A adequação à LGPD começa pelo mapeamento dos dados pessoais que a empresa usa. Depois vêm a base legal de cada tratamento, a revisão de contratos e documentos, a política de privacidade e a definição de quem responde pelo tema. A lei vale para negócios de qualquer porte.
A Lei Geral de Proteção de Dados (LGPD), a Lei nº 13.709/2018, está em vigor desde setembro de 2020, e as sanções administrativas podem ser aplicadas desde 1º de agosto de 2021. Mesmo assim, muitas empresas, escritórios e lojas ainda não concluíram a adequação.
São diversos os motivos e as justificativas trazidas por essas organizações, que em alguns casos justificam a falta de adequação, por falta de conhecimento, ou por acharem que não precisam, ou que acreditam fazerem parte do grupo das pessoas que não necessitam respeitar as normas da LGPD.
A legislação tem como principal objetivo realizar a proteção de dados pessoais, desde o momento em que acontece a sua coleta, até o momento da sua eliminação trazendo regras específicas a serem respeitadas em cada etapa do tratamento que é realizado com os dados.
O processo de adequação dá trabalho, e há quem adie por achar que a fiscalização demora. A ANPD, porém, já aplica sanções: a primeira multa a uma empresa privada foi publicada em julho de 2023, contra a Telekall Infoservice, no total de R$ 14.400, acompanhada de uma advertência.
Contudo, é imprescindível lembrar que mesmo que as sanções estejam acontecendo gradualmente, elas podem ser bem sérias e gerar grandes consequências para a organização, empresa, loja, escritório, etc., que não esteja adequada às suas normas.
As consequências vão além da multa. O artigo 52 da LGPD prevê advertência, multa simples de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e, nos casos mais graves, suspensão ou proibição das atividades de tratamento.
Fora da esfera administrativa, o titular que sofrer dano pode pedir indenização na Justiça, com base nos artigos 42 a 45 da lei. O cálculo das multas segue o Regulamento de Dosimetria aprovado pela Resolução CD/ANPD nº 4/2023.
Adequar-se à LGPD pode parecer um processo cheio de regras, bem complexo, cheio de etapas, mas nós vamos te ajudar com esse artigo.
Por ser tão importante se adequar às normas trazidas pela LGPD, trouxemos abaixo para você uma lista com 05 dicas que você precisa saber para se adequar à LGPD.
Se você se interessou por esse conteúdo, você também pode se interessar por ler o nosso Guia Completo da LGPD.
1. Conheça e mapeie o ciclo de vida dos dados da sua empresa
Há diversas empresas que acreditam não ter necessidade de se adequar às regras trazidas pela LGPD, pois acreditam que a atividade que realizam não trabalha com o tratamento de dados.
Esse pensamento está errado. Praticamente toda venda, contrato, cadastro ou atendimento envolve algum tratamento de dados pessoais.
O que a LGPD chama de tratamento: toda operação feita com dado pessoal, como coleta, acesso, uso, armazenamento, compartilhamento e eliminação (art. 5º, X).
Por isso, conhecer e mapear o ciclo de vida dos dados é o primeiro passo. Ao observar como a coleta acontece na venda, na prestação do serviço ou na assinatura de contratos, fica claro onde a empresa trata dados pessoais e por que precisa se adequar à LGPD.
Esse mapeamento costuma virar o inventário de dados, documento que ajuda a cumprir o dever de manter registro das operações de tratamento previsto no artigo 37 da lei.
A partir daí você poderá mapear o modo como vem acontecendo o ciclo de vida dos dados na sua empresa, se eles são compartilhados, com quem são compartilhados, a forma de eliminação que acontece, a forma como são coletados e as demais etapas do tratamento realizado.
É nesse momento que se faz necessário analisar os seguintes pontos:
- Como é realizada a coleta de dados?
- Os dados coletados são armazenados?
- Onde são armazenados os dados coletados?
- Quem pode ter acesso e manipular os dados que coletamos?
