Adequação LGPD

Informações sobre Adequação LGPD

A Lei Geral de Proteção de Dados Pessoais influencia atividades realizadas por empresas, profissionais, associações, condomínios, clínicas, instituições de ensino, plataformas digitais e outras organizações que utilizam informações relacionadas a pessoas naturais. Nesse contexto, a Adequação LGPD busca organizar o tratamento de dados pessoais de acordo com a finalidade da atividade, os riscos existentes e as obrigações aplicáveis a cada agente.

O processo não se limita à publicação de uma política de privacidade ou à obtenção de consentimentos. Uma Adequação LGPD consistente examina como os dados são coletados, utilizados, consultados, compartilhados, armazenados, arquivados e eliminados, tanto em sistemas digitais quanto em documentos físicos.

O conteúdo desta página possui finalidade exclusivamente informativa. A definição das medidas necessárias depende da realidade de cada organização, de seu porte, do volume e da natureza dos dados tratados, das tecnologias utilizadas, dos contratos mantidos, das normas setoriais incidentes e dos riscos identificados. Por isso, não existe modelo único de Adequação LGPD aplicável indistintamente a todas as atividades.

O que significa adequar uma organização à LGPD?

Adequar uma organização significa compreender suas operações com dados pessoais e estabelecer medidas jurídicas, administrativas e técnicas compatíveis com a legislação. A Adequação LGPD deve relacionar cada tratamento a uma finalidade legítima, identificar a hipótese legal pertinente, limitar a utilização ao necessário e criar mecanismos de prevenção, transparência, segurança e prestação de contas.

Esse trabalho pode abranger informações de clientes, consumidores, pacientes, alunos, visitantes, candidatos, empregados, prestadores de serviços, representantes de empresas, usuários de plataformas e outros titulares. Também pode alcançar imagens, gravações, registros de acesso, dados de geolocalização, documentos cadastrais, informações financeiras e dados pessoais sensíveis.

A LGPD não exige apenas documentos formais. As políticas, os avisos e os contratos devem corresponder às práticas efetivamente adotadas. Assim, a Adequação LGPD precisa ser acompanhada de definição de responsabilidades, orientação das equipes, controle de acessos, revisão de rotinas e registro das decisões relevantes.

Quem precisa observar a Lei Geral de Proteção de Dados?

A LGPD pode alcançar pessoas naturais e pessoas jurídicas, de direito público ou privado, quando realizam tratamento de dados pessoais nas hipóteses de aplicação territorial previstas na própria lei. A análise considera a atividade de tratamento, o local em que ela ocorre, a oferta de bens ou serviços e a localização dos titulares ou dos dados coletados.

Microempresas, empresas de pequeno porte, startups e outros agentes de tratamento de pequeno porte podem se beneficiar de regras simplificadas previstas pela ANPD, quando preenchidos os requisitos regulamentares. Essas simplificações não representam dispensa geral do cumprimento da lei. A Adequação LGPD para pequenas organizações deve ser proporcional, mas ainda precisa observar direitos dos titulares, bases legais, segurança e demais deveres aplicáveis.

Existem situações excluídas do campo de aplicação da LGPD, como determinados tratamentos realizados por pessoa natural para fins exclusivamente particulares e não econômicos. A existência de uma exceção, contudo, depende do enquadramento concreto e não deve ser presumida apenas pelo porte ou pela forma jurídica do responsável.

Diagnóstico inicial e definição de prioridades

O diagnóstico inicial procura identificar como a organização funciona antes de propor alterações. Nessa etapa, a Adequação LGPD pode envolver entrevistas com responsáveis, análise de sistemas, formulários, contratos, planilhas, arquivos físicos, canais de atendimento, práticas de marketing, rotinas trabalhistas e relações com fornecedores.

As providências podem ser organizadas conforme urgência, impacto, probabilidade de ocorrência e quantidade ou sensibilidade dos dados envolvidos. Um cadastro simples de contato, por exemplo, apresenta contexto distinto daquele existente em prontuários de saúde, dados biométricos, informações de crianças e adolescentes ou operações com grande escala de monitoramento.

