LGPD · LEI GERAL DE PROTEÇÃO DE DADOS
O diagnóstico inicial é a parte fácil, e é onde a maioria dos projetos começa e acaba. O que decide se a sua empresa consegue responder a um cliente ou à ANPD dois anos depois é quem mantém o inventário atualizado, quem revisa as bases legais quando o negócio muda e quem responde o titular dentro do prazo. É disso que esta página trata.
A LGPD é lei, e a interpretação dela é trabalho jurídico. A DM11 conduz a adequação com especialista em direito digital ao lado do especialista em gestão, porque separar as duas coisas é o que produz projeto bonito que não se sustenta numa fiscalização. Quando o objetivo também inclui um documento emitido por terceiro, a página da ISO 27701 explica esse caminho.
Quem conduz a adequação
Especialistas em proteção de dados certificados pela EXIN (DPO, PDPP e PDPF)
Consultoria jurídica em privacidade e direito digital
ISO/IEC 27001 Lead Auditor certificado pela BSI
17 anos de governança, riscos e conformidades
O QUE A LEI EXIGE
A Lei 13.709/2018 alcança qualquer empresa que trate dado pessoal no Brasil, e trata de dado pessoal quem tem funcionário, cliente ou fornecedor pessoa física. Ela não lista tecnologia nem controle: lista princípios, direitos do titular e responsabilidades. Na prática isso significa que a empresa escolhe como cumprir, e precisa conseguir demonstrar o que escolheu, quando decidiu e por quê.
Não existe faturamento mínimo nem número de funcionários abaixo do qual a lei não alcança. O que existe é um regime simplificado da ANPD para agentes de tratamento de pequeno porte, que reduz formalidade em algumas obrigações sem retirar nenhuma delas. Empresa pequena tem menos papel a produzir, não menos dever.
O erro mais comum e mais caro é tratar consentimento como padrão. A lei traz dez bases legais, e o consentimento é uma delas, quase sempre a mais frágil para processo de negócio, porque pode ser retirado a qualquer momento e derruba o tratamento junto. Escolher a base certa por tratamento é a decisão que mais muda o projeto, e é decisão jurídica.
A lei exige indicar um encarregado pelo tratamento de dados pessoais e divulgar publicamente a identidade e o contato dele. Pode ser alguém de dentro, com o papel formalizado, ou um serviço externo. O que não funciona é o nome no rodapé do site sem processo por trás, porque o titular escreve e o relógio começa a correr.
Vale alinhar isso cedo, porque muda o que a empresa deve produzir. A lei não é certificável, e o que demonstra conformidade é evidência datada: inventário de tratamentos, base legal registrada, relatório de impacto onde a lei pede, registro de pedidos de titular atendidos e prova de que a governança funciona. Quando o cliente quer um documento emitido por terceiro, e cliente europeu costuma querer, o caminho é a ISO 27701, e o material construído aqui entra inteiro nesse projeto.
QUEM COSTUMA PROCURAR
Raramente a LGPD entra na pauta por convicção. Entra porque alguém de fora perguntou, ou porque algo aconteceu.
Cliente grande, banco, seguradora ou empresa estrangeira mandou um formulário com dezenas de perguntas e prazo curto. Responder sem base produz duas coisas ruins: resposta otimista que não se sustenta na próxima auditoria, e ausência de resposta que trava o contrato.
Vazamento, ransomware ou um e-mail que saiu para a lista errada. A pergunta que aparece na hora é se precisa comunicar à ANPD e aos titulares, e essa decisão é péssima de tomar às pressas, sem inventário e sem plano definido antes.
Venda da empresa, captação ou entrada de sócio. Privacidade virou item de checklist em due diligence, e passivo de dado pessoal apareceu como desconto de preço em transação. Aqui o prazo é dado por outro calendário, e ele não negocia.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Comércio eletrônico
A empresa havia colocado um aviso de consentimento em cada ponto de coleta e considerava o assunto resolvido. Quando começaram os pedidos de exclusão, descobriu que a mesma marcação sustentava a entrega do pedido, a nota fiscal e a cobrança, e que atender ao titular ao pé da letra quebraria a operação.
Refizemos a análise tratamento a tratamento, com o jurídico junto. Boa parte do que estava em consentimento tinha base legal melhor: execução de contrato para a entrega, obrigação legal para a nota, legítimo interesse documentado para prevenção a fraude. O consentimento ficou onde ele é de fato a base correta, que é a comunicação de marketing.
Os pedidos de exclusão pararam de ser crise e viraram processo. E a base de marketing encolheu bem menos do que o time temia, porque quase todo o resto nunca dependeu de consentimento para começar.
Serviços de recursos humanos
A empresa mantinha currículos, resultados de testes e anotações de entrevista de todo mundo que já se candidatou, sem prazo e sem critério. Ninguém tinha decidido guardar para sempre: simplesmente nunca houve decisão de descartar, e o volume acumulou por anos.
Definimos prazo de retenção por tipo de informação, com o jurídico avaliando o que precisa ficar por obrigação legal e o que só existia por conveniência. Implantamos o descarte, e o mais difícil não foi técnico: foi acertar o que fazer com anotação subjetiva de entrevistador, que é dado pessoal e o time não enxergava assim.
