LGPD: Guia Prático de Adequação para Empresas

LGPD na Prática: Roteiro de Adequação para Empresas#

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não é mais novidade — está em vigor e a ANPD (Autoridade Nacional de Proteção de Dados) já aplica sanções a organizações que não se adequaram. Para empresas de todos os portes e setores, a adequação à LGPD é uma obrigação legal, mas também uma oportunidade de fortalecer a relação de confiança com clientes e parceiros. Este guia oferece um roteiro prático e objetivo para advogados que assessoram empresas no processo de adequação.

Bruno Bioni, referência nacional em proteção de dados, destaca que a LGPD não é uma lei de compliance burocrático — é uma mudança cultural na forma como organizações tratam dados pessoais. A adequação efetiva vai além do cumprimento formal: exige internalização de princípios de proteção de dados em todas as operações da empresa. A Emenda Constitucional 115/2022 elevou a proteção de dados pessoais a direito fundamental (art. 5º, LXXIX, CF), reforçando sua importância no ordenamento jurídico.

Fase 1: Diagnóstico e Mapeamento#

Mapeamento de Dados (Data Mapping)#

O primeiro passo é compreender quais dados pessoais a empresa trata e como:

• Inventário completo de dados pessoais: quais dados são coletados, de quem (clientes, empregados, fornecedores, visitantes), por quais meios (site, formulários, contratos, sistemas)

• Fluxo de dados: por onde os dados circulam dentro da empresa, quem tem acesso, para quem são compartilhados

• Classificação: dados pessoais comuns, dados sensíveis (art. 5º, II — saúde, biometria, orientação sexual, religião), dados de crianças e adolescentes

• Finalidade: para que cada dado é utilizado (execução de contrato, marketing, RH, compliance)

• Base legal: identificação da base legal para cada tratamento (art. 7º para dados comuns, art. 11 para dados sensíveis)

• Retenção: por quanto tempo cada dado é armazenado e qual o critério para eliminação

Análise de Gap#

Com o mapeamento em mãos, identifique as lacunas entre a situação atual e os requisitos da LGPD:

• Quais tratamentos não possuem base legal adequada?

• Quais dados são coletados sem necessidade (princípio da necessidade, art. 6º, III)?

• Onde há compartilhamento não documentado ou não autorizado?

• Quais medidas de segurança estão ausentes ou insuficientes?

• Existe política de privacidade adequada e atualizada?

• Os direitos dos titulares (art. 18) podem ser atendidos com os processos atuais?

O art. 37 da LGPD exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais (ROPA). O mapeamento é o insumo fundamental para esse registro obrigatório.

Fase 2: Estruturação do Programa#

Governança de Dados#

Defina a estrutura organizacional para proteção de dados:

• Nomeação do DPO (Encarregado de Proteção de Dados) conforme art. 41 da LGPD

• Comitê de privacidade: representantes das áreas-chave (TI, jurídico, RH, marketing, compliance)

• Políticas internas: política de privacidade, política de segurança da informação, política de retenção de dados

• Papéis e responsabilidades: definição clara de quem é responsável por cada aspecto da proteção de dados

Adequação Documental#

Revisão e criação de documentos essenciais:

• Política de Privacidade externa: informação clara aos titulares sobre como seus dados são tratados

• Aviso de cookies: conformidade com práticas de rastreamento digital

• Termos de uso: adequação às exigências da LGPD

• Contratos com operadores (Data Processing Agreements): cláusulas de proteção de dados em contratos com fornecedores que processam dados em nome da empresa

• Contratos de trabalho: cláusulas sobre tratamento de dados de empregados

• ROPA (Registro de Operações de Tratamento de Dados Pessoais): documentação obrigatória

• RIPD (Relatório de Impacto à Proteção de Dados Pessoais): para tratamentos de alto risco

Patricia Peck enfatiza que a adequação documental não é um exercício de produção de papéis — é a formalização de práticas que devem ser efetivamente implementadas e seguidas pela organização.

