Adequação à LGPD para empresas de Eunápolis - BA

Colocar o tratamento de dados da empresa em ordem, com esforço proporcional ao porte e ao risco.

A LGPD se aplica a praticamente toda empresa que trate dados de pessoas — clientes, funcionários, fornecedores. A adequação não começa por um documento pronto, e sim por saber quais dados a empresa coleta, onde eles ficam, quem acessa e por quê. A partir desse inventário definem-se as bases legais, ajustam-se contratos com fornecedores, revisam-se avisos e formulários e se organiza o atendimento a pedidos de titulares. Para agentes de pequeno porte há tratamento diferenciado previsto em regulamentação da ANPD, que deve ser verificada na data. O esforço deve ser proporcional ao risco. Este texto descreve o percurso geral.

Mesa de escritório em madeira com notebook aberto, pilha de pastas de papel com documentos, uma chave solta ao lado e cadeira de couro ao fundo

5etapas
6documentos
5dúvidas respondidas

Em quais situações podemos ajudar

Empresa que coleta dados de clientes em cadastro, site ou aplicativo
Uso de câmeras, biometria ou controle de ponto com dados de empregados
Contratação de fornecedores que acessam a base de dados
Recebimento de pedido de titular pedindo acesso ou exclusão de dados
Incidente de segurança, vazamento ou acesso indevido
Exigência de adequação por cliente, edital ou parceiro comercial

Como funciona

Inventário de dadosLevantamento do que é coletado, por qual canal, onde fica armazenado, por quanto tempo e quem tem acesso.
Bases legais e finalidadesPara cada tratamento, identificação da base legal adequada e da finalidade real — consentimento não é a única, nem sempre a melhor.
Contratos e fornecedoresRevisão de cláusulas com quem trata dados em nome da empresa, definindo responsabilidades.
Avisos e canaisPolítica de privacidade condizente com a prática, formulários ajustados e canal para atender titulares.
Segurança e resposta a incidentesMedidas técnicas e administrativas proporcionais, e um plano do que fazer se algo vazar.

Estas são etapas gerais. O caminho concreto depende dos documentos, dos prazos aplicáveis e das particularidades de cada caso — que só podem ser avaliados individualmente.

Regime simplificado ou programa completo? Quatro pontos decidem

A regulamentação da ANPD prevê obrigações mais leves para agentes de pequeno porte. Antes de dimensionar o trabalho, a análise verifica se a empresa se enquadra — e se o enquadramento basta para o que ela precisa.

Marque os pontos que valem para o seu caso: 0 de 4.

1
Porte enquadrado
Microempresa, empresa de pequeno porte, startup ou entidade sem fins lucrativos, nos termos da regulamentação da ANPD vigente na data.
2
Sem tratamento de alto risco
A regulamentação exclui do regime simplificado quem realiza tratamento de alto risco — em geral, operações em larga escala combinadas com dados sensíveis, dados de crianças ou vigilância sistemática.
3
Nenhuma exigência externa maior
Cliente de grande porte, edital ou parceiro comercial podem exigir, por contrato, controles além do mínimo legal. Nesse caso o regime simplificado não resolve a demanda comercial.
4
Dados sob controle da própria empresa
Quem trata dados em nome de terceiros, como operador, responde também pelo contrato firmado com o controlador, que pode impor rotinas mais rigorosas que as do regime simplificado.

Enquadrada e sem exigência maior, a empresa pode adotar o regime simplificado: registro de operações em formato reduzido, dispensa ou flexibilização do encarregado conforme a regulamentação, com um canal de contato mantido, e medidas de segurança proporcionais.

Fora do enquadramento, ou com exigência contratual maior, o caminho é o programa completo: registro integral, encarregado nomeado, relatório de impacto quando cabível e revisão contratual mais ampla.

O enquadramento é aferido na data e pode mudar com o crescimento da empresa ou com um novo tipo de tratamento. Vale rever a cada mudança relevante da operação.

Consentimento ou legítimo interesse? A escolha que mais gera erro

Quando cabeQuando o titular pode de fato escolher, sem prejuízo se recusar, e não há outra base mais adequadaQuando a empresa tem um interesse concreto e o titular, pela relação existente, espera aquele uso

O que a empresa precisa provarQue a manifestação foi livre, informada, inequívoca e para finalidade determinadaQue fez o teste de balanceamento: necessidade, expectativa do titular e salvaguardas, tudo documentado

Dados sensíveisAdmitido, mas de forma específica e destacada para a finalidadeNão é base para dados sensíveis

O que o titular pode fazerRevogar a qualquer tempo, por procedimento simples e gratuitoOpor-se ao tratamento, cabendo à empresa demonstrar que o interesse se sustenta

