Adequação LGPD em 90 dias: o que vem antes e o que pode esperar

A maioria das empresas chega ao tema LGPD depois de um susto: um questionário de compliance de fornecedor grande, um cliente pedindo exclusão dos próprios dados, ou um concorrente que virou notícia. Ninguém acorda e decide se adequar por amor à lei. Acontece quando a situação força.

Em 90 dias dá pra ter uma estrutura funcional. Não perfeita. Funcional. A diferença importa: estrutura funcional te protege juridicamente e te habilita a responder questionários de clientes corporativos. Perfeição é um projeto sem fim. O que a gente apresenta aqui é o que fazer primeiro e o que pode esperar.

O que trava a maioria das empresas logo de cara

O principal bloqueio não é falta de tempo. É não saber por onde começar. A empresa começa pela política de privacidade porque "parece mais fácil", publica um texto genérico copiado da internet no rodapé do site e acha que fez o dever de casa. Não fez.

Adequação LGPD tem uma sequência lógica. Sem mapeamento, você não sabe quais bases legais usar. Sem bases legais definidas, a política de privacidade é uma ficção bonita. Tentar queimar etapas cria adequação de fachada: a que não resiste ao primeiro questionamento real da ANPD, de um cliente corporativo ou de um titular que sabe dos próprios direitos.

Nossa leitura: o objetivo dos primeiros 90 dias é cobrir os pontos de maior risco jurídico, não construir um programa de compliance certificado. Esses são projetos diferentes, com prazos e custos diferentes.

Mês 1: sem mapeamento, tudo o mais é enfeite

Primeiro passo real: saber quais dados sua empresa coleta, onde estão armazenados, quem tem acesso e pra que servem. Isso se chama inventário de dados. Não precisa de sistema caro no começo. Uma planilha já resolve a primeira rodada.

Para cada fluxo, pergunte: quem coleta? Onde fica armazenado? Por quanto tempo? Quem acessa internamente? É enviado pra algum terceiro? Em empresas de médio porte no Vale do Itajaí, o maior problema é o dado que "ninguém lembra que existe": a planilha de leads de campanha de 2019, o backup de e-mails em HD externo, o cadastro de clientes no sistema legado que ninguém usa mas ninguém deletou.

Falando sério: a maioria das empresas com problema de LGPD tem dados em lugares que ninguém sabia. Mapeie tudo antes de qualquer outra etapa. Os cinco fluxos prioritários de uma empresa comercial típica são: dados de clientes, dados de funcionários, dados de fornecedores, leads de marketing e arquivos fiscais.

Bases legais: onde erra, e o que fazer diferente

Depois do mapeamento, cada atividade de tratamento precisa de uma base legal. O art. 7º da LGPD lista dez. Consentimento é a mais famosa e, paradoxalmente, a menos recomendável para relações comerciais contínuas. Por quê? Porque consentimento pode ser revogado a qualquer momento pelo titular, e aí você perde a base legal pra tratar aquele dado.

Para clientes com contrato: a base é execução de contrato. Para obrigações fiscais e trabalhistas: cumprimento de obrigação legal. Para newsletter e marketing direto: legítimo interesse (com ressalvas) ou consentimento explícito. Para consulta de crédito: proteção do crédito. O erro mais comum é usar consentimento como base única pra tudo, sem mapear as outras bases que já existem naturalmente no negócio.

Nossa leitura: quando a empresa pede consentimento pra algo que já tem outra base legal válida, cria duplicidade e vulnerabilidade. Se o titular revogar, você perde a base pra tratar dado que poderia tratar de outra forma. Defina a base legal mais adequada pra cada fluxo dentro do mesmo documento de mapeamento. Uma coluna a mais na planilha já resolve.

Contratos com fornecedores: o risco que ninguém vê

Sua empresa contrata CRM, plataforma de e-mail marketing, ERP em nuvem, serviço de folha de pagamento terceirizado. Esses fornecedores processam dados pessoais dos seus clientes e funcionários em nome da sua empresa. Juridicamente: eles são operadores, você é o controlador. Se o fornecedor vazar dados, você responde junto.

