LGPD in pratica: cosa deve fare davvero la sua azienda (e cosa è mito)

Ha bisogno di aiuto con il suo caso? Parli con il nostro team di diritto commerciale a San Paolo.

«La LGPD si applica alla mia azienda? È piccola e non vende online.» Sì. Se l’azienda ha dipendenti, conserva CV, mantiene un database clienti o tratta dati di fornitori, tratta dati personali — e rientra nella legge. La dimensione non è criterio di applicazione; è criterio di proporzionalità delle misure.

La conformità LGPD attrae sia soluzioni inutilmente complesse sia aziende che devono ancora adottare misure di base. Il punto di partenza dovrebbe essere il rischio reale, non un pacchetto generico. Questo articolo separa gli obblighi legali dai luoghi comuni.

A chi si applica la LGPD (e cosa conta come dato personale)

Nel suo ambito, la LGPD copre raccolta, conservazione, uso, condivisione e cancellazione di dati personali, digitali o cartacei. Vanno considerati i criteri territoriali dell'art. 3 e le eccezioni dell'art. 4, incluso il trattamento da parte di persone fisiche per scopi esclusivamente privati e non economici. Il dato personale identifica o rende identificabile una persona: nomi, CPF, email, telefono, indirizzi IP, posizione o immagini, secondo il contesto.

Una categoria merita attenzione extra: i dati sensibili — salute, biometria, dati genetici, origine razziale o etnica, convinzione religiosa, opinione politica, appartenenza sindacale, vita sessuale. Il loro trattamento segue regole più rigide. I certificati medici dei dipendenti, ad esempio, sono dati sensibili — e molte aziende li conservano in cartelle condivise senza controlli.

Quello che quasi tutti sbagliano: il consenso non è la regola

Un mito diffuso è che ogni attività richieda il consenso. L'art. 7 prevede dieci basi giuridiche per i dati personali ordinari. Il consenso è una, può essere revocato e non è una soluzione universale. I dati sensibili richiedono un'analisi separata ai sensi dell'art. 11.

• Adempimento di un obbligo legale: conservare le registrazioni lavorative e fiscali richieste dalla legge.
• Esecuzione di un contratto: usare l'indirizzo del cliente per consegnare il prodotto ordinato.
• Legittimo interesse: prevenzione delle frodi, sicurezza, alcune attività di relazione — richiede bilanciamento e trasparenza.
• Esercizio di diritti in procedimenti giudiziali, amministrativi o arbitrali.
• Tutela del credito, tra gli altri fondamenti legali.

La lettura corretta è questa: chiedere il consenso dove già si applicano obbligo legale o esecuzione del contratto non protegge l'azienda — la ostacola. Il vero lavoro è scegliere e documentare la base giuridica corretta per ciascun trattamento.

Cosa serve davvero all'azienda

• Mappatura dei dati: quali dati si raccolgono, da chi, perché, dove si trovano, chi vi accede e per quanto si conservano.
• Registri delle operazioni di trattamento (art. 37): documentazione che spiega i trattamenti e può essere richiesta in un'ispezione.
• Una base giuridica definita per ciascuna attività, con la motivazione registrata.
• Una informativa privacy chiara e veritiera (che descrive ciò che l'azienda fa davvero).
• Contratti adeguati con i fornitori che trattano dati per voi — sistemi, contabilità, marketing, cloud — che fissano ruoli e responsabilità.
• Controlli di sicurezza proporzionati: password, profili di accesso, backup, crittografia ove appropriata.
• Un canale per gli interessati e un processo per gestire richieste di accesso, rettifica e cancellazione.
• Un piano di risposta agli incidenti, che stabilisce chi scala a chi e in quali tempi.
• Un responsabile della protezione dei dati (encarregado/DPO) ove richiesto. La Risoluzione ANPD 2/2022 consente l'esenzione per gli enti di piccola dimensione ammissibili che soddisfano le condizioni, non per ogni piccola azienda. Gli enti esentati devono mantenere il canale di comunicazione con gli interessati.

Violazione dei dati: cosa fare nelle prime ore

Gli incidenti possono derivare da attacchi o errori umani, come destinatari email esposti. Quando un incidente può causare rischio o danno rilevante agli interessati, il titolare deve notificare ANPD e le persone coinvolte. La regola generale della Risoluzione ANPD 15/2024 è di tre giorni lavorativi dalla consapevolezza che dati personali sono stati coinvolti, fermi termini speciali e regimi differenziati applicabili. Non attenda la fine dell'intera indagine prima di valutare la notifica.

Contenga l'incidente, registri cosa è successo e quando, identifichi dati e persone coinvolti, valuti il rischio e notifichi quando richiesto. Un'azione trasparente e documentata aiuta a gestire il rischio ma non elimina automaticamente la responsabilità.

