Treinamento LGPD por departamento: o que TI, RH e comercial precisam saber

A gente já viu dezenas de empresas em Blumenau e no Vale do Itajaí apresentarem, numa fiscalização ou numa auditoria de cliente, o mesmo certificado: "Treinamento de LGPD, 1 hora, toda a equipe". Um PDF genérico, com slide de conceito e nenhuma menção ao que aquele funcionário específico faz no dia a dia. Isso não é evidência de adequação. É papel.

Falando sério: treinamento que não muda comportamento não vale o tempo gasto nele. E treinamento igual pra todo mundo garante isso, porque o problema do RH (currículo com dado de saúde, entrevista com pergunta indevida) não tem nada a ver com o problema do comercial (planilha de leads circulando por WhatsApp) ou do atendimento (confirmar identidade antes de passar informação de conta).

Por que o treinamento único não passa no teste da ANPD

O art. 41 da LGPD exige que o controlador indique um encarregado e mantenha canal de comunicação com os titulares e com a ANPD. Isso pressupõe uma estrutura interna funcionando, não um evento pontual. Se o encarregado não sabe dizer quem, na empresa, sabe agir diante de um incidente, o treinamento não cumpriu a função dele.

Nossa leitura: a Resolução CD/ANPD 02/2022 dá tratamento mais simples pra micro e pequena empresa, startup e profissional autônomo. Simplificado não é ausente. A ANPD ainda espera registro de que a equipe foi capacitada de forma compatível com o risco da operação. Empresa que trata dado sensível de saúde, biometria ou dado de criança tem exigência maior que uma prestadora de serviço B2B comum.

TI, RH, comercial, atendimento: o conteúdo muda, e muda bastante

Cada departamento lida com um risco diferente de vazamento e precisa de um roteiro diferente. Misturar tudo numa aula só faz a equipe esquecer a parte que era pra ela.

• TI: controle de acesso, log de quem acessou o quê, prazo de retenção de backup, protocolo de resposta a incidente em até 48h internamente pra avaliar se há comunicação à ANPD (art. 48).
• RH: dado sensível em processo seletivo (saúde, biometria de ponto), retenção de currículo recusado, base legal pra manter dado de ex-funcionário (normalmente cumprimento de obrigação legal, art. 7º, II, não consentimento).
• Comercial: origem do lead, se houve consentimento ou legítimo interesse (art. 7º, IX) pra contato frio, proibição de exportar planilha de CRM pro WhatsApp pessoal.
• Atendimento: verificação de identidade antes de responder solicitação de titular, prazo de 15 dias pra resposta (art. 19), o que fazer quando o cliente pede exclusão de dado e existe obrigação fiscal de guarda por 5 anos.

Cases que fazem a ficha cair (porque genérico não convence ninguém)

Slide de "o que é dado pessoal" não gruda. Caso real do setor do funcionário, sim. Numa indústria têxtil de Santa Catarina, o caso que funciona é o de vazamento de folha de pagamento por planilha compartilhada sem senha. Num comércio de varejo, é o vendedor que fotografa documento do cliente pra "garantir" a troca depois. Num escritório de serviços, é o estagiário que reencaminha proposta comercial com dado de terceiro anexado sem perceber.

Na prática, a gente recomenda que cada treinamento setorial traga pelo menos um incidente hipotético construído com a rotina real daquele time, não um exemplo importado de blog americano. O RH de uma metalúrgica não se identifica com case de rede social. Ele se identifica com ficha médica de admissional.

Prova de participação: o que realmente serve como evidência

Certificado de presença em evento de 1h não resiste a uma fiscalização séria. O que a ANPD tende a valorizar é diferente:

• Lista de presença assinada (física ou com registro eletrônico com timestamp), por turma e por data.
• Conteúdo programático específico por departamento, arquivado junto com a lista.
• Teste de fixação com nota mínima, aplicado individualmente. Sem teste, não há como provar retenção do conteúdo.
• Ata de reciclagem quando houver mudança relevante (novo sistema, novo fornecedor de dados, incidente ocorrido).
• Registro de quem NÃO participou e o plano de reposição, com prazo definido (a gente sugere 30 dias).

Documentação sem teste de fixação equivale a não ter feito treinamento nenhum, na nossa leitura. É a diferença entre dizer "eu treinei" e conseguir mostrar o que a pessoa aprendeu.

Periodicidade: uma vez por ano não é regra, é o mínimo

A lei não fixa prazo de reciclagem. Isso não significa fazer de vez em quando. Nossa recomendação, com base no risco de cada área: onboarding obrigatório em até 30 dias da contratação, reciclagem anual pra toda a equipe, e reciclagem extraordinária sempre que:

• Houver troca de sistema que mexa com dado pessoal (novo ERP, novo CRM).
• Ocorrer um incidente, mesmo pequeno, dentro ou fora da empresa no mesmo setor.
• A ANPD publicar orientação nova ou aplicar sanção em empresa do mesmo segmento.

Empresa que treina uma vez e nunca mais repete está exposta em dobro: se vazar dado depois de 2 ou 3 anos sem reciclagem, fica difícil sustentar que existe cultura de proteção de dados ativa, ainda que o primeiro treinamento tenha sido bom.

O que fazer nas próximas duas semanas

Não precisa contratar consultoria cara pra sair do zero. Dá pra começar de forma simples e correta:

• Mapear em uma página quem trata qual tipo de dado em cada departamento (RH, TI, comercial, atendimento, financeiro).
• Separar o conteúdo do treinamento em blocos por área, com pelo menos um exemplo real do setor da empresa em cada bloco.
• Criar lista de presença padrão com campo de assinatura e um teste de 5 a 10 perguntas por bloco.
• Definir data de reciclagem anual fixa no calendário, e não deixar "pra quando sobrar tempo".
• Arquivar tudo isso junto com a política de privacidade e o registro de tratamento, porque é o primeiro conjunto de documentos que costuma ser pedido numa fiscalização.

Treinamento que protege a empresa é aquele que a equipe consegue repetir três meses depois, sem slide na frente. O resto é formalidade que não aguenta pergunta.