A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) está em vigor desde 2020, e as sanções administrativas podem ser aplicadas desde agosto de 2021. Desde então, a Autoridade Nacional de Proteção de Dados (ANPD) publicou regulamentos que detalham obrigações e passou a fiscalizar e sancionar empresas. Para companhias de médio porte, a adequação deixou de ser opcional e passou a ser requisito comercial: grandes clientes já exigem comprovação de conformidade dos fornecedores.
Por que a média empresa exige atenção especial
A ANPD criou um regime simplificado para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), voltado a microempresas, empresas de pequeno porte e startups. Empresas de médio porte, em regra, não se beneficiam dessas flexibilizações: estão sujeitas às obrigações integrais da lei, mas costumam ter estrutura enxuta de jurídico, TI e segurança. Esse descompasso é o principal risco.
O que está em jogo
O art. 52 da LGPD prevê sanções que vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de publicização da infração, bloqueio ou eliminação de dados e suspensão de atividades de tratamento. Somam-se a isso ações judiciais de titulares, atuação de Procons e Ministério Público e o dano reputacional.
As 8 etapas da adequação
1. Governança e patrocínio
Defina um responsável executivo pelo programa, um comitê com jurídico, TI, RH e áreas de negócio, e um orçamento. Sem patrocínio da diretoria, o programa vira um projeto de TI e perde força.
2. Indicação do encarregado (DPO)
O encarregado é o canal de comunicação com titulares e com a ANPD. A Resolução CD/ANPD nº 18/2024 detalha suas atribuições e exige que sua identidade e contato sejam divulgados de forma clara, preferencialmente no site. Pode ser um colaborador interno ou um serviço terceirizado (DPO as a Service), desde que sem conflito de interesses.
3. Mapeamento de dados (inventário)
Identifique, por processo, quais dados pessoais são coletados, de quem, para quê, onde ficam armazenados, com quem são compartilhados e por quanto tempo. O resultado é o Registro das Operações de Tratamento (art. 37), base de todo o programa.
4. Bases legais e finalidades
Cada tratamento precisa de uma base legal (art. 7º para dados pessoais e art. 11 para dados sensíveis) e de finalidade legítima e específica. Consentimento é apenas uma das bases e nem sempre a mais adequada: execução de contrato, cumprimento de obrigação legal e legítimo interesse cobrem boa parte dos tratamentos corporativos.
5. Avisos, políticas e direitos dos titulares
Publique um Aviso de Privacidade claro e implemente um fluxo para atender os direitos do art. 18 (confirmação, acesso, correção, eliminação, portabilidade, entre outros), com prazos de resposta definidos e registro dos atendimentos.
6. Segurança da informação
O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados. Na prática: controle de acessos com MFA, criptografia, backup testado, gestão de vulnerabilidades, registro de logs e treinamento. Normas como a ISO/IEC 27001 e a ISO/IEC 27701 oferecem um modelo estruturado e auditável para isso.
7. Gestão de incidentes
Incidentes de segurança que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos titulares. A Resolução CD/ANPD nº 15/2024 estabelece o prazo de 3 dias úteis a partir do conhecimento do incidente, com conteúdo mínimo definido. Sem um plano de resposta pronto, esse prazo é praticamente impossível de cumprir.
8. Terceiros, contratos e RIPD
Revise contratos com fornecedores que tratam dados em seu nome (operadores), incluindo cláusulas de segurança, confidencialidade, subcontratação e comunicação de incidentes. Para tratamentos de alto risco, elabore o Relatório de Impacto à Proteção de Dados Pessoais (RIPD, art. 38). Se houver transferência internacional, por exemplo em serviços de nuvem fora do Brasil, observe as regras da Resolução CD/ANPD nº 19/2024.
Checklist rápido de maturidade
- Encarregado indicado e divulgado no site
- Registro das operações de tratamento atualizado
- Base legal documentada para cada finalidade
- Aviso de Privacidade publicado e banner de cookies com opção de rejeitar
- Canal e procedimento para direitos dos titulares
- Plano de resposta a incidentes testado
- Contratos com operadores revisados
- Treinamento anual de colaboradores
Prazo e esforço
Em empresas de médio porte, um programa inicial de adequação costuma levar de 4 a 8 meses, dependendo do volume de processos e da maturidade de segurança (estimativa de mercado; cada caso exige diagnóstico). Depois disso, a conformidade precisa ser mantida: revisão do mapeamento, auditorias periódicas e reciclagem de treinamentos.
Conclusão
Adequação à LGPD não é um documento, é um programa contínuo de governança. Empresas que estruturam o tema com método reduzem risco regulatório e ganham vantagem comercial.
A RV3 conduz programas de adequação à LGPD e oferece encarregado (DPO) as a Service. Agende um diagnóstico de maturidade.
Este conteúdo tem caráter informativo e não substitui orientação jurídica específica.