LGPD na empresa: quais documentos e processos precisam estar em ordem?

Juan Martins Morilhas

OAB/SP 414.577

Advogado especializado em direito empresarial

Muitas empresas acreditam estar em dia com a Lei Geral de Proteção de Dados porque publicaram uma política de privacidade no site. A política é um dos documentos que a lei exige, mas é apenas um deles, e o documento é só metade da história. A outra metade são os processos que precisam funcionar quando forem testados, por um titular que pede seus dados, por um incidente de segurança ou por uma fiscalização. Durante algum tempo a LGPD pareceu uma lei sem consequência, porque a autoridade ainda não aplicava sanções. Isso mudou, e hoje estar em ordem significa algo bem concreto.

Mapear antes de documentar

Nenhum documento de proteção de dados faz sentido antes de a empresa saber quais dados pessoais trata, de onde eles vêm, para que servem e com quem são compartilhados. Esse mapeamento é a base de tudo, e a Lei nº 13.709/2018 (LGPD) o exige de forma expressa no art. 37, que obriga o controlador a manter registro das operações de tratamento que realiza. É a partir desse registro que a empresa consegue atribuir a cada tratamento a sua base legal, prevista no art. 7º para os dados em geral e no art. 11, mais rígido, para os dados sensíveis, como os de saúde, biometria ou convicção religiosa. Tratar dados sem uma base legal definida é a falha de origem que compromete todo o resto, por mais polida que seja a política publicada.

Os documentos que precisam existir

A partir do mapeamento, formam-se os documentos que sustentam o programa. A política de privacidade externa informa ao titular, em linguagem clara, o que a empresa faz com os seus dados, enquanto uma política interna orienta os funcionários sobre como tratar a informação no dia a dia. Os contratos com fornecedores que acessam dados em nome da empresa precisam disciplinar esse acesso, porque o operador, na definição do art. 39, só pode tratar os dados conforme as instruções do controlador, e é o controlador quem responde se o fornecedor desviar dessa finalidade. A empresa também deve formalizar a indicação do encarregado pelo tratamento de dados, a quem o art. 41 atribui o papel de canal entre a empresa, os titulares e a autoridade. E, quando o tratamento envolver risco mais elevado, convém elaborar o relatório de impacto à proteção de dados, documento que o art. 38 permite à autoridade exigir e que demonstra como a empresa avaliou e mitigou esse risco.

Os processos que precisam funcionar

Documento que descreve um processo inexistente é pior do que documento nenhum, porque prova, numa fiscalização, que a empresa conhecia o dever e não o cumpriu. Por isso os processos importam tanto quanto os papéis. O primeiro é o atendimento ao titular, que pelo art. 18 tem direito de acessar, corrigir, eliminar e portar seus dados, e a empresa precisa de um fluxo real para responder a esses pedidos dentro do prazo, e não apenas de um e-mail de contato que ninguém monitora. O segundo é a resposta a incidentes de segurança. A LGPD trata do tema no art. 48, e a Resolução CD/ANPD nº 15/2024 fixou o prazo: diante de um incidente que possa gerar risco relevante, o controlador tem até três dias úteis, contados da ciência de que o incidente afetou dados pessoais, para comunicar a autoridade e os titulares atingidos. Três dias úteis é pouco para quem monta o plano de resposta só depois que o incidente acontece. O terceiro é a segurança da informação em si, que o art. 46 exige por meio de medidas técnicas e administrativas aptas a proteger os dados, acompanhada de treinamento das equipes que lidam com eles.

Por que isso deixou de ser teórico

A mudança de cenário tem nome e número. A Resolução CD/ANPD nº 4/2023 estabeleceu o método de cálculo das sanções, e o art. 52 da LGPD prevê multa de até 2% do faturamento da empresa, limitada a cinquenta milhões de reais por infração, além de advertência, publicização e até bloqueio ou eliminação dos dados. A autoridade passou a instaurar processos e a aplicar penalidades, de modo que o risco deixou de ser hipotético. Empresas menores têm alívio, mas não isenção: a Resolução CD/ANPD nº 2/2022 criou um regime simplificado para agentes de tratamento de pequeno porte, com obrigações mais leves e prazos estendidos, sem dispensá-los dos deveres centrais da lei.

Como pôr a casa em ordem

A adequação à LGPD começa pelo mapeamento dos dados e das bases legais, segue pela elaboração dos documentos que a lei exige, política de privacidade, contratos com fornecedores, indicação do encarregado e, quando for o caso, relatório de impacto, e se completa com os processos que fazem esses documentos valerem: o atendimento ao titular no prazo, o plano de resposta a incidentes compatível com os três dias úteis e as medidas de segurança efetivamente implantadas. Mais do que um conjunto de papéis produzido uma vez, a conformidade é um programa que precisa ser mantido e revisado à medida que a empresa muda. O GPF Advogados estrutura e revisa programas de adequação à LGPD, do mapeamento e das políticas aos contratos com fornecedores e ao plano de resposta a incidentes.