LGPD para empresas: o que é obrigatório

A Lei Geral de Proteção de Dados Pessoais, a Lei 13.709/2018, define regras para o tratamento de dados pessoais por empresas e órgãos públicos. Ela vale para dados de clientes, colaboradores, candidatos, fornecedores e qualquer pessoa natural identificada ou identificável.

Para a maioria das empresas, a LGPD não é um projeto pontual, e sim uma rotina: saber quais dados são tratados e por quê, atender os titulares, proteger as informações e conseguir demonstrar tudo isso. Esta página resume as obrigações principais e um caminho prático de adequação.

Um ponto que costuma ser subestimado é a rotina de atendimento aos titulares. Pedidos de acesso, correção ou eliminação chegam por canais variados e envolvem diferentes áreas da empresa. Sem um fluxo definido, com responsável, prazo e registro da resposta, é comum que solicitações se percam, o que transforma uma demanda simples em reclamação formal.

A quem se aplica

A LGPD se aplica a qualquer operação de tratamento de dados pessoais realizada no Brasil, que tenha por objetivo oferecer bens ou serviços a pessoas no Brasil ou que envolva dados coletados no país, observadas as exceções previstas na própria lei, como o tratamento para fins exclusivamente particulares e não econômicos.

Na prática, praticamente toda empresa trata dados pessoais, nem que seja de seus empregados. O porte não afasta a lei. Agentes de tratamento de pequeno porte elegíveis, como microempresas, empresas de pequeno porte e startups, contam com um regime simplificado pela Resolução CD/ANPD nº 2/2022, com prazos diferenciados e algumas dispensas, mas continuam obrigados a atender os titulares e a proteger os dados.

O que a lei exige

As obrigações mais presentes no dia a dia das empresas são:

• Tratar dados apenas com base legal adequada, como consentimento, cumprimento de obrigação legal, execução de contrato ou legítimo interesse, respeitando os princípios de finalidade, necessidade e transparência.
• Atender os direitos dos titulares, como confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade e informação sobre compartilhamento.
• Indicar um encarregado pelo tratamento de dados e divulgar seu contato, ressalvada a dispensa aplicável a agentes de pequeno porte, que devem, nesse caso, disponibilizar um canal de comunicação com o titular.
• Adotar medidas de segurança, técnicas e administrativas, para proteger os dados contra acessos não autorizados e incidentes.
• Manter registro das operações de tratamento e comunicar à ANPD e aos titulares os incidentes de segurança que possam acarretar risco ou dano relevante.
• Ser transparente, informando de forma clara como os dados são tratados, normalmente por meio de uma política de privacidade.

Prazos

A LGPD está em vigor desde setembro de 2020, e as sanções administrativas podem ser aplicadas pela ANPD desde agosto de 2021. Não há, portanto, período de adaptação em curso.

Os prazos de atendimento variam conforme o direito exercido e as regras aplicáveis. A confirmação de existência ou o acesso aos dados, quando solicitados em formato completo, têm prazo legal de 15 dias. Incidentes de segurança devem ser comunicados conforme a regulamentação da ANPD. Por isso, é importante controlar a data de cada solicitação desde o recebimento.

Riscos de não cumprir

A ANPD pode aplicar sanções como advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados. A aplicação depende do caso concreto e considera critérios como gravidade, boa-fé e adoção de boas práticas.

Além da ANPD, os titulares podem buscar reparação no Judiciário e em órgãos de defesa do consumidor. Para as empresas, o custo de um incidente vai além de multas: envolve perda de confiança, interrupção de negócios e desgaste com clientes.

Passo a passo para se adequar

1. Mapeie os dados. Identifique quais dados pessoais são tratados, em quais processos, com qual finalidade e base legal.
2. Nomeie o encarregado. Indique o encarregado e divulgue seu contato, ou mantenha um canal com o titular se a dispensa se aplicar.
3. Publique a política de privacidade. Informe de forma clara como os dados são tratados.
4. Implante um canal para titulares. Receba e registre as solicitações com controle de prazo.
5. Reforce a segurança. Revise acessos, permissões e medidas de proteção.
6. Prepare a resposta a incidentes. Defina como identificar, avaliar e comunicar incidentes.
7. Treine as equipes. Capacite quem trata dados no dia a dia e registre a participação.

Como a Compliance Vision ajuda

O Canal de Privacidade oferece portal do titular sem login e painel interno com prazo de referência de 15 dias, tarefas, classificações, anexos e notificações.

A Governança de Documentos mantém a política de privacidade e as normas internas aprovadas, publicadas e revalidadas.

O Portal de Treinamentos comprova a capacitação das equipes em proteção de dados.

Perguntas frequentes

Pequenas empresas precisam cumprir a LGPD?

Sim. Agentes de pequeno porte elegíveis têm regras simplificadas pela Resolução CD/ANPD nº 2/2022, mas continuam obrigados a atender os titulares e a proteger os dados.

Toda empresa precisa de encarregado?

Em regra, sim. Agentes de pequeno porte podem ser dispensados da indicação, desde que mantenham um canal de comunicação com o titular.

Qual é o valor máximo da multa da LGPD?

A multa simples pode chegar a 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.

Qual o prazo para responder a um titular?

Depende do direito exercido. Para o acesso completo aos dados, a lei prevê 15 dias. O ideal é registrar cada pedido e controlar o prazo desde o recebimento.