O diagnóstico não deve ser tratado como certificação abstrata de conformidade. Seu objetivo é apontar lacunas, registrar riscos e permitir a elaboração de um plano de ação viável. Uma estratégia de Adequação LGPD pode estabelecer responsáveis, prazos internos, recursos necessários e critérios para revisão periódica.

Mapeamento do fluxo de dados pessoais

O mapeamento registra de onde os dados vêm, por que são utilizados, quem pode acessá-los, com quem são compartilhados, onde permanecem armazenados e quando devem ser eliminados. Em Adequação LGPD, esse levantamento ajuda a revelar tratamentos informais que não aparecem em contratos ou sistemas principais, como planilhas locais, mensagens instantâneas, arquivos enviados por e-mail e cópias mantidas por setores distintos.

O inventário pode indicar as categorias de titulares e de dados, as finalidades, as hipóteses legais, os agentes envolvidos, os prazos de conservação, os controles de segurança e as transferências nacionais ou internacionais. A forma do registro deve ser adequada à complexidade da operação e pode ser atualizada quando houver novo produto, fornecedor, tecnologia ou finalidade.

Sem compreensão do fluxo real, documentos genéricos tendem a omitir operações relevantes ou declarar práticas inexistentes. Por essa razão, o mapeamento costuma ser uma das bases da Adequação LGPD e deve contar com participação das áreas que efetivamente utilizam os dados.

Controlador, operador, encarregado e terceiros

O controlador é o agente a quem competem as decisões referentes ao tratamento de dados pessoais. O operador realiza o tratamento em nome do controlador e de acordo com suas instruções. A classificação não depende apenas do nome utilizado no contrato: deve considerar a autonomia decisória e as atividades realmente desempenhadas.

No desenvolvimento da Adequação LGPD, é importante identificar a posição de cada participante, pois ela influencia obrigações, instruções, responsabilidades e fluxos de comunicação. Em algumas relações, as partes podem atuar como controladoras independentes ou, conforme o contexto, participar conjuntamente de determinadas decisões.

O encarregado atua como canal de comunicação entre controlador, titulares e ANPD, além de exercer as atividades previstas na LGPD e na regulamentação. A designação, a divulgação das informações de contato, os recursos necessários e a prevenção de conflitos de interesse devem ser analisados. Para determinados agentes de pequeno porte, a regulamentação admite dispensa de indicação, sem eliminar a necessidade de disponibilizar canal de comunicação com o titular.

Bases legais e finalidades do tratamento

O consentimento é apenas uma das hipóteses legais previstas na LGPD. Conforme a operação, o tratamento pode se apoiar, entre outras possibilidades, no cumprimento de obrigação legal ou regulatória, na execução de contrato ou de procedimentos preliminares, no exercício regular de direitos, na proteção da vida, na tutela da saúde, no legítimo interesse ou na proteção do crédito.

A escolha precisa ser feita para cada finalidade e categoria de dados, levando em conta os requisitos da hipótese utilizada. A Adequação LGPD não deve empregar consentimento de maneira automática quando ele não for livre, informado e inequívoco ou quando outra base legal corresponder com maior precisão à atividade realizada.

Dados pessoais sensíveis estão sujeitos às hipóteses específicas do art. 11 da LGPD. Também há regras próprias para informações de crianças e adolescentes. Por isso, a avaliação jurídica deve evitar a aplicação indistinta de justificativas concebidas para dados pessoais comuns.

Princípios da LGPD aplicados à rotina

Finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização constituem princípios que orientam o tratamento. Na prática, a Adequação LGPD procura traduzir esses comandos em decisões verificáveis, evitando coletas excessivas, acessos injustificados e conservação sem critério.

O princípio da necessidade recomenda limitar o tratamento ao mínimo pertinente e proporcional. Isso pode levar à retirada de campos desnecessários em formulários, à redução de cópias documentais, à revisão de permissões e à definição de prazos de retenção. A transparência, por sua vez, exige informações claras e acessíveis, sem prejuízo da proteção de segredos comercial e industrial.

