LGPD na prática: o que a sua empresa precisa fazer (e o que é mito)

Precisa de ajuda com o seu caso? Fale com a nossa equipe de direito empresarial em São Paulo.

“A LGPD vale para a minha empresa? Ela é pequena, não vende pela internet.” Vale. Se a empresa tem funcionários, guarda currículos, mantém cadastro de clientes ou trata dados de fornecedores, ela trata dados pessoais — e está no alcance da lei. Porte não é critério de aplicação; é critério de proporcionalidade das medidas.

Em torno da LGPD há tanto soluções desnecessariamente complexas quanto empresas que ainda não adotaram medidas básicas. O ponto de partida deve ser o risco real, não um pacote genérico. Este artigo distingue obrigações efetivas de ideias equivocadas sobre adequação.

A quem a LGPD se aplica (e o que conta como dado pessoal)

No seu âmbito de aplicação, a LGPD alcança operações com dados pessoais — coleta, armazenamento, uso, compartilhamento e exclusão — digitais ou em papel. Devem ser observados os critérios territoriais do art. 3º e as exceções do art. 4º, como o uso exclusivamente particular e não econômico por pessoa natural. Dado pessoal identifica ou torna identificável uma pessoa natural: nome, CPF, e-mail, telefone, IP, geolocalização ou imagem, conforme o contexto.

Uma categoria merece cuidado redobrado: os dados sensíveis — saúde, biometria, dados genéticos, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual. Seu tratamento tem regras mais rígidas. Atestados médicos de funcionários, por exemplo, são dado sensível — e muita empresa os guarda em pastas compartilhadas sem qualquer controle.

O ponto que quase todo mundo erra: consentimento não é a regra

Um mito recorrente é achar que tudo precisa de consentimento. O art. 7º prevê dez bases legais para dados pessoais comuns; consentimento é uma delas, pode ser revogado e não é solução universal. Dados sensíveis exigem análise das bases específicas do art. 11.

• Cumprimento de obrigação legal: guardar dados trabalhistas e fiscais exigidos por lei.
• Execução de contrato: usar o endereço do cliente para entregar o produto contratado.
• Legítimo interesse: prevenção a fraude, segurança, algumas ações de relacionamento — exige teste de balanceamento e transparência.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção do crédito, entre outras hipóteses previstas na lei.

A leitura correta é esta: pedir consentimento para o que já é obrigação legal ou execução de contrato não protege a empresa — atrapalha. O trabalho real é escolher e documentar a base legal certa para cada tratamento.

O que a empresa precisa ter, na prática

• Mapeamento de dados: quais dados a empresa coleta, de quem, por quê, onde ficam, quem acessa e por quanto tempo são guardados.
• Registro das operações de tratamento (art. 37): documentação dos tratamentos que pode ser exigida em fiscalização.
• Base legal definida para cada tratamento, com justificativa registrada.
• Política de privacidade clara e verdadeira (que descreva o que a empresa realmente faz).
• Contratos ajustados com fornecedores que tratam dados por você — sistemas, contabilidade, marketing, nuvem — definindo papéis e responsabilidades.
• Controles de segurança proporcionais: senhas, perfis de acesso, backup, criptografia quando cabível.
• Canal de atendimento ao titular e um processo para responder pedidos de acesso, correção e exclusão.
• Plano de resposta a incidentes, com quem aciona quem e em que prazo.
• Encarregado (DPO) indicado quando obrigatório. A Resolução ANPD 2/2022 permite dispensa a determinados agentes de pequeno porte que cumpram seus requisitos, não a toda pequena empresa; os elegíveis devem manter canal com os titulares.

Vazamento de dados: o que fazer nas primeiras horas

Incidentes podem decorrer de ataques ou de erro humano, como e-mail com destinatários expostos. Quando houver possibilidade de risco ou dano relevante aos titulares, o controlador deve comunicar à ANPD e aos afetados. A regra geral da Resolução ANPD 15/2024 é de três dias úteis da ciência de que o incidente afetou dados pessoais, ressalvados prazos legais especiais e o regime diferenciado aplicável. Não espere concluir toda a investigação para avaliar a comunicação.

