LGPD para empresas: o que é adequação e por onde começar
Um roteiro técnico sobre o que a Lei Geral de Proteção de Dados exige de uma empresa e quais são os primeiros passos práticos de adequação.
Adequação à LGPD é o processo pelo qual uma empresa mapeia, organiza e documenta como trata dados pessoais, de forma a atender às exigências da Lei 13.709/2018. Não existe um certificado único de conformidade emitido por órgão público, mas existem etapas técnicas reconhecidas como padrão de mercado e como parâmetro de fiscalização da Autoridade Nacional de Proteção de Dados (ANPD).
1. O que a LGPD exige, na prática
A Lei 13.709/2018 estabelece que toda pessoa jurídica que coleta, armazena, usa ou compartilha dados pessoais precisa ter uma base legal para cada finalidade de tratamento, adotar medidas de segurança compatíveis com o risco, e garantir aos titulares dos dados o exercício de direitos como acesso, correção e exclusão. Isso vale tanto para dados de clientes quanto de funcionários e fornecedores pessoa física.
2. Mapeamento de dados (data mapping)
O primeiro passo técnico é identificar quais dados pessoais a empresa coleta, em quais sistemas eles ficam armazenados, para qual finalidade são usados, e com quem são compartilhados. Esse levantamento costuma ser organizado em um Registro de Operações de Tratamento (ROPA), que serve tanto de documento interno de governança quanto de evidência em caso de fiscalização.
3. Base legal para cada tratamento
A LGPD prevê dez bases legais no artigo 7º, entre elas o consentimento do titular, a execução de contrato, o cumprimento de obrigação legal e o legítimo interesse do controlador. Cada finalidade de tratamento de dados precisa estar amparada em uma dessas bases, e o consentimento não é a única nem, na maioria dos casos, a mais adequada.
4. Políticas internas e papéis definidos
- —Política de privacidade voltada ao titular dos dados, publicada em local acessível.
- —Política interna de tratamento de dados, voltada aos colaboradores.
- —Definição de quem exerce a função de encarregado de dados (DPO), interno ou terceirizado.
- —Plano de resposta a incidentes de segurança, com prazos e responsáveis definidos.
5. Segurança da informação compatível com o risco
A lei não exige uma lista fechada de controles técnicos, mas exige medidas de segurança compatíveis com o risco do tratamento. Na prática, isso envolve controle de acesso a sistemas com dados pessoais, criptografia em trânsito e em repouso quando cabível, e um processo definido para lidar com vazamentos.
6. Quando buscar orientação jurídica
Empresas que tratam dados sensíveis (saúde, biometria, dados de crianças), que compartilham dados com terceiros no exterior, ou que já sofreram um incidente de segurança costumam ter maior complexidade de adequação e se beneficiam de acompanhamento jurídico dedicado, incluindo a atuação como encarregado de dados terceirizado.
Fonte, Lei nº 13.709/2018 (LGPD), PlanaltoEste conteúdo tem caráter informativo e não substitui a consulta jurídica especializada. Marcio Scalise de Abreu atua em Direito Digital e do Consumidor. Para análise de caso concreto, entre em contato.