- Qual base legal justifica cada tratamento?
- Compartilho dados com terceiros?
- Por quanto tempo guardo cada dado e como ele é eliminado?
Há outras perguntas a fazer no mapeamento, mas o ponto agora é perceber que a empresa precisa se adequar. A ajuda de profissionais especializados nesta área torna o processo mais rápido e mais seguro.
2. Defina a base legal de cada tratamento
Um dos equívocos mais comuns é achar que todo tratamento exige consentimento. O artigo 7º da LGPD traz dez bases legais, e o consentimento é apenas uma delas.
Cumprimento de obrigação legal, execução de contrato, exercício regular de direitos e legítimo interesse também autorizam o tratamento, cada um com requisitos próprios. Dados sensíveis, como os de saúde, seguem as hipóteses mais restritas do artigo 11.
Quando o consentimento for a base escolhida, ele precisa ser livre, informado e inequívoco, dado para uma finalidade determinada, e pode ser revogado a qualquer momento (arts. 5º, XII, e 8º, § 5º).
Em qualquer base legal, o titular tem direito a informações claras sobre a finalidade, a forma e a duração do tratamento. Ele também pode pedir acesso, correção e, nas hipóteses da lei, a eliminação dos dados (arts. 9º e 18).
| Base legal (art. 7º) | Exemplo prático | Ponto de atenção |
|---|---|---|
| Consentimento | Envio de newsletter de marketing | Pode ser revogado a qualquer momento |
| Execução de contrato | Endereço do cliente para entrega da compra | Usar só o necessário para cumprir o contrato |
| Obrigação legal ou regulatória | Emissão de nota fiscal e registros trabalhistas | O prazo de guarda vem da lei que impõe a obrigação |
| Legítimo interesse | Prevenção a fraudes e contato com clientes atuais | Exige avaliação documentada e respeito às expectativas do titular (art. 10) |
| Exercício regular de direitos | Guarda de provas para um processo | A finalidade deve estar ligada ao processo ou à defesa |
3. Revise contratos e documentos da empresa
Quem pensa que a LGPD só influencia os contratos ou documentos produzidos depois que ela entrou em vigor está enganado.
Todos os documentos, contratos, ou qualquer tipo de material que possua informações pessoais sejam de funcionários, empresas parceiras, consumidores, visitantes de sites e etc., devem respeitar e se adequar às normas presentes na LGPD.
Revise contratos, fichas cadastrais e formulários para conferir qual base legal sustenta cada dado guardado, se o titular foi informado e se há dados que já podem ser eliminados.
Contratos com fornecedores que acessam dados, como contabilidade, hospedagem e plataformas de e-mail marketing, devem definir quem atua como controlador e quem atua como operador, e quais são as obrigações de cada um.
Verifique também a segurança. O artigo 46 exige medidas técnicas e administrativas para proteger os dados, e o controlador responde pelos danos causados por falhas nessa proteção.
Se ocorrer um incidente que possa gerar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares deve ser feita em até três dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
4. Tenha uma política de privacidade e uma política interna
Esses dois documentos são muito importantes, pois eles trazem informações imprescindíveis sobre o funcionamento da organização, “e-commerce”, empresa, loja ou qualquer tipo de estabelecimento.
A Política de Privacidade informa ao cliente, usuário ou consumidor como o seu negócio trata os dados pessoais: o que é coletado, para quê, por quanto tempo fica armazenado e se há compartilhamento com terceiros.
Se você vai escrever a sua, veja como redigir uma política de privacidade adequada para o seu site ou aplicativo.
Esse documento também é considerado jurídico e serve como prova em qualquer situação em que se faça necessário o esclarecimento a respeito do tratamento de dados realizado pelo proprietário do site, aplicativo, loja e etc.
Ademais, neste documento você trará de maneira clara para qual finalidade estão sendo coletados os dados.
A Política de Privacidade é um meio de garantir o respeito a diversos princípios da LGPD, como o da transparência, por exemplo.