A responsabilização e a prestação de contas envolvem a capacidade de demonstrar medidas eficazes e compatíveis com a legislação. Desse modo, a Adequação LGPD deve manter evidências da análise realizada e das providências efetivamente adotadas, em proporção ao risco da operação.

Direitos dos titulares e canais de atendimento

Os titulares podem exercer, conforme os requisitos legais, direitos relacionados à confirmação da existência de tratamento, ao acesso, à correção, à anonimização, ao bloqueio, à eliminação, à portabilidade, à informação sobre compartilhamentos e à revisão de determinadas decisões automatizadas. Alguns pedidos dependem de verificação de identidade e podem encontrar limites em obrigações de conservação ou no exercício regular de direitos.

Um programa de Adequação LGPD pode definir como os requerimentos serão recebidos, autenticados, encaminhados, respondidos e registrados. O fluxo interno deve permitir que as áreas localizem as informações pertinentes sem expor dados a pessoa não autorizada ou fornecer conteúdo pertencente a terceiros.

Respostas padronizadas nem sempre resolvem a solicitação apresentada. O canal precisa distinguir pedidos de acesso, correção, oposição, eliminação e esclarecimento, além de registrar prazos e justificativas. A Adequação LGPD também pode prever treinamento para que atendentes reconheçam solicitações formuladas fora do canal principal.

Política de privacidade e avisos aos titulares

A política de privacidade deve explicar, em linguagem clara, quais dados são tratados, para quais finalidades, com quem podem ser compartilhados, quais direitos podem ser exercidos e como o titular pode entrar em contato. O documento precisa refletir a operação real, sem copiar práticas de organizações com atividades diferentes.

Durante a Adequação LGPD, podem ser necessários avisos específicos para empregados, candidatos, pacientes, alunos, visitantes, usuários de aplicativos ou participantes de eventos. A apresentação da informação no momento adequado pode ser tão relevante quanto o conteúdo do documento geral.

Política de privacidade, termos de uso e política de cookies possuem funções distintas. Eles devem ser compatibilizados para evitar contradições, declarações excessivas ou solicitações de consentimento que não correspondam à tecnologia utilizada.

Contratos com clientes, parceiros e fornecedores

O compartilhamento de dados pode ocorrer com plataformas de pagamento, provedores de nuvem, softwares de gestão, transportadoras, agências, escritórios, serviços de atendimento, empresas de benefícios e diversos outros fornecedores. A Adequação LGPD pode revisar esses vínculos para identificar papéis, finalidades, instruções e responsabilidades.

Cláusulas contratuais podem tratar de confidencialidade, medidas de segurança, subcontratação, cooperação no atendimento aos titulares, comunicação de incidentes, auditoria, devolução ou eliminação de dados e encerramento do serviço. A redação deve ser proporcional ao risco e compatível com a capacidade de cada parte.

A assinatura de um aditivo não substitui a avaliação do fornecedor. Um procedimento de Adequação LGPD pode incluir critérios de seleção, questionários, análise de evidências, classificação de criticidade e acompanhamento das mudanças relevantes durante a contratação.

Relações de trabalho e gestão de pessoas

Processos seletivos e relações de trabalho envolvem documentos de identificação, dados bancários, informações de saúde, benefícios, registros de jornada, imagens, avaliações e outros dados pessoais. A organização deve distinguir o que é necessário para seleção, contratação, cumprimento de obrigações, segurança, gestão e defesa de direitos.

Nesse campo, a Adequação LGPD pode revisar formulários de recrutamento, acessos a prontuários ocupacionais, compartilhamentos com contabilidade e prestadores de benefícios, políticas de monitoramento, uso de imagem e conservação de documentos após o encerramento do vínculo.

O tratamento não deve ser justificado genericamente pelo consentimento do trabalhador. A assimetria da relação e as demais hipóteses legais precisam ser avaliadas conforme cada finalidade, sem afastar o dever de transparência e os controles de segurança.

Marketing, cookies e comunicações eletrônicas

A utilização de dados para publicidade, perfilamento, remarketing, envio de mensagens ou análise de comportamento exige identificação dos agentes, das tecnologias empregadas e das finalidades pretendidas. A Adequação LGPD pode examinar formulários, listas de contatos, ferramentas de automação, pixels, cookies e compartilhamentos com plataformas.

