Seu treinamento LGPD vira evidência ou papel molhado?

A empresa fez o treinamento. Uma vez. Em 2021. Todo mundo reunido na sala, uma apresentação de PowerPoint com as bases legais do art. 7º, uma lista de presença assinada e pronto: "a gente está adequado". Quatro anos depois, a equipe virou duas vezes. Ninguém lembra o que foi falado. O novo colaborador de RH nunca viu nem a lista.

O problema não é só a desatualização. É que esse treinamento não serve como evidência pra ANPD. Treinamento que não é segmentado, não é periódico e não tem registro rastreável é, na prática, nenhum treinamento.

O que a ANPD entende por "programa de capacitação"

A LGPD não diz em nenhum artigo "faça treinamento a cada 12 meses". Mas o art. 50 cita explicitamente a "implementação de programas de treinamento a dirigentes e colaboradores" como medida demonstrável de conformidade. A palavra-chave é "programas". Não "evento". Não "palestra de uma tarde".

Quando a ANPD instaura uma fiscalização ou responde a uma denúncia, ela pede evidência. Política de privacidade: documento. Mapeamento de dados: planilha. Treinamento: o quê? Se você só tem uma lista de presença de 2021, isso sinaliza descuido, não conformidade.

Nossa leitura: a ANPD, ao avaliar o grau de culpa numa infração, usa o nível de organização interna como atenuante ou agravante. Um vazamento numa empresa com treinamento contínuo, registrado e segmentado tem tratamento diferente de um vazamento onde ninguém sabia nem o que era dado pessoal sensível.

Treinamento igual pra TI, RH, comercial e atendimento é erro

A área de TI precisa saber como classificar e proteger bases de dados, como responder a um incidente em até 48 horas internamente, como mapear fluxos de dados em sistemas. Isso não serve pra vendedora do comercial.

A equipe comercial precisa entender o que pode e o que não pode fazer com dado de lead: quando o consentimento é válido, quando é necessário registrar a base legal, o que acontece se enviar marketing sem opt-in documentado. Isso não serve pro técnico de TI.

O RH lida com dados sensíveis todos os dias: saúde, origem, biometria (art. 5º, II). O atendimento precisa saber como identificar uma requisição de titular e o prazo de 15 dias pra responder (art. 19). São universos diferentes. Um treinamento único trata todos como se fossem iguais e, no final, ninguém aprende o que precisa saber pra sua função.

Como estruturar o treinamento por departamento

A divisão que a gente recomenda pra empresas de médio porte segue a lógica do papel que cada área tem no ciclo de dados. Comece pelas de maior risco:

• TI e Segurança da Informação: incidentes, prazo de comunicação (48h internas antes da notificação à ANPD), controles técnicos, log de acesso, gestão de fornecedores com acesso a dados, anonimização.
• RH: dados sensíveis de colaboradores, bases legais pra coleta (cumprimento de obrigação legal e execução de contrato são as principais), retenção de documentos, pedido de exclusão de ex-funcionário.
• Comercial e Marketing: consentimento pra marketing, opt-in e opt-out, compra de lista fria, compartilhamento com parceiros, CRM e base legal de legítimo interesse.
• Atendimento e SAC: como identificar uma requisição de titular (art. 18), para onde encaminhar, o que responder e em quanto tempo (15 dias), o que não pode ser negado.
• Diretoria e Sócios: responsabilidade do controlador, exposição patrimonial, multas de até 2% do faturamento no Brasil limitadas a R$ 50 milhões por infração, impacto reputacional.

Não precisa fazer tudo no mesmo dia. Faça por ondas. Comece com TI, RH e comercial na primeira semana. O restante vem logo depois.