O acervo diminuiu de forma expressiva, e com ele o tamanho de qualquer incidente futuro. Dado que não existe mais não vaza, e essa foi a redução de risco mais barata do projeto inteiro.
Indústria
Dezenas de fornecedores tocavam dado pessoal da empresa, de folha a benefícios, de sistema de ponto a plataforma de treinamento. Nenhum contrato tinha cláusula de proteção de dados, e ninguém sabia dizer quais deles armazenavam informação fora do país.
Levantamos quem toca o quê e classificamos por risco, em vez de tratar os quarenta como iguais. Os poucos críticos ganharam revisão contratual completa e verificação de onde os dados ficam. O resto entrou em um aditivo padrão, com prazo, e o processo de compras passou a exigir a cláusula antes da assinatura.
O ganho não foi só jurídico. Ao mapear os fornecedores, a empresa descobriu três sistemas contratados por área, sem passar pela TI, tratando dado de funcionário. Dois foram desligados.
COMO CONDUZIMOS
Jurídico e gestão andam juntos do primeiro dia, e não em sequência. Adequação conduzida só pelo jurídico produz parecer que ninguém opera, e conduzida só pela tecnologia produz controle sem base legal por trás. As duas leituras precisam se cruzar em cada tratamento.
Levantamos os tratamentos por processo de negócio, com quem opera e não só com quem coordena, porque a planilha oficial quase nunca coincide com a prática. Registramos origem, finalidade, quem acessa, para onde vai, quanto tempo fica e quais fornecedores tocam.
Inventário de tratamentos por processo de negócio
Fluxo de dado pessoal, incluindo transferência a terceiros
Lista de fornecedores com acesso, classificada por risco
Identificação do que é dado pessoal sensível
Marco de entregaInventário aprovado pelas áreas donas dos processos, e não apenas pela TI.
Com o jurídico, definimos a base legal de cada tratamento e registramos a justificativa. Avaliamos os riscos aos titulares, que não são os mesmos riscos da segurança da informação, e produzimos relatório de impacto onde a lei ou o risco pedem.
Base legal registrada e justificada por tratamento
Teste de legítimo interesse onde essa é a base escolhida
Relatório de impacto à proteção de dados, onde aplicável
Política de privacidade e avisos reescritos para o que a empresa realmente faz
Marco de entregaBase legal definida em 100% dos tratamentos inventariados, com o jurídico de acordo.
Implantamos com seu time o que sustenta a decisão no dia a dia: controle de acesso por necessidade, retenção e descarte por tipo de dado, cláusulas nos contratos com terceiros e o processo de atendimento ao titular, com canal, prazo, registro e resposta padronizada.
Processo de atendimento ao titular, com prazo e registro
Política de retenção e descarte, implantada e não só escrita
Cláusulas de proteção de dados revisadas nos contratos de terceiros
Encarregado formalizado e contato publicado
Marco de entregaPrimeiro ciclo de pedidos de titular atendido dentro do prazo, com registro completo.
É a fase que separa adequação de relatório. Definimos quem revisa o quê e com que frequência, treinamos quem opera e ensaiamos um incidente, para a decisão de comunicar à ANPD e aos titulares ser tomada com plano na mão e não no susto.
Rotina de revisão definida, com responsável e periodicidade
Plano de resposta a incidente com dado pessoal, ensaiado
Treinamento das áreas que mais tratam dado pessoal
Relatório para a direção, com o que ficou pendente escrito
Marco de entregaEnsaio de incidente concluído, com a decisão de comunicar tomada dentro do plano.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. A primeira conversa costuma bastar para separar os dois casos que mais aparecem: a empresa que nunca fez nada e a que fez um projeto anos atrás e não manteve. A segunda quase sempre está mais perto do que imagina, e às vezes mais longe.
Uma operação com meia dúzia de sistemas é um projeto. Uma com dezenas de fornecedores e áreas contratando ferramenta por conta própria é outro, e boa parte do tempo vai embora descobrindo o que existe antes de decidir qualquer coisa.
Com alguém de dentro disponível, o papel se formaliza rápido. Sem ninguém, a decisão entre nomear internamente e contratar o serviço precisa ser tomada cedo, porque o encarregado participa do projeto e não entra depois de pronto.
Adequar é o suficiente para responder cliente e regulador com evidência própria. Quando existe intenção de certificar privacidade depois, organizamos o material já no formato da ISO 27701 desde o começo, o que custa pouco agora e economiza um projeto inteiro depois.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
A lei em si não é certificável, e vale saber disso antes de contratar qualquer coisa, porque o termo circula bastante no mercado. O que demonstra conformidade é evidência: inventário atualizado, base legal registrada, atendimento ao titular funcionando e governança que se prova com documento datado. Se o que você precisa é um documento emitido por terceiro, para responder cliente ou regulador, a norma certificável de privacidade é a ISO 27701, e o trabalho de adequação é justamente a base dela.
Traga o questionário ou a cláusula do contrato. Dizemos o que já existe na sua empresa que responde, o que falta de verdade e em que ordem faz sentido resolver, sem transformar isso num projeto de dois anos.