Adequação LGPD em 90 dias: o roteiro real, passo a passo

Empresário de Blumenau e do Vale do Itajaí costuma nos ligar com a mesma dúvida: "manda o modelo de política de privacidade que a gente resolve isso". Não resolve. Política de privacidade sem mapeamento por trás é papel bonito que não protege ninguém em fiscalização.

Nossa leitura: adequação LGPD é projeto de 90 dias com ordem fixa. Pular etapa não economiza tempo, cria retrabalho. A gente já viu empresa gastar R$ 15 mil em contrato de fornecedor redigido sem saber quais dados estavam sendo tratados. Teve que refazer tudo.

Semana 1 a 3: mapear antes de qualquer outra coisa

O primeiro passo não é jurídico, é operacional: descobrir que dado a empresa coleta, onde guarda, quem acessa e por quanto tempo. Sem esse inventário, toda decisão depois é chute.

Na prática, isso significa sentar com RH, comercial, TI e financeiro (nessa ordem de volume de dado, normalmente) e perguntar: que planilha, que sistema, que formulário de site coleta CPF, e-mail, telefone, dado de saúde, biometria? A gente sempre encontra dado sensível escondido em lugar banal: ficha de admissão com exame demissional guardada em pasta compartilhada, câmera de acesso com reconhecimento facial numa academia.

• Liste todos os sistemas: ERP, CRM, folha de pagamento, e-mail marketing, câmeras.
• Marque quais tratam dado sensível (art. 5º, II): saúde, biometria, origem racial, convicção religiosa.
• Anote prazo de retenção real de cada base: a empresa guarda currículo de candidato reprovado por quanto tempo? Por que?

Esse mapeamento não pode esperar. Tudo que vem depois depende dele.

Semana 4 a 5: base legal, não é só "consentimento"

Erro clássico: achar que toda coleta de dado precisa de consentimento assinado. Não precisa. O art. 7º da LGPD lista dez bases legais, e consentimento é só uma delas, geralmente a mais frágil, porque o titular pode revogar quando quiser.

Na prática: dado de empregado tratado pra folha de pagamento tem base em cumprimento de obrigação legal e execução de contrato, não em consentimento. Dado de cliente inadimplente consultado pra análise de crédito tem base em proteção do crédito. Legítimo interesse cobre boa parte do relacionamento comercial normal, desde que documentado com teste de proporcionalidade.

Nessa etapa a empresa define, pra cada dado mapeado na semana anterior, qual base legal sustenta aquele tratamento. Isso vira a espinha dorsal da política de privacidade, não o contrário.

Semana 6 a 7: política de privacidade e RIPD nas operações de risco

Só agora, com mapeamento e base legal prontos, a política de privacidade tem conteúdo real pra descrever. Antes disso é texto genérico copiado de site americano.

Se a empresa faz tratamento em larga escala de dado sensível (clínica, academia, RH de empresa grande), esse é o momento de fazer o Relatório de Impacto à Proteção de Dados (RIPD). Não é obrigatório pra toda empresa, mas a ANPD pode exigir a qualquer momento se o tratamento envolver risco alto.

Semana 8 a 10: contrato com fornecedor é onde a maioria falha

Falando sério: essa é a etapa mais ignorada e a mais cara quando dá errado. Se a empresa terceiriza folha de pagamento, hospeda dado em nuvem, usa plataforma de e-mail marketing ou CRM externo, esses fornecedores são operadores. A empresa continua responsável solidariamente se o operador vazar dado.

Revisar (ou incluir do zero) cláusula de proteção de dados em todo contrato de fornecedor que trata dado pessoal em nome da empresa. Isso inclui:

• Obrigação do fornecedor de notificar incidente em até 48h após conhecimento (prazo que a gente recomenda contratualmente, mais rígido que o "prazo razoável" da lei).
• Cláusula de auditoria e direito de a empresa verificar as práticas do fornecedor.
• Definição clara de o que acontece com o dado no fim do contrato: deleção, devolução, prazo.

Empresa da região que terceiriza logística ou cobrança pra fornecedor sem essa cláusula está exposta a risco que nem escolheu correr.

Semana 11 a 12: treinamento não é palestra de uma hora

Treinar equipe funciona quando é específico pro cargo. Atendente de balcão precisa saber o que fazer quando cliente pede exclusão de dado. RH precisa saber quanto tempo guardar currículo. TI precisa saber o protocolo de resposta a incidente.

Treinamento genérico de "o que é LGPD" em slide de PowerPoint não muda comportamento. O que muda é simular o cenário: "cliente ligou pedindo pra apagar os dados dele, o que você faz nos próximos 15 dias?"

Canal do titular: o prazo de 15 dias não é sugestão

O art. 19 da LGPD dá 15 dias pra empresa responder pedido de titular sobre confirmação de tratamento ou acesso a dado. Isso exige canal definido, não "manda um e-mail pra qualquer setor".

A gente recomenda um e-mail dedicado ou formulário simples no site, com responsável interno designado pra triagem. Empresa pequena não precisa de sistema caro: precisa de processo claro e de alguém que saiba que aquele prazo corre a partir do recebimento do pedido, não da "leitura" dele.

O que pode esperar (e o que não pode)

Nem tudo tem o mesmo peso. Isso ajuda a priorizar quando o orçamento é curto:

• Não pode esperar: mapeamento de dados, definição de base legal, canal do titular, cláusula com fornecedor que trata dado sensível.
• Pode esperar um pouco: RIPD detalhado (só obrigatório se ANPD pedir ou risco for alto), treinamento aprofundado por cargo, certificação formal de segurança da informação.
• Encarregado (DPO): obrigatório desde o art. 41, mas a Resolução CD/ANPD 02/2022 permite regime simplificado pra ME, EPP e startup: pode ser função acumulada, não precisa de contratação dedicada de início.

O que fazer nas próximas duas semanas

Comece pelo mapeamento, mesmo que informal: uma planilha com sistema, tipo de dado, base legal provisória e quem acessa já é mais do que 90% das empresas da região têm hoje. Depois, liste os três fornecedores que tratam mais dado sensível e verifique se o contrato tem cláusula de proteção de dados. Se não tiver, comece a negociar aditivo agora, antes de qualquer fiscalização bater na porta.