Outro documento considerado muito importante é a Política Interna, principalmente para as empresas, visto que por meio dela você poderá orientar todo o pessoal que trabalha na sua empresa da forma como devem ser realizadas as técnicas e práticas que respeitem as regras estabelecidas na legislação de proteção de dados.
Estabelecendo o modo como serão regidos os dados coletados até o momento de sua eliminação, demonstrando por meio dele, que orientou a serem respeitadas as normas previstas na LGPD.
5. Monte uma equipe e indique o encarregado (DPO)
Trabalhar sozinho no momento da realização da adequação da sua empresa, “e-commerce”, loja, escritório ou qualquer que seja a atividade que você desempenha não é uma boa alternativa, visto que há diferentes áreas a serem modificadas e que precisam de bastante atenção.
No momento da implementação da LGPD, você deve ter bastante atenção às áreas jurídicas, de “compliance”, entre outras, por isso, um único profissional nem sempre consegue realizar tudo sozinho.
Ao criar uma equipe para essa tarefa, você divide e define responsabilidades específicas para cada pessoa.
Lembre-se, que é imprescindível determinar um líder para o acompanhamento da implementação das normas.
Também é preciso indicar o encarregado pelo tratamento de dados pessoais, conhecido como DPO (art. 41). A Resolução CD/ANPD nº 18/2024 regulamenta a função, incluindo a divulgação da identidade e do contato do encarregado.
Agentes de tratamento de pequeno porte podem ficar dispensados dessa indicação, mas precisam manter um canal de comunicação com os titulares (Resolução CD/ANPD nº 2/2022, art. 11).
O DPO pode ser um profissional interno ou um terceiro contratado para a função, pessoa física ou jurídica. Se a empresa não tem estrutura para isso, contar com um advogado especializado em LGPD é uma alternativa.
A partir do momento que for criada a equipe, com a distribuição de tarefas, você verá como acontecerá de maneira muito mais rápida e fácil a adequação à LGPD.
Motivos para se adequar à LGPD
A adequação à LGPD não é obrigatória apenas para grandes empresas, lojas virtuais, sites e aplicativos de sucesso.
Ela deve acontecer até mesmo em empresas de pequeno e médio porte, pois até mesmo um profissional que trabalha com uma caderneta, ou realiza venda de lanches pelo WhatsApp está realizando a coleta de dados e por isso deve respeitar as normas trazidas por essa legislação.
Para micro e pequenas empresas, startups e MEIs, a Resolução CD/ANPD nº 2/2022 criou regras simplificadas e prazos em dobro. O regime diferenciado não dispensa a adequação e não vale para quem realiza tratamento de alto risco.
A obrigatoriedade estabelecida pela legislação é apenas um dos motivos para a adequação, uma vez que ao desrespeitar a previsão da lei, passa a existir a possibilidade de se receber as punições apresentadas nas normas trazidas por essa legislação.
As sanções não são pequenas e nem sempre são fáceis de sanar, muitas vezes as multas são altas e podem chegar a comprometer a existência da empresa.
Outro motivo, indiscutível, é que o mercado passará a exigir isso, visto que já existem empresas e profissionais que antes de contratar serviços ou associar-se a determinado órgão já requerem que estejam sendo atendidas e respeitadas todas as regras previstas na LGPD.
Outra justificativa é transmitir segurança aos titulares. Quando você informa que os dados estão protegidos conforme a LGPD, clientes e parceiros passam a confiar mais no seu trabalho.
Hoje poucas pessoas desconhecem que seus dados pessoais têm proteção legal.
Por esse motivo, a forma como a empresa cuida dos dados tem sido, para alguns consumidores, um fator decisivo na hora de contratar.
Ademais, estar adequado à LGPD é um diferencial, já que muitas empresas e profissionais ainda não estão respeitando essas normas.
Estar preparado e organizado de acordo com as normas de proteção de dados já é um diferencial em um mercado cada vez mais concorrido.
