar cláusulas, políticas, avisos e procedimentos internos.

7. Avaliar segurança da informação

   Verificar acessos, sistemas, armazenamento e descarte.

8. Estruturar atendimento aos titulares

   Criar um fluxo interno de solicitações.

9. Preparar resposta a incidentes

   Definir responsabilidades antes que um problema aconteça.

10. Criar rotina de revisão

    Transformar proteção de dados em processo contínuo.

Conclusão

A LGPD não deve ser vista apenas como uma obrigação burocrática.

Uma política de proteção de dados bem estruturada ajuda a empresa a conhecer seus próprios fluxos de informação, revisar contratos, reduzir acessos desnecessários, organizar responsabilidades e melhorar sua governança.

O ponto de partida não é produzir dezenas de documentos.

É responder com clareza a algumas perguntas essenciais:

Quais dados tratamos? Para qual finalidade? Com qual fundamento? Quem tem acesso? Com quem compartilhamos? Por quanto tempo precisamos deles? E o que faremos se alguma coisa der errado?

As respostas revelam o grau real de maturidade da organização em proteção de dados.