O que precisa constar no registro de participação

Lista de presença assinada é o mínimo e, sozinha, não convence numa fiscalização. O registro ideal tem:

• Data, horário de início e fim, modalidade (presencial, videoconferência, e-learning).
• Nome completo e cargo de cada participante.
• Conteúdo programático com os tópicos abordados.
• Nome do instrutor ou entidade responsável pelo treinamento.
• Resultado de avaliação: mesmo um quiz simples de 5 questões já conta como evidência de absorção do conteúdo.
• Assinatura eletrônica ou ciência por e-mail corporativo, que cria rastro com timestamp automático.

Se o treinamento for online, a própria plataforma gera log de acesso, tempo de visualização e nota. Falando sério: um quiz de 5 questões ao final do módulo diferencia seu treinamento de 90% do que existe por aí.

Guarde esses registros por, no mínimo, 5 anos. É o prazo que a ANPD usa como referência em investigações retroativas e coincide com muitas obrigações trabalhistas.

Periodicidade: anual não é suficiente pra quem mexe com dados sensíveis

Um ciclo anual é o mínimo aceitável pra áreas de baixo contato com dados. Pra TI, RH e comercial, a gente defende ciclos menores: a cada 6 meses pra reciclagem e sempre que houver mudança relevante na política interna ou nova resolução da ANPD.

Há dois gatilhos que precisam disparar treinamento imediato, independente do ciclo: admissão de novo colaborador e mudança de função que envolva acesso a dados pessoais. Um funcionário que entra no comercial hoje precisa passar pelo módulo de consentimento e CRM antes de acessar qualquer base de dados. Isso é gestão de risco, não burocracia.

Na prática: documente a data de onboarding e o treinamento LGPD atrelado a ele. Se houver incidente envolvendo alguém que nunca foi treinado, a responsabilidade sobe direto pro controlador. A ANPD pode usar isso como agravante na dosimetria da multa.

O case que a gente vê se repetir em Santa Catarina

Academias e clínicas em Santa Catarina coletam biometria e dados de saúde todo dia. Esses são dados sensíveis, com exigência de base legal específica, sendo o consentimento explícito o mais usual (art. 11). A recepcionista que coleta esses dados na ficha de matrícula raramente sabe disso. Ela não foi treinada. Ela não sabe o que responder se o cliente pedir cópia dos próprios dados ou revogar o consentimento.

No varejo, o problema é diferente: programas de fidelidade que coletam CPF, data de nascimento e histórico de compra sem política clara de retenção. O vendedor que cadastra o cliente não sabe por quanto tempo esses dados ficam guardados nem o que fazer quando alguém pede exclusão.

Esses dois cenários viram multa, viram processo judicial de indenização por danos morais, viram denúncia à ANPD. A defesa fica mais viável quando a empresa consegue mostrar que treinava a equipe de forma sistemática, com evidência rastreável, não com uma lista de 2021 tirada da gaveta.

O que fazer nas próximas 2 semanas

Se você não tem um programa de treinamento estruturado ainda, comece com o mínimo viável:

• Semana 1, dia 1: mapeie quais áreas têm contato direto com dados pessoais. TI, RH, comercial e atendimento são o ponto de partida. Isso leva uma tarde.
• Semana 1, dias 2 e 3: defina o conteúdo de cada módulo por área, com base nas funções reais que cada equipe exerce. Não precisa ser longo: 1 hora por área é suficiente.
• Semana 2: realize os treinamentos por área. Slides simples, cases do próprio setor da empresa, quiz de 5 questões no fim.
• Semana 2, último dia: registre tudo em pasta digital com acesso restrito. Data, participantes, conteúdo, notas do quiz.
• Depois disso: programe o próximo ciclo pra daqui a 6 meses e crie regra de onboarding: nenhum colaborador novo acessa sistemas com dados pessoais sem antes concluir o módulo correspondente à sua área.

Treinamento não elimina o risco. Mas ele é a diferença entre uma multa com atenuante e uma multa agravada, entre uma defesa que convence e uma empresa que não consegue provar boa-fé. Na maioria dos incidentes que a gente analisa, o ponto fraco não foi a tecnologia: foi o ser humano que não sabia o que estava fazendo com o dado.