Sanzioni: cosa può imporre l'ANPD

• Avvertimento, con termine per rimediare.
• Una multa semplice fino al 2% del fatturato brasiliano dell'ente, gruppo o conglomerato nell'esercizio precedente, escluse le imposte, con tetto di R$ 50 milioni per infrazione.
• Multa giornaliera, soggetta allo stesso tetto.
• Pubblicità dell'infrazione — spesso l'effetto più doloroso.
• Blocco o cancellazione dei dati coinvolti.
• Sospensione o divieto delle attività di trattamento nelle condizioni legali; non sono sanzioni automatiche.

Oltre ai procedimenti ANPD, possono sussistere responsabilità civile per i danni, requisiti contrattuali dei clienti e azione di procure o autorità dei consumatori. Le lacune di conformità possono ostacolare opportunità di business, senza chiudere automaticamente ogni contratto.

Da dove partire senza sprechi

La conformità intelligente è proporzionata al rischio. Un'azienda che tratta dati sensibili su scala non è paragonabile a un ufficio di dieci persone con una lista clienti. Una roadmap realistica:

• 1) Mappi i trattamenti (un foglio onesto basta per iniziare).
• 2) Definisca la base giuridica di ciascuna ed elimini la raccolta non necessaria — un dato non raccolto è un rischio non corso.
• 3) Adeguì i contratti con i fornitori e riveda gli accessi interni.
• 4) Pubblichi una informativa privacy veritiera e crei il canale per gli interessati.
• 5) Scriva e testi il piano incidenti e formi il personale, includendo prevenzione e risposta all'errore umano.

Esempio ipotetico: conformità per soddisfare i requisiti di un cliente

Immagini un'azienda di servizi con 40 dipendenti in un processo di omologazione fornitori di un grande cliente. Il cliente richiede clausole di protezione dei dati e prove di conformità. I trattamenti non sono mappati, i CV sono in una cartella aperta e il contratto del sistema HR non tratta i dati.

Un piano correttivo potrebbe includere mappatura, accessi ristretti, addenda con tre fornitori, una informativa privacy e un piano incidenti. Identifica anche CV del 2015 che non devono più essere conservati. Queste misure possono aiutare a preservare il contratto, ma l’approvazione dipende dai requisiti del cliente. È un esempio ipotetico, non un risultato dello studio né una promessa di tempi. La ragione per adeguarsi non è sempre una sanzione: può anche essere un requisito commerciale.

Domande frequenti

La LGPD si applica alle piccole aziende?

Sì. La piccola dimensione non dà un'esenzione generale. La Risoluzione ANPD 2/2022 consente semplificazioni per gli enti che soddisfano le sue condizioni e fuori dalle esclusioni, incluso il trattamento ad alto rischio. Basi giuridiche, sicurezza e assistenza agli interessati restano necessarie; l'esenzione dalla nomina del DPO non elimina il canale di comunicazione.

Serve il consenso per tutto?

No. Il consenso è una delle dieci basi dell'art. 7 per i dati ordinari; obblighi legali, esecuzione del contratto e legittimi interessi giustificati sono alternative. La scelta dipende da finalità e tipo di dato, non da una raccolta indiscriminata di consensi. I dati sensibili richiedono le basi specifiche dell'art. 11.

Quali sono le sanzioni della LGPD?

La LGPD prevede avvertimenti, multe semplici fino al 2% del fatturato brasiliano dell'ente, gruppo o conglomerato nell'esercizio precedente, escluse le imposte, con tetto di R$ 50 milioni per infrazione, multe giornaliere, pubblicità, blocco o cancellazione e sospensione o divieto nelle condizioni legali. Possono derivare anche conseguenze civili, contrattuali e reputazionali.

Abbiamo avuto una violazione dei dati. Dobbiamo notificare l'ANPD?

Il titolare deve notificare ANPD e interessati quando possa derivarne rischio o danno rilevante. La Risoluzione ANPD 15/2024 richiede in generale la notifica entro tre giorni lavorativi dalla consapevolezza che dati personali sono stati coinvolti, fermi termini speciali e regimi differenziati applicabili. Contenere, registrare, valutare il rischio e documentare l'azione. Non attenda la fine dell'intera indagine prima di valutare la notifica.

Da dove partire per la conformità LGPD?

Si parte dalla mappatura: quali dati l'azienda raccoglie, da chi, perché, dove si trovano, chi vi accede e per quanto. Poi si definisce la base giuridica di ciascuna attività e si elimina la raccolta non necessaria — un dato non raccolto è un rischio non corso. Quindi si adeguano i contratti con i fornitori che trattano dati, si pubblica una informativa privacy veritiera, si crea il canale per gli interessati e si scrive un piano di risposta agli incidenti.