Compliance
LGPD para Empresas: Guia Completo de Compliance e Proteção de Dados
A LGPD impõe regras rígidas sobre proteção de dados pessoais. Entenda como adequar sua empresa, evitar multas milionárias e garantir compliance legal.
Índice
O que é a LGPD e como ela impacta minha empresa?
A LGPD (Lei Geral de Proteção de Dados) é a legislação brasileira que regula o tratamento de dados pessoais. Ela se aplica ao tratamento de dados pessoais realizado no Brasil, voltado a pessoas localizadas no país ou de dados coletados aqui, e exige uma base legal para cada tratamento, medidas de segurança adequadas e processos para atender aos direitos dos titulares. O descumprimento pode resultar em sanções, incluindo multas de até R$ 50 milhões por infração.
A Lei Geral de Proteção de Dados (LGPD) - Lei nº 13.709/2018 - estabeleceu regras para o tratamento de dados pessoais no Brasil. Além de ser uma obrigação legal, o descumprimento pode levar a sanções que incluem multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
O Que É a LGPD?
A LGPD é a legislação brasileira que regula o tratamento de dados pessoais por pessoas físicas e jurídicas, públicas ou privadas. Inspirada na GDPR europeia, entrou em vigor em setembro de 2020.
Objetivos da Lei:
- Proteger direitos fundamentais de liberdade e privacidade
- Garantir livre formação da personalidade
- Promover desenvolvimento econômico e tecnológico
- Estimular competição justa
Quem Precisa Se Adequar?
A LGPD se aplica a operações de tratamento de dados pessoais realizadas por pessoas físicas ou jurídicas, de direito público ou privado, quando (art. 3º):
- o tratamento é realizado no Brasil;
- o tratamento tem por objetivo a oferta de bens ou serviços, ou o tratamento de dados de pessoas localizadas no Brasil; ou
- os dados pessoais foram coletados no Brasil.
A lei prevê exceções (art. 4º), como o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos.
Porte da empresa: o tamanho não afasta a aplicação da lei, mas pode mudar algumas obrigações. A Resolução CD/ANPD nº 2/2022 prevê tratamento diferenciado para agentes de tratamento de pequeno porte: microempresas e empresas de pequeno porte, inclusive o MEI, nos termos da Lei Complementar nº 123/2006; startups, nos termos da Lei Complementar nº 182/2021; pessoas jurídicas de direito privado, inclusive sem fins lucrativos; e pessoas naturais e entes privados despersonalizados que tratam dados pessoais (art. 2º).
Não podem usar esse regime os agentes que realizam tratamento de alto risco, salvo as hipóteses previstas na própria resolução, que têm receita bruta acima dos limites legais ou que pertencem a grupo econômico cuja receita global ultrapasse esses limites (art. 3º). Tratamento de alto risco é o que reúne, ao mesmo tempo, um critério geral (larga escala, ou possibilidade de afetar significativamente interesses e direitos fundamentais dos titulares) e um critério específico (tecnologias emergentes ou inovadoras, vigilância de áreas acessíveis ao público, decisões exclusivamente automatizadas, ou dados sensíveis ou de crianças, adolescentes e idosos) (art. 4º).
Para quem se enquadra, a resolução prevê, entre outros pontos: registro simplificado das operações (art. 9º); dispensa de indicar encarregado, desde que haja um canal de comunicação com os titulares (art. 11); política de segurança da informação simplificada (art. 13); e prazos em dobro para atender solicitações dos titulares, comunicar incidentes de segurança e fornecer a declaração completa ao titular, entre outros (art. 14). O regime não dispensa o cumprimento das demais regras da LGPD, inclusive bases legais e princípios (art. 6º), e a ANPD pode determinar o cumprimento das obrigações dispensadas conforme as circunstâncias (art. 16). A situação de cada empresa deve ser avaliada caso a caso.
Conceitos Fundamentais
Dados Pessoais
Qualquer informação que identifique ou possa identificar uma pessoa:
- Nome, CPF, RG, CNH
- Email, telefone, endereço
- IP, cookies, geolocalização
- Fotos, vídeos, áudios
- Dados bancários, financeiros
Dados Sensíveis
Dados sobre:
- Origem racial ou étnica
- Convicção religiosa
- Opinião política
- Filiação sindical
- Saúde ou vida sexual
- Dados genéticos ou biométricos
Dados sensíveis têm regras mais restritivas de tratamento (art. 11).
Agentes de Tratamento
- Controlador: Quem decide sobre o tratamento
- Operador: Quem realiza o tratamento
- Encarregado (DPO): Canal entre empresa, titular e ANPD
Bases Legais para Tratamento
O tratamento de dados pessoais só pode ocorrer com fundamento em uma das hipóteses do art. 7º (para dados sensíveis, valem as hipóteses do art. 11):
- Consentimento: Titular autoriza explicitamente
- Cumprimento de obrigação legal
- Execução de políticas públicas
- Estudos por órgão de pesquisa
- Execução de contrato
- Exercício regular de direitos
- Proteção da vida
- Tutela da saúde
- Legítimo interesse
- Proteção do crédito
Direitos do Titular
Pessoas têm direito de:
- Confirmação: Saber se a empresa tem seus dados
- Acesso: Ver quais dados a empresa tem
- Correção: Corrigir dados incorretos
- Anonimização, bloqueio ou eliminação: Dados desnecessários
- Portabilidade: Receber dados em formato interoperável
- Exclusão: Dados tratados com consentimento
- Informação: Com quem os dados foram compartilhados
- Revogação do consentimento: A qualquer momento
Penalidades
A ANPD pode aplicar:
- Advertência: Com prazo para adequação
- Multa simples: Até 2% do faturamento (limite R$ 50 milhões por infração)
- Multa diária: Para cada dia de descumprimento
- Publicização: Divulgação da infração
- Bloqueio ou eliminação: Dos dados
- Suspensão parcial: Do banco de dados
- Suspensão total: Do tratamento de dados
- Proibição parcial ou total: Das atividades
Passo a Passo de Adequação
1. Mapeamento de Dados
- Quais dados coletamos?
