Toda semana aparece um empresário querendo resolver LGPD em uma reunião de uma hora. Não dá. Mas também não precisa levar seis meses parado esperando o "momento certo" pra começar. A gente monta esse roteiro há alguns anos e ele sempre cabe em 90 dias, desde que a ordem seja respeitada: primeiro descobre, depois decide, só então escreve.
Quem inverte essa ordem escreve uma política de privacidade bonita que não bate com a realidade da empresa. E isso é pior do que não ter nada, porque em fiscalização vira prova contra você: a ANPD lê o documento, confere com o que a empresa faz de verdade, e a divergência conta como agravante.
Semana 1 a 3: mapear antes de escrever qualquer coisa
O primeiro passo não é jurídico, é operacional. Você precisa listar onde o dado pessoal entra, onde fica guardado e quem tem acesso, antes de qualquer texto. Em empresa de 30 funcionários, normalmente aparecem entre 12 e 18 pontos de coleta que ninguém tinha listado antes.
- Formulário do site e newsletter
- Planilha de RH com dado de saúde (atestado, exame admissional)
- WhatsApp Business com histórico de conversa de cliente
- Sistema de câmeras e catraca/cartão de acesso
- CRM e base de prospecção comercial
- Cadastro de fornecedores e cobrança (financeiro)
Esse levantamento vira o que a lei chama de registro de operações de tratamento. Não precisa ser bonito. Precisa ser verdadeiro.
Bases legais: pare de usar consentimento pra tudo
O erro mais comum que a gente vê em empresa do Vale do Itajaí é empilhar consentimento em cada operação, inclusive nas que já têm outra base legal mais forte. Emitir nota fiscal é cumprimento de obrigação legal, não precisa de consentimento. Executar um contrato de prestação de serviço também não.
O art. 7º da LGPD traz dez bases legais possíveis. Consentimento é uma delas, e é a mais frágil, porque o titular pode revogar a qualquer momento. Nossa leitura: use legítimo interesse pra CRM e prospecção B2B (com relatório de impacto documentado), cumprimento legal pra folha e nota fiscal, execução de contrato pra prestação de serviço. Reserve consentimento pra marketing direto e uso de imagem.
Política de privacidade e contrato com fornecedor não são o mesmo documento
Empresa publica a política de privacidade no site e acha que resolveu o fornecedor. Não resolve. São dois papéis diferentes: a política fala com o titular, o contrato fala com quem trata o dado por você, tipo o escritório de contabilidade terceirizado, a agência de marketing ou o SaaS de gestão.
Contrato com fornecedor que trata dado pessoal precisa ter cláusula específica: finalidade limitada, prazo pra notificar incidente (na prática, a gente fixa 24h a 48h contratuais, porque a lei não define prazo fixo), proibição de sub-processamento sem aviso, e devolução ou eliminação do dado ao fim do contrato. Sem isso, se o fornecedor vazar dado, a responsabilidade solidária pode cair sobre a sua empresa.
Treinamento não é palestra de uma hora que todo mundo esquece em uma semana
Falando sério: treinamento genérico de LGPD não muda comportamento. O que funciona é treinamento por área, curto, com caso real da própria empresa. RH lida com atestado e exame médico, dado sensível de verdade. Comercial lida com número de WhatsApp e histórico de compra. Financeiro lida com dado de cartão.
Uma sessão de 40 minutos por área, com simulação de pedido de titular e de suspeita de vazamento, rende mais do que três horas de slide institucional. E cria o hábito mais importante: funcionário reporta suspeita de incidente internamente em 24h, pra empresa conseguir avaliar e, se for o caso, comunicar à ANPD em prazo razoável, como exige o art. 48.
Canal do titular: 15 dias não é sugestão
O art. 19 da LGPD dá 15 dias pra empresa responder pedido de titular sobre acesso, correção ou eliminação de dado. Sem canal definido, esse pedido chega no WhatsApp pessoal de um vendedor, ou no e-mail de alguém que sai de férias, e o prazo estoura sem ninguém perceber.
Monte um canal simples: um e-mail dedicado, um formulário no site, ou até um campo específico no atendimento. O que importa é ter um lugar único que centraliza o pedido, registra a data de entrada e dispara alerta pra quem precisa responder. Estourar o prazo de 15 dias é a forma mais fácil de virar reclamação formal na ANPD.
O que pode esperar e o que não pode
Nem tudo precisa estar pronto no dia 90. Mas alguns itens não têm meio-termo.
Não pode esperar: mapeamento inicial de dados, canal do titular funcionando, e revisão dos contratos com os três ou quatro fornecedores que tratam mais dado sensível ou em maior volume. Também não espera a designação de um encarregado, ainda que informal no começo, porque o art. 41 exige essa figura pra todo controlador.
Pode esperar, com prazo definido: relatório de impacto completo em todas as operações, certificação como ISO 27701, treinamento aprofundado por área além da sessão inicial. Se sua empresa é ME, EPP ou startup, a Resolução CD/ANPD 02/2022 permite regime simplificado, com menos formalidade no registro de operações. Isso reduz burocracia, mas não dispensa canal de atendimento nem resposta em 15 dias.
Nas próximas duas semanas
Na prática, o que dá pra fazer sem esperar o roteiro completo de 90 dias:
- Listar todos os sistemas, planilhas e WhatsApp que guardam dado pessoal hoje
- Indicar, mesmo informalmente, quem responde por proteção de dados na empresa
- Criar um e-mail ou formulário único pra pedido de titular
- Revisar os 3 contratos de fornecedor que tratam mais dado sensível ou em volume
- Agendar a primeira sessão de treinamento de 40 minutos com RH e comercial
Esses cinco pontos não resolvem tudo, mas tiram a empresa do zero absoluto e reduzem o risco mais imediato: o de não saber responder quando alguém perguntar.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