A LGPD exige que contratos com operadores reflitam as obrigações de proteção de dados. Na prática: inclua cláusula exigindo que o fornecedor respeite a lei, informe incidentes em até 48 horas e só use os dados para a finalidade contratada. Comece pelos três fornecedores que mais acessam dados de clientes e de funcionários.

Empresas de Santa Catarina que estão na cadeia de fornecimento de grupos nacionais já recebem questionários de compliance pedindo prova de adequação LGPD. Sem contrato revisado e sem política documentada, você fica de fora de credenciamentos e licitações. Esse ponto virou requisito comercial, não só jurídico.

Política de privacidade e canal do titular: as duas vitrines obrigatórias

A política de privacidade não é documento pra gaveta. É o compromisso público da empresa com os titulares de dados. Ela precisa informar: quais dados são coletados, pra quê, com base em qual fundamento legal, por quanto tempo ficam armazenados e como o titular exerce os próprios direitos.

O canal do titular é obrigação legal, não sugestão. O art. 18 da LGPD garante ao titular direitos como acesso aos dados, correção, exclusão, portabilidade e revogação de consentimento. O art. 19 obriga a empresa a responder em 15 dias corridos. Um e-mail dedicado (ex: privacidade@suaempresa.com.br) já atende no começo. O que não pode é não ter canal nenhum, ou ter canal que ninguém monitora.

Na prática: a ANPD já abriu investigações por ausência de canal do titular e por falta de resposta no prazo. Não é formalidade menor. É o ponto mais fácil de verificar externamente: qualquer pessoa de fora da empresa consegue checar em dois minutos se o canal existe.

Encarregado e treinamento: quem cuida disso internamente

O art. 41 da LGPD obriga todo controlador a indicar um encarregado (DPO). Não exige que seja advogado, não exige certificação formal, não exige contratação externa. Pode ser um colaborador interno que acumula a função. O importante é que exista uma pessoa indicada, com contato publicado na política de privacidade.

Treinamento mínimo nos primeiros 90 dias: uma reunião de 1 hora com as áreas que mais lidam com dados, comercial, RH e TI. O objetivo não é transformar ninguém em especialista. É criar consciência sobre o que é dado pessoal, o que não pode fazer (compartilhar lista de clientes por WhatsApp, enviar planilha com CPF sem criptografia) e pra quem comunicar se houver incidente.

Falando sério: o maior vetor de incidente de dados nas empresas brasileiras não é ataque hacker sofisticado. É o colaborador que encaminha a planilha errada, ou o e-mail que vai pro destinatário incorreto. Treinamento básico resolve boa parte desse risco com custo quase zero.

O que pode esperar após o mês 3 e o que não pode esperar nada

Pode ficar para depois do mês 3:

• Auditoria completa de segurança da informação com empresa especializada
• Programa formal de treinamento contínuo com avaliação de eficácia
• DPO externo com certificação especializada
• Revisão de código de sistemas internos desenvolvidos sob medida
• RIPD (Relatório de Impacto à Proteção de Dados), obrigatório apenas para tratamentos de alto risco

Não pode esperar nenhum dia a mais:

• Encarregado indicado com contato publicado (art. 41)
• Canal de atendimento ao titular ativo e monitorado
• Política de privacidade no site com conteúdo real, não texto genérico
• Cláusulas de proteção de dados nos contratos dos três principais fornecedores que processam dados
• Ao menos um documento de mapeamento de dados, mesmo que preliminar

A multa da ANPD chega a até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A Resolução CD/ANPD 02/2022 criou regime simplificado para microempresas e EPPs, com menor complexidade documental. Mas "empresa pequena" não significa "empresa isenta". Significa requisitos proporcionais, não ausência de requisitos.

Nas próximas duas semanas: abra uma planilha e mapeie os cinco principais fluxos de dados da empresa. Para cada um, anote onde ficam os dados, quem acessa e qual seria a base legal mais adequada. Com esse insumo em mãos, você tem o ponto de partida pra construir os demais documentos com consistência, sem refazer o trabalho.