A adequação à LGPD da empresa é o processo de organizar o tratamento de dados pessoais para cumprir a Lei 13.709/2018, com responsáveis definidos, regras documentadas e evidências de que a prática segue o que está no papel. Na maioria das organizações, o desafio é menos tecnológico e mais organizacional: saber quais dados existem, por que são usados e quem responde por eles.
Este guia mostra uma ordem prática de trabalho, do primeiro passo ao papel do encarregado (DPO), de forma objetiva e sem alarmismo.
Em resumo
- Comece com patrocínio da direção, escopo claro e responsáveis nomeados.
- O mapeamento de dados (inventário ou ROPA) é a base de todo o resto: finalidade, base legal, retenção e compartilhamento.
- Cada uso de dado precisa de uma base legal entre as dez do art. 7º, e consentimento e legítimo interesse pedem cuidado extra.
- O encarregado deve ser indicado por ato formal, com contato divulgado, conforme a Resolução CD/ANPD 18/2024.
- Adequação é um processo contínuo, não um projeto com data final.
O que é a adequação à LGPD em uma empresa?
A adequação à LGPD é o conjunto de ações que uma empresa adota para tratar dados pessoais conforme a Lei 13.709/2018: mapear os dados, definir a base legal de cada uso, nomear o encarregado, formalizar políticas e contratos, atender os titulares e manter segurança e resposta a incidentes. Não é um projeto com data final, e sim um processo contínuo.
Na prática, isso significa transformar a lei em rotinas: quem decide sobre os dados, quem executa, onde ficam, por quanto tempo e como o titular exerce seus direitos.
Por onde começar a adequação?
Antes de qualquer planilha, três decisões ajudam muito:
- Patrocínio da direção: sem apoio executivo, o projeto perde prioridade na primeira urgência do negócio.
- Escopo inicial: escolha as áreas ou processos que concentram mais dados (RH, comercial, atendimento, produto) e avance por ondas.
- Responsáveis: defina um núcleo com jurídico, TI/segurança e áreas de negócio, além de quem será o encarregado.
Também vale entender o seu papel em cada operação. Segundo o Guia Orientativo da ANPD sobre agentes de tratamento e encarregado, o controlador toma as decisões sobre o tratamento e o operador trata os dados em nome dele. A mesma organização pode ser controladora em uma operação e operadora em outra, e funcionários não são agentes de tratamento.
| Papel | O que faz | Exemplo comum |
|---|---|---|
| Controlador | Decide finalidade e meios do tratamento | Empresa que coleta dados de clientes |
| Operador | Trata dados em nome do controlador | Plataforma de e-mail marketing ou folha de pagamento |
| Encarregado | Canal entre controlador, titulares e ANPD | Pessoa ou empresa indicada formalmente |
Mapeamento de dados: a base de tudo
O mapeamento, também chamado de inventário ou ROPA (registro das operações de tratamento), responde a perguntas simples que o restante da adequação usa:
- Quais dados pessoais são tratados?
- Para qual finalidade?
- Qual é a base legal?
- Por quanto tempo ficam guardados (retenção)?
- Com quem são compartilhados?
- Quais operadores e sistemas estão envolvidos, inclusive serviços em nuvem?
Comece simples, com entrevistas por área e uma planilha. Depois, valide com os times técnicos onde os dados realmente estão, porque o fluxo real quase sempre difere do desenhado. Um inventário vivo, revisado a cada novo produto ou fornecedor, vale mais que um documento perfeito e desatualizado.
Quais são as bases legais na prática?
O art. 7º da LGPD lista dez bases legais:
- consentimento;
- cumprimento de obrigação legal ou regulatória;
- execução de políticas públicas;
- estudos por órgão de pesquisa;
- execução de contrato;
- exercício regular de direitos;
- proteção da vida;
- tutela da saúde;
- legítimo interesse;
- proteção do crédito.
Duas merecem atenção especial. O consentimento precisa ser livre, informado e específico, e o titular deve poder retirá-lo. Por isso, não é a melhor escolha quando o tratamento é necessário para prestar o serviço. O legítimo interesse exige um teste de balanceamento documentado, que mostre que o interesse da empresa não se sobrepõe aos direitos do titular. Registrar essa análise é o que dá segurança em caso de questionamento.
Quando a empresa precisa nomear um DPO (encarregado)?
A LGPD prevê que o controlador indique um encarregado, conhecido como DPO. Para operadores, a indicação é facultativa. Agentes de tratamento de pequeno porte são dispensados, salvo em tratamento de alto risco, mas devem manter um canal de comunicação com os titulares, conforme a Resolução CD/ANPD 2/2022. Na dúvida, nomear é uma boa prática.