Nem todo cookie possui a mesma função. Alguns são necessários para o funcionamento do serviço, enquanto outros podem estar ligados a preferências, estatísticas ou publicidade. Avisos e mecanismos de escolha devem corresponder aos recursos efetivamente instalados, evitando opções meramente aparentes.

Também é importante manter mecanismos de oposição ou cancelamento de comunicações quando cabíveis, controlar a origem das bases utilizadas e evitar o reaproveitamento de contatos para finalidade incompatível com aquela informada no momento da coleta.

Segurança da informação e controle de acesso

A LGPD prevê a adoção de medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. As medidas adequadas variam conforme o porte, a natureza da informação, o contexto do tratamento, o estado da técnica e os riscos envolvidos.

Em um projeto de Adequação LGPD, aspectos jurídicos e de segurança da informação devem ser coordenados. Podem ser avaliados controles de acesso, autenticação, cópias de segurança, atualização de sistemas, gestão de credenciais, registro de eventos, criptografia, descarte seguro, continuidade de negócios e orientação das equipes.

A área jurídica não substitui a avaliação técnica especializada, assim como a implantação de ferramentas tecnológicas não resolve, isoladamente, problemas de finalidade, base legal ou transparência. A Adequação LGPD tende a exigir cooperação entre gestão, tecnologia, segurança, recursos humanos, atendimento e demais áreas envolvidas.

Plano de resposta a incidentes

Incidente de segurança pode envolver perda de confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Ataques externos, envio ao destinatário incorreto, acesso indevido, perda de dispositivo, descarte inadequado, credenciais comprometidas e falhas de configuração estão entre as situações que podem demandar apuração.

A Adequação LGPD pode incluir um plano com critérios para detecção, contenção, investigação, preservação de evidências, avaliação de risco, comunicação, recuperação e revisão posterior. O documento deve indicar responsáveis e canais internos, além de ser compatível com contratos e procedimentos técnicos.

Nos casos em que o incidente confirmado possa acarretar risco ou dano relevante aos titulares, a regulamentação da ANPD atribui ao controlador a comunicação à Autoridade e aos titulares no prazo de três dias úteis, ressalvada a existência de prazo específico em outra legislação. A contagem, o conteúdo e a eventual complementação dependem da Resolução CD/ANPD nº 15/2024 e das circunstâncias do evento.

Relatório de impacto e avaliação de riscos

O relatório de impacto à proteção de dados pessoais descreve processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação. A necessidade, o conteúdo e o momento de elaboração dependem da operação analisada e das orientações regulatórias aplicáveis.

No contexto de Adequação LGPD, a avaliação de riscos pode apoiar decisões sobre novos sistemas, biometria, inteligência artificial, monitoramento, dados de saúde, crianças e adolescentes, perfilamento ou tratamento em grande escala. O relatório não deve ser produzido apenas para arquivamento: suas conclusões precisam dialogar com o desenho da atividade.

A análise pode registrar finalidade, necessidade, proporcionalidade, riscos aos titulares, controles existentes e providências adicionais. Mudanças significativas no tratamento podem justificar revisão do documento.

Retenção, arquivamento e eliminação de dados

Guardar dados indefinidamente pode aumentar riscos e custos. Ao mesmo tempo, a eliminação prematura pode contrariar obrigações legais, regulatórias, contratuais ou necessidades de exercício regular de direitos. A definição de prazos deve considerar a finalidade original, normas setoriais, prescrição, defesa em processos e outras hipóteses legítimas de conservação.

A Adequação LGPD pode organizar uma tabela de temporalidade, indicar eventos que iniciam a contagem e estabelecer métodos de descarte. Também é necessário considerar cópias de segurança, sistemas antigos, arquivos físicos e dados mantidos por fornecedores.

Anonimização e pseudonimização não são expressões equivalentes. A avaliação precisa considerar a possibilidade razoável de reversão ou associação a uma pessoa, inclusive mediante informações adicionais disponíveis ao agente ou a terceiros.