- De onde vêm?
- Como são armazenados?
- Quem tem acesso?
- Com quem compartilhamos?
2. Classificação de Dados
- Dados pessoais comuns
- Dados sensíveis
- Dados de crianças/adolescentes
3. Identificar Bases Legais
Para cada tratamento, qual é a base legal?
4. Revisar Contratos
- Contratos com fornecedores
- Contratos com clientes
- Termos de uso
- Política de privacidade
5. Implementar Medidas Técnicas
- Criptografia de dados
- Controle de acesso (RBAC)
- Logs de auditoria
- Backup seguro
- Anonimização quando possível
6. Nomear DPO
Designar o Encarregado pelo tratamento de dados pessoais (pode ser interno ou terceirizado). Agentes de tratamento de pequeno porte podem ser dispensados dessa indicação, mantendo um canal de comunicação com os titulares.
7. Criar Processos
- Atendimento de direitos dos titulares
- Resposta a incidentes
- Comunicação de vazamentos
- Relatório de Impacto (RIPD)
8. Treinar Equipe
Colaboradores que lidam com dados pessoais precisam conhecer as regras aplicáveis e suas responsabilidades.
Incidentes de Segurança
Nem todo incidente de segurança precisa ser comunicado. Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), a comunicação é obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares (art. 48 da LGPD e art. 4º da resolução). Isso ocorre quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos um destes critérios: dados pessoais sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala (art. 5º).
Nesses casos, o controlador deve:
- Comunicar a ANPD no prazo de três dias úteis, contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, ressalvado prazo previsto em legislação específica (art. 6º)
- Comunicar os titulares afetados no mesmo prazo de três dias úteis, contados do mesmo momento (art. 9º)
- Adotar medidas para reverter ou mitigar os efeitos do incidente
As informações comunicadas à ANPD podem ser complementadas, de forma fundamentada, em até vinte dias úteis a contar da data da comunicação (art. 6º, § 3º). Esse é o prazo para complementar uma comunicação já feita, não para comunicar o incidente. Para agentes de tratamento de pequeno porte, os prazos de comunicação e de complementação são contados em dobro (art. 6º, § 8º, e art. 9º, § 6º).
Independentemente da comunicação, o controlador deve manter o registro de todo incidente de segurança, inclusive dos não comunicados à ANPD e aos titulares, pelo prazo mínimo de cinco anos a partir da data do registro, salvo obrigações que exijam prazo maior (art. 10).
Checklist LGPD
- Mapeamento de dados realizado
- Bases legais identificadas
- Política de Privacidade atualizada
- Termo de Consentimento criado (se aplicável)
- Encarregado indicado, quando exigido, e canal de contato divulgado
- Contratos com fornecedores revisados
- Medidas de segurança implementadas
- Processo de resposta a incidentes criado
- Equipe treinada
- RIPD elaborado (se aplicável)
Precisa de Ajuda?
A LoPrestiSec apoia a adequação à LGPD na parte de segurança da informação:
- Diagnóstico de segurança e gap analysis
- Apoio à implementação de controles técnicos
- Documentação de segurança (políticas e relatórios de impacto)
- Pentest para validar as medidas de proteção
- Preparação para auditorias
A análise jurídica deve ser conduzida por assessoria especializada. Contato: Solicite um orçamento
Recursos Úteis
Perguntas Frequentes
Tire suas principais dúvidas
Minha pequena empresa precisa cumprir a LGPD?
Sim. A LGPD se aplica independentemente do porte. Agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte (inclusive o MEI) e startups, podem ter tratamento diferenciado pela Resolução CD/ANPD nº 2/2022, como a dispensa de indicar encarregado, mantendo um canal de comunicação com os titulares, e prazos em dobro. O regime não vale para quem realiza tratamento de alto risco, tem receita bruta acima dos limites legais ou pertence a grupo econômico que os ultrapasse, e a ANPD pode exigir o cumprimento das obrigações dispensadas.
Quais são as multas da LGPD?
A multa simples pode chegar a 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê advertência, multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão ou proibição das atividades de tratamento.
Preciso de um DPO (Encarregado de Dados)?
Em regra, sim: o controlador deve indicar um Encarregado pelo tratamento de dados pessoais (DPO), que pode ser da equipe interna ou terceirizado e é o ponto de contato entre a empresa, os titulares e a ANPD. Agentes de tratamento de pequeno porte que se enquadrem na Resolução CD/ANPD nº 2/2022 não são obrigados a indicá-lo, mas devem disponibilizar um canal de comunicação com os titulares (art. 11).
Como adequar minha empresa à LGPD?
Passos essenciais: (1) Mapear todos os dados pessoais coletados, (2) Criar políticas de privacidade claras, (3) Implementar medidas de segurança técnicas e administrativas, (4) Treinar a equipe, (5) Indicar o encarregado, quando exigido, (6) Preparar processos para atender direitos dos titulares.
Ainda tem dúvidas? Entre em contato conosco através do formulário de contato ou pelo WhatsApp.