Dar segurança aos clientes e usuários não serve apenas para mantê-los. Também protege a sua empresa, que passa a correr menos risco de vazamento de dados, ataques cibernéticos e fraudes.
Perguntas frequentes sobre adequação à LGPD
Quem fiscaliza se as regras impostas pela LGPD estão sendo respeitadas?
A fiscalização cabe à ANPD. Desde a Lei nº 15.352/2026, ela se chama Agência Nacional de Proteção de Dados e tem natureza de agência reguladora, com autonomia técnica e decisória. Órgãos de defesa do consumidor e o Judiciário também atuam em casos envolvendo dados pessoais.
A política de privacidade é obrigatória para quem não possui “e-commerce”?
A LGPD não usa a expressão “política de privacidade”, mas exige transparência sobre o tratamento de dados (arts. 6º, VI, e 9º). A política é a forma mais comum de cumprir esse dever.
Negócios sem site também tratam dados e podem disponibilizar o documento no balcão, no WhatsApp ou junto ao contrato. O consultor avalia o meio de divulgação, mas o dever de informar continua.
Quais as consequências se eu não me adequar à LGPD?
A LGPD não cria crimes. As consequências são as sanções administrativas do artigo 52, que vão de advertência a multa e suspensão do tratamento, e a responsabilidade civil por danos aos titulares, sem prejuízo de outras leis, como o Código de Defesa do Consumidor.
Empresa pequena precisa ter encarregado (DPO)?
Agentes de tratamento de pequeno porte podem ser dispensados de indicar o encarregado, conforme a Resolução CD/ANPD nº 2/2022. Mesmo assim, precisam disponibilizar um canal para atender os titulares, e a dispensa não vale para quem faz tratamento de alto risco.
Em quanto tempo preciso comunicar um vazamento de dados?
Se o incidente puder causar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares deve ocorrer em até três dias úteis, segundo a Resolução CD/ANPD nº 15/2024. Agentes de pequeno porte têm prazo em dobro.
Conclusão
Neste artigo trouxemos dicas para você se adequar à LGPD. É importante lembrar, que essas dicas são apenas algumas das atitudes necessárias para que você se adeque e passe a respeitar todas as normas.
Há diversas outras atitudes necessárias e que você deve tomar para não sofrer nenhuma consequência prevista na Lei nº 13.709/2018, quanto antes você começar a se adequar melhor.
Você não irá querer esperar algo acontecer com algum conhecido ou alguma empresa parceira para começar a se adequar não é mesmo?
A Lei Geral de Proteção de Dados é um fato e se adequar às suas regras é apenas um início de um processo necessário para atuar de maneira correta e segura no seu ramo.
Caso você tenha dúvidas sobre esse conteúdo e precise de um profissional especializado na implementação da LGPD, entre em contato conosco, estamos à disposição para ajudá-lo.
Fontes consultadas
- Lei nº 13.709/2018 (LGPD), artigos 5º a 11, 18, 37, 41, 46, 52 e 55-A
- Agência Senado: sancionada lei que cria a Agência Nacional de Proteção de Dados
- ANPD: regulamentações (Resoluções CD/ANPD nº 2/2022, 4/2023, 15/2024 e 18/2024)
- Teletime: ANPD publica primeira sanção ao setor privado por descumprimento da LGPD
Leituras relacionadas
- Guia completo de introdução à LGPD
- Itens que devem estar na sua política de privacidade
- Anonimização e pseudonimização de dados na LGPD
Revisado e atualizado por Diego Castro, advogado especialista em Direito Digital (OAB/PI 15.613). Última atualização: . Conteúdo informativo, que não substitui a análise do caso concreto por um advogado.
IMPORTANTE: O Artigo acima foi escrito e revisado por nossos advogados. Ele tem função apenas informativa, e deve servir apenas como base de conhecimento. Sempre consulte um advogado para analisar seu caso concreto.
