LGPD na prática: o que a sua empresa precisa fazer (e o que é mito)

Precisa de ajuda com o seu caso? Fale com a nossa equipe de direito empresarial em São Paulo.

“A LGPD vale para a minha empresa? Ela é pequena, não vende pela internet.” Vale. Se a empresa tem funcionários, guarda currículos, mantém cadastro de clientes ou trata dados de fornecedores, ela trata dados pessoais — e está no alcance da lei. Porte não é critério de aplicação; é critério de proporcionalidade das medidas.

O problema é que a LGPD virou, para muita empresa, uma mistura de pânico e venda de pacotes. Há quem gaste caro em soluções desnecessárias e quem não faça o básico — que é barato e resolve a maior parte do risco. Este artigo separa o que a lei realmente exige do que é mito de mercado.

A quem a LGPD se aplica (e o que conta como dado pessoal)

A lei alcança qualquer operação com dados pessoais — coleta, armazenamento, uso, compartilhamento, exclusão — realizada por pessoa física ou jurídica, no meio digital ou em papel. Dado pessoal é o que identifica ou torna identificável alguém: nome, CPF, e-mail, telefone, IP, geolocalização, imagem.

Uma categoria merece cuidado redobrado: os dados sensíveis — saúde, biometria, dados genéticos, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual. Seu tratamento tem regras mais rígidas. Atestados médicos de funcionários, por exemplo, são dado sensível — e muita empresa os guarda em pastas compartilhadas sem qualquer controle.

O ponto que quase todo mundo erra: consentimento não é a regra

O maior mito da LGPD é achar que tudo precisa de consentimento. Não precisa. A lei traz dez bases legais (art. 7º), e o consentimento é apenas uma delas — frequentemente a pior escolha, porque pode ser revogado a qualquer momento.

• Cumprimento de obrigação legal: guardar dados trabalhistas e fiscais exigidos por lei.
• Execução de contrato: usar o endereço do cliente para entregar o produto contratado.
• Legítimo interesse: prevenção a fraude, segurança, algumas ações de relacionamento — exige teste de balanceamento e transparência.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção do crédito, entre outras hipóteses previstas na lei.

A leitura correta é esta: pedir consentimento para o que já é obrigação legal ou execução de contrato não protege a empresa — atrapalha. O trabalho real é escolher e documentar a base legal certa para cada tratamento.

O que a empresa precisa ter, na prática

• Mapeamento de dados: quais dados a empresa coleta, de quem, por quê, onde ficam, quem acessa e por quanto tempo são guardados.
• Registro das operações de tratamento (art. 37) — o documento que demonstra organização e é a primeira coisa pedida em uma fiscalização.
• Base legal definida para cada tratamento, com justificativa registrada.
• Política de privacidade clara e verdadeira (que descreva o que a empresa realmente faz).
• Contratos ajustados com fornecedores que tratam dados por você — sistemas, contabilidade, marketing, nuvem — definindo papéis e responsabilidades.
• Controles de segurança proporcionais: senhas, perfis de acesso, backup, criptografia quando cabível.
• Canal de atendimento ao titular e um processo para responder pedidos de acesso, correção e exclusão.
• Plano de resposta a incidentes, com quem aciona quem e em que prazo.
• Encarregado (DPO) indicado — para empresas de pequeno porte a ANPD flexibiliza, mas alguém precisa ser responsável.

Vazamento de dados: o que fazer nas primeiras horas

Incidente de segurança acontece — inclusive por erro humano, como um e-mail com cópia aberta para uma lista inteira. O que separa um problema administrável de uma crise é o procedimento. A LGPD exige comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante, em prazo razoável — e a ANPD regulamentou esse fluxo.

Na prática: contenha o incidente, registre tudo (o que houve, quando, quais dados, quantas pessoas), avalie o risco, comunique quando devido e documente as medidas adotadas. Traduzindo: a empresa que registra e responde bem costuma sofrer consequência muito menor do que a que esconde.

Sanções: o que a ANPD pode aplicar

• Advertência, com prazo para correção.
• Multa simples de até 2% do faturamento no Brasil, no último exercício, limitada a R$ 50 milhões por infração.
• Multa diária, observado o mesmo limite.
• Publicização da infração — muitas vezes o efeito mais doloroso.
• Bloqueio ou eliminação dos dados envolvidos.
• Suspensão parcial ou total da atividade de tratamento, nos casos mais graves.