Contenha o incidente, registre o ocorrido e as datas, identifique dados e pessoas afetadas, avalie o risco e comunique quando devido. Uma resposta transparente e documentada ajuda a gerir o risco, mas não afasta automaticamente a responsabilidade.

Sanções: o que a ANPD pode aplicar

• Advertência, com prazo para correção.
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração.
• Multa diária, observado o mesmo limite.
• Publicização da infração — muitas vezes o efeito mais doloroso.
• Bloqueio ou eliminação dos dados envolvidos.
• Suspensão ou proibição de atividades de tratamento, nos termos e condições legais; não são sanções automáticas.

Além da ANPD, há risco civil por danos a titulares, exigências contratuais de clientes e possíveis atuações do Ministério Público e dos Procons. Falhas de adequação podem dificultar contratações, sem implicar perda automática de todo contrato.

Por onde começar sem gastar o que não precisa

A adequação inteligente é proporcional ao risco. Uma empresa que trata dados sensíveis em volume não se compara a um escritório com dez funcionários e uma lista de clientes. Um roteiro realista:

• 1) Mapear os tratamentos (uma planilha honesta já resolve o começo).
• 2) Definir a base legal de cada um e eliminar coletas desnecessárias — dado que você não coleta é risco que você não corre.
• 3) Ajustar contratos com fornecedores e revisar acessos internos.
• 4) Publicar política de privacidade verdadeira e criar canal do titular.
• 5) Escrever e testar o plano de incidentes e treinar a equipe, inclusive para prevenir e responder a erros humanos.

Exemplo hipotético: adequação para atender a exigências de um cliente

Imagine uma prestadora de serviços com 40 funcionários submetida à homologação de um grande cliente, que exige cláusulas de proteção de dados e evidências de adequação. Não há mapeamento, os currículos estão em pasta aberta e o contrato com o sistema de RH não disciplina dados.

O plano pode incluir mapeamento, restrição de acessos, aditivos com três fornecedores, política e plano de incidentes. A revisão também identifica currículos de 2015 sem necessidade de conservação. As medidas podem ajudar a manter o contrato, mas a aprovação depende dos requisitos do cliente. Trata-se de exemplo hipotético, não de resultado obtido nem promessa de prazo. O motivo de adequar nem sempre é a multa: também pode ser uma exigência comercial.

Perguntas frequentes

A LGPD se aplica a pequenas empresas?

Sim. O pequeno porte não gera isenção geral. A Resolução ANPD 2/2022 admite simplificações para agentes que cumpram seus requisitos e não incidam em exclusões, inclusive tratamentos de alto risco. Permanecem exigíveis base legal, segurança e atendimento aos titulares; a dispensa de encarregado não elimina o canal de comunicação.

Preciso pedir consentimento para tudo?

Não. Consentimento é uma das dez bases do art. 7º para dados comuns; obrigação legal, execução contratual e legítimo interesse, quando justificados, são alternativas. A escolha depende da finalidade e do dado, não de coleta indiscriminada de consentimento. Dados sensíveis exigem as bases específicas do art. 11.

Qual a multa da LGPD?

A LGPD prevê advertência, multa simples de até 2% do faturamento da pessoa jurídica privada, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração, multa diária, publicização, bloqueio ou eliminação e medidas de suspensão ou proibição nas condições legais. Há também possíveis consequências civis, contratuais e reputacionais.

Tivemos um vazamento de dados. Precisamos avisar a ANPD?

O controlador deve comunicar à ANPD e aos titulares afetados se houver possibilidade de risco ou dano relevante. A regra geral da Resolução ANPD 15/2024 é de três dias úteis da ciência de que o incidente afetou dados pessoais, ressalvados prazos especiais e regime diferenciado aplicável. Contenha, registre, avalie o risco e documente as medidas. Não espere toda a investigação para avaliar a comunicação.

Por onde começar a adequação à LGPD?

Comece pelo mapeamento: quais dados a empresa coleta, de quem, por quê, onde ficam, quem acessa e por quanto tempo. Em seguida, defina a base legal de cada tratamento e elimine coletas desnecessárias — dado que não se coleta é risco que não se corre. Depois, ajuste os contratos com fornecedores que tratam dados por você, publique uma política de privacidade verdadeira, crie o canal do titular e escreva um plano de resposta a incidentes.