Imagine que um cliente pede para sua empresa apagar todos os dados pessoais dele. Você saberia dizer onde essas informações estão armazenadas, quem tem acesso e em quanto tempo consegue atender ao pedido? Se a resposta for “não tenho certeza”, sua empresa ainda precisa ajustar processos para cumprir a Lei Geral de Proteção de Dados.
A adaptação à LGPD não se resume a atualizar uma política de privacidade no site. Envolve mudar a forma como a empresa coleta, guarda e compartilha dados pessoais no dia a dia.
Veja também: Estratégias eficazes de marketing digital para empresas brasileiras em 2026
Mapeamento de dados pessoais: o primeiro passo real da adequação à LGPD
Antes de qualquer documento ou ferramenta, a empresa precisa saber exatamente quais dados pessoais coleta e por quê. Parece simples, mas na prática a maioria das organizações descobre fluxos de dados que ninguém lembrava que existiam.
Um exemplo comum: o departamento de marketing coleta e-mails por meio de formulários no site, enquanto o financeiro guarda cópias de documentos de identidade de fornecedores em pastas compartilhadas sem restrição de acesso. Cada setor da empresa pode ser um ponto de coleta de dados pessoais, e todos precisam ser identificados.
Leitura recomendada: Inovação e sustentabilidade: tendências para empresas brasileiras em 2026
Na prática, o mapeamento funciona assim:
- Liste todas as áreas que lidam com informações de pessoas (RH, comercial, atendimento, TI, jurídico) e peça que cada uma descreva quais dados coleta, onde armazena e com quem compartilha.
- Identifique a base legal para cada tipo de tratamento. A LGPD exige que todo uso de dados pessoais tenha uma justificativa prevista em lei, como consentimento, execução de contrato ou cumprimento de obrigação legal.
- Registre o ciclo de vida de cada dado: da coleta ao descarte. Se a empresa guarda CPFs de clientes antigos sem nenhuma finalidade ativa, esse armazenamento já pode ser irregular.
Esse inventário é o alicerce de todo o processo. Sem ele, qualquer política de proteção de dados será genérica demais para funcionar.
Contratos com fornecedores e a cláusula que muita empresa esquece
Você já parou para verificar se os contratos com seus fornecedores de tecnologia mencionam proteção de dados? Quando sua empresa usa uma plataforma de e-mail marketing, um sistema de gestão ou armazenamento em nuvem, ela está compartilhando dados pessoais com terceiros. Na linguagem da LGPD, esses terceiros são operadores de dados.
O controlador (sua empresa) responde por falhas do operador se não houver cláusulas contratuais que definam responsabilidades. Isso significa que, se um fornecedor sofre um vazamento de dados dos seus clientes, a empresa pode ser responsabilizada pela ANPD.
A cláusula contratual precisa especificar, no mínimo, quais dados o operador pode tratar, para qual finalidade e quais medidas de segurança ele deve adotar. Também é necessário definir prazos para que o operador comunique incidentes à sua empresa, para que o fluxo de resposta funcione dentro do prazo legal.
Transferência internacional de dados: atenção ao prazo de 2025
Se a empresa usa ferramentas cujos servidores ficam fora do Brasil, existe um detalhe regulatório recente que merece atenção. O prazo para adotar as cláusulas contratuais padrão aprovadas pela ANPD terminou em agosto de 2025. Quem ainda usa uma cláusula genérica de LGPD para justificar transferência internacional precisa revisar esse ponto com urgência.
A regra vale para qualquer fluxo de dados para o exterior: armazenamento em nuvem, plataformas de CRM, ferramentas de análise e até sistemas de folha de pagamento hospedados fora do país. Cada fluxo precisa de um mecanismo legal específico que ampare a transferência.
Resposta a incidentes de segurança: o que a Resolução nº 15/2024 mudou
Muitas empresas acreditam que basta ter um antivírus atualizado e um firewall para estarem protegidas. A proteção técnica é necessária, mas a LGPD exige algo além: um plano operacional de resposta a incidentes.
A Resolução CD/ANPD nº 15/2024 estabeleceu que, quando um incidente de segurança puder causar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares deve acontecer em até três dias úteis. A empresa pode complementar as informações depois, mas precisa justificar por que a comunicação inicial foi preliminar.
Esse prazo curto muda a lógica de preparação. Não é viável esperar o incidente acontecer para decidir quem faz o quê. O fluxo precisa estar definido antes:
- Quem na empresa identifica e classifica o incidente (geralmente a equipe de TI em conjunto com o encarregado de dados).
- Qual canal e formato serão usados para comunicar a ANPD e os titulares afetados.
- Como os fornecedores (operadores de dados) devem avisar a empresa sobre incidentes em seus sistemas, com prazos definidos em contrato.
- A empresa também precisa manter registro de todos os incidentes, mesmo aqueles que não exigiram comunicação pública.
Um ponto que passa despercebido: comunicação pública não substitui o aviso individual aos titulares. Se a empresa consegue identificar quais pessoas foram afetadas, deve avisá-las diretamente. O aviso em canais públicos (site, redes sociais) só é aceito quando a comunicação individual for inviável.
O papel do encarregado de dados (DPO) na adaptação à LGPD
A LGPD exige que a empresa nomeie um encarregado pelo tratamento de dados pessoais, também conhecido pela sigla DPO. Essa pessoa (ou empresa terceirizada) funciona como o ponto de contato entre a organização, os titulares dos dados e a ANPD.
Na prática, o encarregado não precisa ser um advogado ou profissional de TI. Precisa ter conhecimento técnico suficiente para orientar a empresa sobre obrigações legais e boas práticas de segurança. Pode ser um colaborador interno ou um serviço terceirizado, dependendo do porte e da complexidade da operação.
O encarregado tem três funções centrais: aceitar reclamações e solicitações dos titulares, orientar os funcionários da empresa sobre práticas de proteção de dados e dialogar com a ANPD quando necessário. Sem essa figura definida, a empresa não tem um canal formal para cumprir obrigações básicas da lei.
Treinamento interno como medida de conformidade
Nomear o DPO resolve a questão formal, mas não muda o comportamento da equipe. Funcionários que lidam com dados de clientes no dia a dia precisam saber o que podem e o que não podem fazer. Um atendente que envia planilhas com dados de clientes por e-mail sem criptografia, por exemplo, cria um risco que nenhuma política escrita vai cobrir sozinha.
Treinamentos periódicos, mesmo que curtos, ajudam a transformar a proteção de dados em rotina, não em um projeto pontual que termina depois da primeira adequação.
A adaptação à LGPD não tem data de término. As regras evoluem, a ANPD publica novas resoluções, e os dados que a empresa trata mudam conforme o negócio cresce. Revisar periodicamente o mapeamento, os contratos e o plano de resposta a incidentes é o que separa uma empresa formalmente adequada de uma empresa efetivamente protegida.