Vale um alerta que costuma ser esquecido: além da ANPD, há o risco civil (ações de titulares por dano), o risco contratual (grandes clientes exigem cláusulas e auditoria de LGPD — quem não tem, perde contrato) e a atuação do Ministério Público e dos Procons.

Por onde começar sem gastar o que não precisa

A adequação inteligente é proporcional ao risco. Uma empresa que trata dados sensíveis em volume não se compara a um escritório com dez funcionários e uma lista de clientes. Um roteiro realista:

• 1) Mapear os tratamentos (uma planilha honesta já resolve o começo).
• 2) Definir a base legal de cada um e eliminar coletas desnecessárias — dado que você não coleta é risco que você não corre.
• 3) Ajustar contratos com fornecedores e revisar acessos internos.
• 4) Publicar política de privacidade verdadeira e criar canal do titular.
• 5) Escrever o plano de incidentes e treinar a equipe (a maior parte dos vazamentos começa em erro humano).

Exemplo prático: a adequação que evitou a perda do contrato

Uma empresa de serviços com 40 funcionários foi incluída no processo de homologação de um cliente grande, que exigia cláusulas de proteção de dados e evidências mínimas de adequação. Não havia mapeamento, os currículos ficavam numa pasta aberta e o contrato com o sistema de RH não tinha uma linha sobre dados.

Em poucas semanas: mapeamento feito, acessos restringidos, aditivos assinados com três fornecedores, política publicada e plano de incidentes escrito. O contrato foi mantido — e, no caminho, a empresa descobriu que guardava currículos de 2015 sem necessidade nenhuma. Nem sempre o motivo de adequar é a multa; muitas vezes é o cliente.

Perguntas frequentes

A LGPD se aplica a pequenas empresas?

Sim. A lei não isenta pequenas empresas: se há tratamento de dados pessoais — inclusive de funcionários, currículos e fornecedores —, ela se aplica. O que muda é a proporcionalidade. A ANPD editou regras simplificadas para agentes de pequeno porte, flexibilizando exigências como a indicação formal de encarregado e prazos. O básico continua valendo: mapear, ter base legal, cuidar da segurança e saber responder aos titulares.

Preciso pedir consentimento para tudo?

Não, e esse é o maior mito da LGPD. O consentimento é apenas uma das dez bases legais do art. 7º. Muitos tratamentos se apoiam em outras bases — cumprimento de obrigação legal (dados trabalhistas), execução de contrato (entrega de um produto), legítimo interesse (prevenção a fraude). Usar consentimento onde não cabe até enfraquece a posição da empresa, pois ele pode ser revogado a qualquer momento.

Qual a multa da LGPD?

A ANPD pode aplicar advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e, nos casos graves, suspensão da atividade de tratamento. Na prática, porém, o custo que mais atinge empresas costuma ser contratual (perder clientes que exigem adequação) e reputacional.

Tivemos um vazamento de dados. Precisamos avisar a ANPD?

Deve haver comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante, dentro do prazo previsto na regulamentação. O primeiro passo é conter o incidente e registrar tudo: o que ocorreu, quando, quais dados e quantas pessoas foram afetadas. Depois, avaliar o risco e comunicar quando devido, documentando as medidas adotadas. Empresas que registram e respondem bem costumam sofrer consequências menores.

Por onde começar a adequação à LGPD?

Comece pelo mapeamento: quais dados a empresa coleta, de quem, por quê, onde ficam, quem acessa e por quanto tempo. Em seguida, defina a base legal de cada tratamento e elimine coletas desnecessárias — dado que não se coleta é risco que não se corre. Depois, ajuste os contratos com fornecedores que tratam dados por você, publique uma política de privacidade verdadeira, crie o canal do titular e escreva um plano de resposta a incidentes.

LGPD bem feita não é um projeto eterno nem um selo comprado: é organizar o que a empresa já faz com dados, com medidas proporcionais ao risco real. Na Falchet e Marques Sociedade de Advogados, escritório em São Paulo (Av. Paulista), conduzimos adequação em etapas — do mapeamento aos contratos e ao plano de incidentes —, com foco no que reduz risco de verdade.

Fale com o nosso time pelo WhatsApp: +55 11 95901-1854 — sua empresa precisa se adequar ou recebeu exigência de LGPD de um cliente? Conte o cenário para avaliarmos o caminho mais objetivo.