Transferência internacional de dados

Serviços de nuvem, plataformas digitais, ferramentas de marketing, sistemas corporativos e empresas integrantes de grupos econômicos podem envolver armazenamento, acesso ou compartilhamento fora do Brasil. A Adequação LGPD deve identificar essas operações e examinar o mecanismo jurídico aplicável.

A Resolução CD/ANPD nº 19/2024 regulamenta a transferência internacional e prevê mecanismos como decisões de adequação e cláusulas-padrão contratuais, sem prejuízo das demais hipóteses legais. A simples contratação de fornecedor conhecido ou a existência de servidor no exterior não elimina a necessidade de avaliar a operação.

Contratos, avisos de privacidade, fluxos de dados e medidas de segurança devem ser coerentes entre si. Alterações de infraestrutura ou subcontratação podem exigir nova análise.

Agentes de tratamento de pequeno porte

A regulamentação da ANPD prevê tratamento jurídico diferenciado para microempresas, empresas de pequeno porte, startups, pessoas jurídicas sem fins lucrativos e pessoas naturais que se enquadrem nos critérios estabelecidos. Algumas flexibilizações deixam de ser aplicáveis quando houver tratamento de alto risco ou quando não forem atendidas as condições regulamentares.

Uma Adequação LGPD proporcional pode utilizar registros simplificados, prioridades baseadas em risco e estruturas compatíveis com os recursos disponíveis. Isso não autoriza ignorar solicitações de titulares, deixar dados sem proteção ou utilizar informações sem finalidade e hipótese legal.

A dispensa de nomeação de encarregado para determinadas organizações de pequeno porte também não significa ausência de canal de atendimento. O enquadramento deve ser documentado e revisto caso as atividades mudem.

Treinamento, conscientização e governança

Grande parte das operações com dados ocorre nas tarefas cotidianas. Equipes de atendimento, vendas, recursos humanos, financeiro, tecnologia e gestão precisam compreender regras compatíveis com suas funções. Treinamentos genéricos podem ser complementados por orientações específicas sobre compartilhamento, autenticação, uso de dispositivos, atendimento a titulares e reporte de incidentes.

A Adequação LGPD pode instituir responsáveis, fluxos de aprovação, revisões periódicas e indicadores adequados à organização. A governança deve favorecer o registro das decisões sem criar procedimentos tão complexos que não sejam utilizados na prática.

Mudanças de sistemas, lançamento de produtos, novas campanhas, contratações relevantes e alterações regulatórias podem exigir reavaliação. Por essa razão, conformidade em proteção de dados é atividade contínua.

Documentos que podem integrar o projeto

Os documentos necessários variam conforme a atividade. Em Adequação LGPD, podem ser elaborados ou revisados inventário de dados, plano de ação, registro de operações, políticas de privacidade, avisos específicos, procedimento de atendimento a titulares, plano de resposta a incidentes, política de retenção, cláusulas contratuais, termos internos e registros de treinamento.

A existência de muitos documentos não demonstra, por si só, conformidade. Cada instrumento deve possuir finalidade definida, responsável por aplicação e correspondência com as rotinas existentes. Modelos podem servir como ponto de partida, mas precisam ser adaptados.

• inventário das operações e dos fluxos de dados pessoais;
• matriz de bases legais, finalidades e prazos de conservação;
• avisos de privacidade e procedimentos de transparência;
• fluxo de atendimento aos direitos dos titulares;
• instrumento de designação e apoio ao encarregado, quando aplicável;
• cláusulas para operadores, parceiros e outros fornecedores;
• plano de resposta e registro de incidentes de segurança;
• relatórios de risco e de impacto, conforme a necessidade;
• políticas de segurança, retenção e descarte;
• registros de treinamento e revisão periódica.

Como pode funcionar a assessoria jurídica

A atuação jurídica pode começar pela compreensão do modelo de negócio, dos principais fluxos de informação, das normas setoriais e das prioridades da organização. A partir desse diagnóstico, a assessoria em Adequação LGPD pode estruturar documentos, revisar contratos, apoiar a definição de bases legais e orientar a implementação das medidas aprovadas.

