LGPD para empresas: roteiro prático de adequação em 5 etapas

1 Contexto Rápido: Por que isso importa agora?

Toda empresa trata dados pessoais: de empregados, clientes, fornecedores, visitantes e usuários do site. Planilhas de vendas, sistemas de RH, câmeras e grupos de mensagens fazem parte desse universo.

A LGPD não proíbe o uso de dados; ela exige que o tratamento tenha finalidade legítima, base legal e medidas de segurança. A Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza e pode aplicar sanções, que vão de advertência a multa e bloqueio de dados.

Além do risco regulatório, há o risco reputacional e contratual. Grandes clientes já exigem de seus fornecedores comprovação de conformidade, e um vazamento pode gerar ações de titulares e perda de contratos.

2 O Framework ou Método: Método LBB de 5 passos para adequação prática à LGPD

O método busca uma adequação proporcional ao porte e à atividade da empresa. O objetivo não é produzir pilhas de documentos, mas criar rotinas que funcionem e possam ser demonstradas.

Passo 1: Diagnóstico e mapeamento dos dados

• O que fazer: Levantar, por área, quais dados pessoais são coletados, de onde vêm, onde ficam armazenados, quem tem acesso, com quem são compartilhados e por quanto tempo são mantidos. Dar atenção especial a dados sensíveis, como saúde e biometria, e a dados de crianças e adolescentes.
• Por que funciona: O art. 37 da LGPD exige que controlador e operador mantenham registro das operações de tratamento. Sem o mapeamento, a empresa não consegue atender titulares, responder à ANPD nem avaliar riscos.
• Exemplo prático: Uma clínica de estética identifica que fichas de anamnese, com dados de saúde, são enviadas por aplicativo de mensagens para celulares pessoais da equipe. O ponto entra como prioridade de correção.

Passo 2: Definição das bases legais e das políticas

• O que fazer: Associar cada tratamento a uma base legal, elaborar política de privacidade clara para o público externo, políticas internas de segurança e de retenção de dados, e nomear o encarregado pelo tratamento de dados pessoais.
• Por que funciona: O art. 7º da LGPD lista as bases legais para tratamento de dados pessoais, e o art. 11 traz regras específicas para dados sensíveis. O consentimento é apenas uma delas; cumprimento de obrigação legal, execução de contrato e legítimo interesse também podem ser aplicáveis. O art. 41 trata do encarregado, e a regulamentação da ANPD prevê tratamento diferenciado para agentes de pequeno porte.
• Exemplo prático: Um e-commerce percebe que pede consentimento para tudo, inclusive para emitir nota fiscal. A revisão aponta que esse tratamento se apoia no cumprimento de obrigação legal, e o consentimento fica reservado ao envio de ofertas por e-mail.

Passo 3: Contratos com cláusulas de proteção de dados

• O que fazer: Revisar contratos com fornecedores que acessam dados pessoais (sistemas em nuvem, folha de pagamento, marketing, call center), definindo papéis de controlador e operador, instruções de tratamento, medidas de segurança, comunicação de incidentes e devolução ou eliminação dos dados ao fim do contrato.
• Por que funciona: O art. 39 da LGPD determina que o operador realize o tratamento segundo as instruções do controlador. O art. 42 prevê responsabilidade pelos danos causados e hipóteses de responsabilidade solidária entre os agentes. Cláusulas contratuais claras distribuem responsabilidades e permitem regresso em caso de falha do parceiro.
• Exemplo prático: Uma empresa de engenharia terceiriza o processamento da folha. O novo contrato exige do fornecedor medidas de segurança, aviso imediato de incidentes e eliminação dos dados após o encerramento da relação.

Passo 4: Treinamento e cultura de privacidade

• O que fazer: Treinar equipes de acordo com a função (atendimento, RH, vendas, TI, marketing), com exemplos do dia a dia, e criar canais para dúvidas e para pedidos de titulares.
• Por que funciona: Grande parte dos incidentes decorre de falha humana, como envio de arquivo ao destinatário errado ou senha compartilhada. O art. 50 da LGPD incentiva a adoção de programas de governança e boas práticas, que podem ser considerados na dosimetria de eventuais sanções.
• Exemplo prático: Uma imobiliária treina corretores para não compartilhar documentos de clientes em grupos de mensagens e cria um fluxo seguro para envio de contratos e comprovantes.

Passo 5: Plano de resposta a incidentes

• O que fazer: Definir quem compõe o comitê de resposta, como identificar e conter um incidente, como avaliar o risco aos titulares, quando comunicar a ANPD e os titulares e como documentar todas as etapas. Testar o plano periodicamente.
• Por que funciona: O art. 46 da LGPD exige medidas de segurança aptas a proteger os dados, e o art. 48 determina a comunicação à ANPD e ao titular de incidentes que possam acarretar risco ou dano relevante, em prazo definido pela regulamentação. Ter o plano pronto evita decisões improvisadas sob pressão.
• Exemplo prático: Um escritório contábil sofre ataque de ransomware. Com o plano em mãos, a equipe isola os sistemas, aciona a TI, avalia quais dados foram afetados e prepara as comunicações necessárias dentro do prazo regulamentar.

3 Comparativo Estratégico: Abordagem Tradicional vs. Abordagem Moderna

A diferença entre ter documentos e ter conformidade real aparece no primeiro incidente ou fiscalização.

4 Perguntas Frequentes (FAQ)

A LGPD se aplica a pequenas empresas?

Sim. A LGPD se aplica a qualquer pessoa jurídica que trate dados pessoais, independentemente do porte. A regulamentação da ANPD, porém, prevê obrigações simplificadas para agentes de pequeno porte em alguns pontos, desde que não realizem tratamento de alto risco.

Toda empresa precisa ter um encarregado (DPO)?

A regra geral da LGPD é que o controlador indique um encarregado. A regulamentação da ANPD flexibiliza essa exigência para agentes de pequeno porte, que devem, ainda assim, manter um canal de comunicação com os titulares.

Preciso pedir consentimento para tratar dados de clientes?

Nem sempre. O consentimento é uma das bases legais, mas muitos tratamentos se apoiam em outras, como execução de contrato, cumprimento de obrigação legal ou legítimo interesse. Usar a base correta evita problemas quando o titular revoga o consentimento.

O que fazer se a empresa sofrer um vazamento de dados?

Contenha o incidente, preserve evidências, avalie quais dados e titulares foram afetados e verifique se há risco ou dano relevante. Nesse caso, a comunicação à ANPD e aos titulares deve ser feita no prazo previsto na regulamentação.

Quais são as penalidades da LGPD?

O art. 52 da LGPD prevê sanções como advertência, multa simples e diária, publicização da infração, bloqueio e eliminação dos dados e suspensão de atividades de tratamento. Além disso, a empresa pode responder por danos aos titulares na esfera judicial.

Contratos com fornecedores precisam mencionar a LGPD?

É altamente recomendável quando o fornecedor acessa dados pessoais. As cláusulas definem papéis, instruções, medidas de segurança e responsabilidades, protegendo a empresa em caso de falha do parceiro.

Próximos passos recomendados

• Identifique as áreas que mais tratam dados pessoais, como RH, vendas e atendimento.
• Liste os fornecedores que acessam esses dados e verifique se os contratos têm cláusulas de proteção de dados.
• Defina quem responde pela privacidade na empresa e como os titulares podem fazer contato.
• Estruture um plano de resposta a incidentes antes que ele seja necessário.

Se a sua empresa enfrenta essa situação, converse com a equipe da LBB Advocacia Empresarial para uma análise do caso concreto.

Conteúdo informativo, que não substitui a análise jurídica do caso concreto.