Se a base caiRevogado o consentimento, o tratamento precisa parar, salvo outra base já existente para o mesmo fimReprovado no balanceamento, o tratamento tende a ser considerado irregular desde o início, não só a partir da oposição

Exemplo típicoNewsletter de marketing enviada a quem ainda não é clienteAviso sobre produto semelhante ao que o cliente já comprou; prevenção a fraude no cadastro

Erro mais comumPedir consentimento para o que é necessário ao contrato ou exigido por lei — e ficar refém da revogaçãoUsar "legítimo interesse" como rótulo genérico, sem teste escrito nem transparência ao titular

Entenda os termos

Qualquer informação que identifique uma pessoa ou permita identificá-la: nome, CPF, e-mail, placa do carro, número de IP, foto. Na prática, quase tudo que a empresa guarda sobre clientes e funcionários entra nessa categoria.
Dado sobre saúde, biometria, origem racial, religião, opinião política, vida sexual ou filiação sindical. Tem bases legais mais restritas e exige cuidado maior: ponto biométrico e atestado médico no RH são exemplos comuns.
Toda operação feita com dado pessoal: coletar, guardar, consultar, compartilhar, corrigir ou apagar. Uma planilha de clientes já é tratamento, mesmo sem sistema. Por isso a adequação começa pelo mapeamento, não pelo software.
Base legal que autoriza o tratamento para um interesse concreto da empresa, desde que o titular possa razoavelmente esperá-lo e seus direitos não sejam atropelados. Exige teste de balanceamento documentado e não serve para dados sensíveis.
Documento que lista cada fluxo de dados: o que se coleta, para quê, com que base legal, onde fica, quem acessa e por quanto tempo. É o resultado do inventário e a prova de que a empresa conhece seus fluxos.
Documento que descreve um tratamento de maior risco, os danos possíveis ao titular e as salvaguardas adotadas. A ANPD pode exigi-lo; não é obrigatório para toda operação, mas é recomendável em tratamentos sensíveis ou em larga escala.
Anonimizar é tornar impossível, por meios razoáveis, saber de quem é o dado — ele deixa de ser pessoal. Pseudonimizar apenas troca a identificação por um código; a chave existe e o dado continua sob a lei.
Envio de dados para fora do Brasil, inclusive quando o servidor do sistema em nuvem fica em outro país. A lei admite a transferência em hipóteses específicas, e a regulamentação da ANPD define os instrumentos aceitos.
Princípios da lei: coletar só o necessário para uma finalidade específica, informada ao titular, e não reaproveitar o dado para outro fim sem base própria. Cadastro que pede CPF, estado civil e profissão sem motivo é o exemplo clássico.

Documentos e provas que costumam ser úteis

Relação de sistemas, planilhas e locais onde os dados ficam
Formulários, cadastros e telas de coleta usados hoje
Contratos com fornecedores de tecnologia e serviços
Política de privacidade e avisos atuais, se existirem
Documentos de recursos humanos que envolvam dados de empregados
Registros de incidentes anteriores, se houver

Pontos de atenção

Consentimento não é a base legal padrão. Usá-lo onde não cabe cria fragilidade em vez de proteção.
Política de privacidade que não corresponde à prática real da empresa agrava a situação em vez de resolver.
Agentes de pequeno porte têm tratamento diferenciado em regulamentação da ANPD, que deve ser verificada na data.
Adequação não é documento único: envolve processo, contrato, sistema e rotina.
Dados de crianças e adolescentes e dados sensíveis seguem regras próprias e mais estritas.
Incidente de segurança tem providências e prazos próprios, que precisam estar definidos antes de acontecer.

Perguntas frequentes

Minha empresa é pequena. A LGPD se aplica?

Sim, a lei alcança praticamente todo tratamento de dados. O que muda é a proporcionalidade das medidas e o tratamento diferenciado previsto para agentes de pequeno porte.

Preciso nomear um encarregado?

A exigência e sua forma dependem do porte e do perfil de tratamento, conforme regulamentação vigente da ANPD.

Basta publicar uma política de privacidade?

Não. A política é a parte visível. Sem inventário, bases legais e processo interno, ela vira uma promessa que a empresa não cumpre.

Posso usar as fotos dos clientes no Instagram?

Depende da base legal e do que foi informado ao titular. Uso de imagem tem regramento próprio, além da LGPD.

Quanto tempo leva a adequação?

Varia com o porte, a quantidade de sistemas e a maturidade atual. É um processo, não um produto entregue de uma vez.

Solicitar diagnóstico inicial Ver artigos sobre o tema