Adequação à LGPD: passo a passo para empresas
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais no Brasil, de clientes, funcionários, fornecedores ou visitantes do site. As sanções administrativas estão em vigor desde agosto de 2021 e são aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD).
Adequar-se não é um projeto de um documento só. É um conjunto de práticas que precisa ser mantido e, principalmente, comprovado. Este roteiro organiza o caminho em oito etapas.
1. Mapeie os dados pessoais
Tudo começa pelo inventário: quais dados pessoais a empresa coleta, de quem, para quê, onde ficam guardados, quem acessa, com quem são compartilhados e por quanto tempo são mantidos. A LGPD exige que controlador e operador mantenham registro das operações de tratamento (art. 37).
Na prática, o mapeamento é feito por área (RH, vendas, marketing, financeiro, TI) e revela pontos de atenção, como planilhas com dados de clientes circulando por e-mail ou dados guardados sem necessidade.
2. Defina a base legal de cada tratamento
Todo tratamento precisa se apoiar em uma das hipóteses do art. 7º, como consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse ou exercício regular de direitos. Para dados sensíveis (saúde, biometria, origem racial, entre outros), as hipóteses são mais restritas e estão no art. 11.
Um erro comum é usar o consentimento para tudo. Ele pode ser revogado a qualquer momento; quando o tratamento é necessário para cumprir um contrato ou uma obrigação legal, essas bases costumam ser mais adequadas.
3. Nomeie o encarregado
O encarregado pelo tratamento de dados (conhecido como DPO) é o canal de comunicação entre a empresa, os titulares e a ANPD (art. 41). Sua identidade e contato devem ser divulgados de forma clara, de preferência no site. A atuação do encarregado foi detalhada pela Resolução CD/ANPD nº 18/2024.
Agentes de tratamento de pequeno porte, como microempresas e startups, têm regras simplificadas (Resolução CD/ANPD nº 2/2022), mas ainda precisam oferecer um canal de comunicação com os titulares.
4. Prepare o atendimento aos titulares
O art. 18 garante aos titulares direitos como confirmação da existência de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. A empresa precisa de um processo para receber, verificar a identidade, responder e registrar esses pedidos.
5. Implemente medidas de segurança
A lei exige medidas técnicas e administrativas aptas a proteger os dados (art. 46). Controle de acessos com o menor privilégio necessário, criptografia, cópias de segurança, registro de atividades e treinamento das equipes são a base. Normas como a ISO 27001 ajudam a organizar esses controles.
6. Tenha um plano de resposta a incidentes
Incidentes de segurança que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos titulares. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixou o prazo de três dias úteis a partir do conhecimento do incidente. Sem um plano definido com antecedência, esse prazo é muito curto.
7. Revise contratos com operadores
Fornecedores que tratam dados em nome da empresa (como sistemas na nuvem, folha de pagamento e agências de marketing) são operadores. Os contratos devem prever instruções de tratamento, medidas de segurança, comunicação de incidentes e devolução ou eliminação dos dados ao fim da relação. Avaliar esses fornecedores antes da contratação é parte da adequação: veja como avaliar fornecedores.
8. Documente e monitore
Políticas, registros, treinamentos, relatórios de impacto (o RIPD, previsto no art. 38) e respostas aos titulares formam o conjunto de evidências que mostra diligência em uma fiscalização ou na avaliação de um cliente. A adequação precisa ser revisada periodicamente, sempre que surgir um novo processo, sistema ou fornecedor.
Quanto custa não se adequar
As sanções do art. 52 vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. Na prática, a perda de negócios costuma vir antes: clientes que pedem evidências de conformidade e não as recebem escolhem outro fornecedor.
Este conteúdo é informativo e não substitui a orientação jurídica para o caso concreto da sua empresa. Confira sempre a regulamentação mais recente da ANPD.
A Comply360 organiza requisitos, controles e evidências da LGPD em um só lugar. Conheça a solução para conformidade com a LGPD.
Fontes
Links oficiais conferidos em 31 de outubro de 2026.
Quer organizar a conformidade da sua empresa?
Converse com a Comply360 sobre normas, riscos, fornecedores e auditorias.
Leia também
ISO 27001: o que é e como se preparar para a certificação
O que é a ISO/IEC 27001:2022, o que mudou nos controles do Anexo A, quem deve buscar a certificação e as etapas até a auditoria.
Avaliação de fornecedores: como montar um processo com questionário de segurança
Como avaliar fornecedores e parceiros com base em risco: classificação, questionários de segurança e LGPD, evidências, aprovação e monitoramento.
Por que as empresas precisam de gestão de conformidade
Entenda o que é gestão de conformidade e por que ela reduz riscos legais, protege a reputação, abre portas em contratos B2B e fortalece a governança.