LGPD na prática: por onde começar a adequação da sua empresa

A Lei Geral de Proteção de Dados está em vigor, a ANPD aplica sanções — e ainda assim muita empresa não sabe por onde começar. A boa notícia: adequação à LGPD não é um projeto jurídico gigante, é um processo que começa com uma pergunta simples: que dados pessoais passam pela sua empresa?

Antes de tudo: LGPD não é (só) um problema jurídico

O erro mais comum é delegar a LGPD inteiramente ao jurídico. Contratos e políticas importam, mas os dados pessoais vivem nos seus sistemas, planilhas, e-mails e processos — e é lá que a adequação acontece ou falha. Um vazamento causado por uma planilha compartilhada com o link aberto não é resolvido por cláusula contratual.

O custo real da não conformidade também vai além das multas: perda de contratos (clientes grandes auditam fornecedores), dano de reputação e o custo operacional de responder a um incidente sem preparo.

Passo 1: Inventarie os dados pessoais

É impossível proteger o que você não sabe que tem. O inventário (ou mapeamento) responde, para cada processo do negócio: quais dados são coletados (nome, CPF, saúde, localização...), de quem (clientes, colaboradores, candidatos), onde ficam (sistemas, nuvem, papel), com quem são compartilhados (fornecedores, parceiros, governo) e por quanto tempo são guardados.

Comece pelos processos que mais tratam dados: RH, comercial, marketing e atendimento. Não busque perfeição na primeira rodada — um inventário 80% completo que existe vale mais que um perfeito que nunca sai do papel.

Passo 2: Defina as bases legais

Todo tratamento de dado pessoal precisa de uma justificativa prevista na lei — as bases legais. São dez, mas na prática algumas resolvem a maioria dos casos: execução de contrato (dados do cliente para entregar o serviço), obrigação legal (dados de RH exigidos pela legislação trabalhista), legítimo interesse (com avaliação documentada) e consentimento — que, ao contrário do que se pensa, é a última opção, não a primeira: consentimento pode ser revogado a qualquer momento.

Com o inventário do passo 1 em mãos, esse exercício vira uma coluna a mais na tabela: para cada tratamento, qual base o sustenta. Onde não houver resposta boa, você encontrou um tratamento que talvez nem devesse existir.

Passo 3: Avalie riscos e lacunas

Nem tudo precisa ser corrigido de uma vez. Avalie cada lacuna por dois critérios: impacto (o que acontece se esse dado vazar ou for mal usado — dados de saúde pesam mais que um e-mail corporativo) e probabilidade (quão exposto o dado está hoje). Uma base de clientes com CPF em planilha aberta a toda a empresa é prioridade; o arquivo morto trancado, não.

Passo 4: Monte um plano de ação realista

Com riscos priorizados, o plano quase se escreve sozinho. Comece pelos quick wins: revogar acessos desnecessários, eliminar dados que não servem a nenhuma finalidade, fechar compartilhamentos abertos. Em paralelo, estruture o que exige fôlego: políticas, canal de atendimento a titulares, contratos com fornecedores (operadores) e treinamento das equipes.

Defina também um responsável — o encarregado (DPO), que pode ser interno ou terceirizado — e um ritmo de revisão. Adequação não é um projeto com fim: processos mudam, sistemas novos chegam, e o inventário precisa acompanhar.

Os erros mais comuns

Comprar um "kit LGPD" de templates e considerar o assunto resolvido — política genérica que não reflete a operação real é evidência contra você, não a favor. Pedir consentimento para tudo — além de desnecessário, cria a obrigação de gerenciar revogações. Adequar uma vez e abandonar — a ANPD e os clientes olham para o programa vivo, não para o PDF de 2021.