O trabalho também pode envolver análise de novos projetos, atendimento a titulares, revisão de comunicações, avaliação jurídica de incidentes, apoio ao encarregado e acompanhamento de mudanças regulatórias. Quando houver aspectos técnicos, a integração com profissionais de tecnologia e segurança da informação pode ser necessária.

A atuação do Favaretto Araújo Abreu Advogados em Adequação LGPD considera a realidade apresentada pela organização e a documentação disponível. As recomendações dependem do caso concreto e não representam certificação absoluta, eliminação integral de riscos ou garantia de inexistência de fiscalização, incidente ou controvérsia.

Erros frequentes em projetos de adequação

Entre os problemas recorrentes estão copiar políticas de outras empresas, solicitar consentimento para todas as atividades, ignorar documentos físicos, deixar fornecedores fora do mapeamento, adquirir ferramentas sem revisar processos e concentrar todo o projeto em uma única área.

Outro equívoco é considerar a Adequação LGPD concluída após a entrega de documentos. Se os formulários, sistemas, acessos, contratos e treinamentos não forem ajustados, as declarações formais podem divergir da prática e ampliar dificuldades de prestação de contas.

Também merece cautela o uso de selos ou afirmações genéricas de plena conformidade. A proteção de dados envolve avaliação contínua e não impede a ocorrência de eventos futuros, especialmente diante de mudanças tecnológicas, humanas e regulatórias.

Perguntas frequentes sobre Adequação LGPD

Adequação LGPD consiste apenas em criar uma política de privacidade?

Não. A política é um dos instrumentos de transparência, mas a Adequação LGPD pode envolver mapeamento, bases legais, contratos, segurança, atendimento aos titulares, gestão de incidentes, retenção, treinamento e revisão contínua das operações.

Toda empresa precisa obter consentimento de seus clientes?

Não necessariamente. A LGPD prevê diferentes hipóteses legais, e a escolha depende da finalidade e do contexto. Utilizar consentimento de forma indiscriminada pode criar obrigações incompatíveis com a operação e dificultar a compreensão do titular.

Empresa pequena está dispensada de cumprir a LGPD?

Não. A regulamentação admite simplificações para determinados agentes de pequeno porte, mas não estabelece dispensa geral. A Adequação LGPD pode ser estruturada de forma proporcional aos riscos, ao porte e à complexidade do tratamento.

É obrigatório nomear encarregado?

A regra e as hipóteses de dispensa devem ser verificadas conforme a LGPD e a regulamentação da ANPD. Mesmo quando houver dispensa para agente de pequeno porte, deve ser disponibilizado canal de comunicação com o titular.

Existe certificado oficial de conformidade com a LGPD?

A análise não deve ser reduzida à obtenção de declaração genérica de conformidade. O cumprimento da LGPD depende das práticas concretas, das evidências mantidas e da atualização das medidas. Eventuais certificações precisam ser avaliadas quanto ao alcance e não substituem as obrigações legais.

Quanto tempo dura um projeto de adequação?

O prazo varia conforme o volume de dados, o número de áreas, a complexidade dos sistemas, os fornecedores e o estágio de organização interna. A Adequação LGPD pode ser implementada por etapas, com prioridade para riscos mais relevantes, e deve permanecer sujeita a acompanhamento.

A assessoria jurídica substitui a equipe de tecnologia?

Não. A análise jurídica trata de obrigações, fundamentos, contratos e governança, enquanto medidas técnicas podem exigir profissionais de tecnologia e segurança. A cooperação entre áreas tende a produzir respostas mais coerentes com os riscos existentes.

Referências normativas

A análise de Adequação LGPD deve considerar a Lei nº 13.709/2018 e os atos normativos aplicáveis da Autoridade Nacional de Proteção de Dados, além de normas setoriais que incidam sobre a atividade. Entre os regulamentos relevantes estão os relativos a agentes de pequeno porte, comunicação de incidentes, atuação do encarregado e transferência internacional de dados.

Como a regulamentação pode ser atualizada, a consulta deve utilizar textos oficiais vigentes e considerar a data da análise. Orientações gerais não substituem o exame da operação concreta.