LGPD na prática: o que toda empresa precisa ter em dia

A LGPD vale para a minha empresa?

Se a sua empresa coleta nome, CPF, telefone, e-mail, endereço, dados de saúde ou qualquer informação que identifique uma pessoa, a resposta é sim. A Lei nº 13.709/2018 se aplica a empresas de todos os portes e setores, e isso inclui os dados de colaboradores, candidatos, clientes, fornecedores pessoa física e visitantes.

A fiscalização é feita pela ANPD, a Autoridade Nacional de Proteção de Dados, que já publicou regulamentos sobre sanções, comunicação de incidentes e regras simplificadas para agentes de pequeno porte.

As 10 obrigações essenciais

1. Inventário de dados
   Saber quais dados pessoais a empresa trata, de onde vêm, onde ficam, quem acessa e com quem são compartilhados. É a base de todo o resto (registro das operações, art. 37).
2. Base legal para cada finalidade
   Todo uso de dado precisa se encaixar em uma das bases da lei, como execução de contrato, obrigação legal, legítimo interesse ou consentimento. Consentimento não é a única opção, e nem sempre a melhor.
3. Aviso de privacidade
   Um texto claro, no site e nos pontos de coleta, explicando quais dados são usados, para quê, por quanto tempo e como o titular exerce seus direitos.
4. Encarregado (DPO)
   Uma pessoa ou empresa responsável por atender titulares e a ANPD. Agentes de pequeno porte podem ser dispensados de indicar, mas precisam manter um canal de comunicação (Resolução CD/ANPD nº 2/2022).
5. Atendimento aos titulares
   Procedimento para responder pedidos de acesso, correção, eliminação e informações sobre compartilhamento (art. 18).
6. Medidas de segurança
   Controle de acessos, senhas fortes, backup, criptografia quando cabível e registro de quem acessou o quê (art. 46).
7. Contratos com operadores
   Fornecedores que tratam dados em nome da empresa (contabilidade, folha, nuvem, marketing) precisam de cláusulas de proteção de dados.
8. Plano de resposta a incidentes
   Saber o que fazer em um vazamento: conter, avaliar o risco, comunicar e registrar.
9. Relatório de impacto (RIPD)
   Documento que avalia riscos de tratamentos mais sensíveis, como dados de saúde ou monitoramento em larga escala.
10. Treinamento das equipes
    A maior parte dos incidentes começa em um erro humano. Quem lida com dados precisa saber as regras.

E se houver um vazamento?

A Resolução CD/ANPD nº 15/2024 definiu as regras de comunicação de incidentes. Quando o incidente puder causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e os titulares afetados em até 3 dias úteis a partir do conhecimento do fato. Para agentes de pequeno porte, o prazo é contado em dobro.

Registre mesmo quando não comunicar
Todo incidente deve ser registrado internamente, com a avaliação de risco feita, e esse registro deve ser guardado por pelo menos 5 anos. Na fiscalização, é ele que mostra que a empresa agiu corretamente.

Quais são as sanções

O art. 52 da LGPD prevê advertência, multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e até suspensão das atividades de tratamento. A forma de calcular as penalidades está no Regulamento de Dosimetria da ANPD (Resolução CD/ANPD nº 4/2023).

Além das sanções administrativas, há o risco de ações judiciais de titulares e, muitas vezes o maior prejuízo, o dano à reputação diante de clientes e parceiros.

Como provar que a empresa está em conformidade

Obrigação	Evidência esperada
Inventário de dados	Registro das operações de tratamento atualizado
Transparência	Aviso de privacidade publicado e versionado
Encarregado	Nome e canal de contato divulgados
Segurança	Política de segurança e registros de acesso
Fornecedores	Contratos com cláusulas de proteção de dados
Incidentes	Plano de resposta e registro dos incidentes
Pessoas	Lista de presença ou certificados de treinamento

Três mitos comuns

• “Basta ter um aviso de cookies.”
  O aviso é só uma parte. Sem inventário, base legal e segurança, a empresa continua exposta.
• “Precisamos de consentimento para tudo.”
  Não. Muitas atividades usam outras bases legais, como contrato ou obrigação legal.
• “Empresa pequena não é fiscalizada.”
  As regras são simplificadas, não dispensadas. A lei vale para todos os portes.

Checklist rápido para a sua empresa

• Inventário de dados pessoais atualizado
• Base legal definida para cada finalidade
• Aviso de privacidade publicado
• Encarregado ou canal de contato definido
• Processo para atender pedidos de titulares
• Contratos com fornecedores revisados
• Plano de resposta a incidentes
• Equipes treinadas no último ano