Bases Legais#

Para cada tratamento identificado no mapeamento, defina a base legal adequada:

• Consentimento (art. 7º, I): quando necessário, deve ser livre, informado, inequívoco e para finalidade determinada

• Execução de contrato (art. 7º, V): tratamento necessário para a execução de contrato do qual o titular é parte

• Legítimo interesse (art. 7º, IX): base mais flexível mas que exige teste de proporcionalidade (LIA — Legitimate Interest Assessment)

• Obrigação legal (art. 7º, II): quando a lei exige o tratamento (ex.: obrigações fiscais, trabalhistas)

• Exercício regular de direitos (art. 7º, VI): dados necessários para exercício de direitos em processo judicial ou administrativo

Fase 3: Implementação de Medidas Técnicas#

Segurança da Informação#

A LGPD exige medidas técnicas adequadas (art. 46):

• Controle de acesso: apenas pessoas autorizadas acessam dados pessoais, conforme a necessidade

• Criptografia: dados sensíveis devem ser criptografados em trânsito e em repouso

• Backup e recuperação: plano de continuidade para garantir disponibilidade dos dados

• Monitoramento: detecção de acessos não autorizados e tentativas de violação

• Atualizações: manutenção de sistemas e softwares atualizados contra vulnerabilidades

Gestão de Consentimento#

Quando o consentimento é a base legal utilizada:

• Mecanismo claro de coleta: opt-in explícito, não pré-marcado

• Registro do consentimento: data, hora, versão da política, IP (quando online)

• Possibilidade de revogação: tão fácil quanto a concessão (art. 8º, §5º)

• Granularidade: consentimento separado para finalidades distintas

Canal de Atendimento aos Titulares#

Implementação de processo para atender direitos dos titulares (art. 18):

• Canal de comunicação acessível (e-mail dedicado, formulário, área do site)

• Processo interno para receber, avaliar e responder solicitações

• Prazos definidos para resposta (regulamentação da ANPD)

• Documentação de todas as solicitações e respostas

Fase 4: Treinamento e Cultura#

Capacitação da Equipe#

A LGPD não funciona sem pessoas capacitadas:

• Treinamento geral: todos os colaboradores devem compreender princípios básicos de proteção de dados

• Treinamento específico: áreas que lidam mais intensamente com dados pessoais (RH, marketing, atendimento, TI) precisam de capacitação aprofundada

• Reciclagem periódica: atualização conforme a regulamentação evolui

• Testes e simulações: exercícios práticos de resposta a incidentes

Cultura de Privacidade#

A proteção de dados deve se tornar parte da cultura organizacional:

• Liderança pelo exemplo: a diretoria deve demonstrar compromisso com a proteção de dados

• Comunicação interna: campanhas e lembretes sobre boas práticas

• Incentivos: reconhecimento de comportamentos alinhados com a proteção de dados

• Privacy by design: incorporar proteção de dados desde a concepção de novos produtos e serviços

Fase 5: Monitoramento e Melhoria Contínua#

A adequação à LGPD não é um projeto com data de conclusão — é um processo contínuo:

• Auditorias periódicas: verificação regular da conformidade com políticas e procedimentos

• Atualização de mapeamento: revisão do inventário de dados conforme a empresa evolui

• Acompanhamento regulatório: monitoramento de novas regulamentações da ANPD

• Gestão de incidentes: plano atualizado de resposta a vazamentos e violações

• Indicadores: métricas de conformidade (solicitações atendidas, incidentes, treinamentos realizados)

Eduardo Sabbag observa que obrigações regulatórias exigem monitoramento contínuo para manutenção da conformidade. A LGPD não é diferente — a adequação inicial é apenas o começo.

Perguntas Frequentes#

Empresas pequenas precisam se adequar à LGPD?#

Sim. A LGPD se aplica a toda organização que trate dados pessoais, independente do porte. A ANPD publicou regulamentação específica para micro e pequenas empresas, com obrigações simplificadas, mas a adequação é obrigatória.

Quanto tempo leva um projeto de adequação à LGPD?#

Depende do porte e da complexidade da empresa. Micro e pequenas empresas podem se adequar em 2-4 meses. Médias empresas em 4-8 meses. Grandes empresas com operações complexas podem levar 12-18 meses para uma adequação completa.

Quais são as sanções por descumprimento da LGPD?#

As sanções incluem advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação de dados pessoais. A ANPD já aplicou sanções a empresas em descumprimento.

O advogado pode conduzir sozinho a adequação?#

O advogado lidera o aspecto jurídico (mapeamento, bases legais, documentação, governança), mas a implementação técnica exige colaboração com profissionais de TI e segurança da informação. A adequação efetiva é multidisciplinar.

---

Domine a adequação à LGPD na prática nos labs do Portal do Advogado.AI — cenários reais de mapeamento, incidentes e gestão de direitos com feedback especializado.