A Resolução CD/ANPD 18/2024, de 16 de julho de 2024, detalha o papel do encarregado. Em resumo, ela traz as orientações abaixo, também comentadas pelo Legismap:
- a indicação é feita por ato formal, escrito, datado e assinado, com substituto formalmente designado;
- a identidade e o contato do encarregado são divulgados de forma destacada, por exemplo no site;
- o encarregado atende a ANPD e orienta a organização sobre registro de incidentes e operações, relatório de impacto (RIPD), governança, segurança, privacy by design, contratos e transferências internacionais;
- a comunicação com a ANPD é feita em português;
- o agente de tratamento deve afastar conflitos de interesse;
- a responsabilidade pela conformidade continua sendo do agente, e não só do encarregado.
O guia da ANPD esclarece ainda que o encarregado não precisa de certificação nem de registro na Autoridade, e pode ser interno ou terceirizado. O mais importante é ter autonomia, acesso à alta gestão e tempo para a função.
Políticas, contratos e direitos dos titulares
Com o mapa pronto, formalize o que sustenta a rotina:
- Política de privacidade clara para o público externo e política interna de proteção de dados.
- Contratos com operadores que definam finalidade, medidas de segurança, suboperadores, devolução ou eliminação dos dados e apoio em incidentes.
- Fluxo de atendimento aos titulares: quem recebe, quem valida a identidade, quem responde e em quanto tempo.
- Treinamento periódico, porque a maior parte das falhas nasce de processos e hábitos, não de ferramentas.
Para a parte de segurança, referências como a ISO/IEC 27001, o NIST Cybersecurity Framework e os CIS Controls ajudam a traduzir exigências em práticas verificáveis.
Segurança, incidentes e relatório de impacto
Ter um plano de resposta a incidentes testado faz parte da adequação. Segundo a Confidata, a Resolução CD/ANPD 15/2024 estabelece que, quando um incidente afeta dados pessoais, a comunicação à ANPD e aos titulares deve ocorrer em até 3 dias úteis a partir do conhecimento do fato, com possibilidade de complementação em até 20 dias úteis. Os registros dos incidentes devem ser mantidos por pelo menos 5 anos.
Por isso, defina de antemão quem avalia o evento, quem decide comunicar e onde ficam as evidências. Isso evita improviso no momento em que o tempo é mais curto.
O relatório de impacto (RIPD) faz sentido principalmente em tratamentos de maior risco ou volume, como dados sensíveis ou uso de novas tecnologias. Em caso de dúvida, o encarregado e o jurídico avaliam a necessidade caso a caso.
O que a ANPD espera e qual é o cenário regulatório?
Segundo o Congresso em Foco, a Lei 15.352, de 2026, transformou a ANPD em agência reguladora, com autonomia técnica, decisória, administrativa e financeira. A mudança noticiada diz respeito à estrutura e à autonomia da Autoridade. Por ser recente e baseada em cobertura jornalística, vale conferir o texto oficial da norma antes de citá-la em documentos formais.
Segundo a Confidata, a fiscalização segue o Mapa de Temas Prioritários 2026-2027 da ANPD, e a Autoridade encaminhou à área de sanções órgãos e empresas que não responderam a ofícios sobre o encarregado. O recado é simples: manter o contato do encarregado atualizado e responder às solicitações da Autoridade.
Sobre sanções, o art. 52 da LGPD prevê advertência, multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, publicização da infração e bloqueio ou eliminação dos dados. A melhor resposta a isso não é o receio, e sim documentação e rotina.
Checklist de adequação
- Direção engajada e escopo definido.
- Encarregado indicado por ato formal, com contato publicado.
- Inventário de dados com finalidade, base legal, retenção e compartilhamento.
- Teste de legítimo interesse documentado onde aplicável.
- Políticas, contratos com operadores e fluxo de atendimento aos titulares.
- Plano de resposta a incidentes e registros mantidos.
- Revisões periódicas e treinamentos.
Perguntas frequentes
Toda empresa precisa ter um DPO?
O controlador deve indicar um encarregado. Operadores podem indicar por boa prática, e agentes de pequeno porte são dispensados, salvo em tratamento de alto risco, mas precisam manter um canal com os titulares.
O DPO precisa de certificação?
Não. Segundo o guia da ANPD, o encarregado não exige certificação nem registro na Autoridade. Conhecimento e autonomia são o que importa.
O DPO pode ser terceirizado?
Sim. Pode ser pessoa interna ou externa, desde que haja indicação formal, contato divulgado e ausência de conflito de interesse.
O consentimento é sempre a melhor base legal?
Não. Ele é uma das dez bases do art. 7º, e muitas vezes outra base, como execução de contrato ou obrigação legal, descreve melhor a situação.
Quanto tempo leva a adequação?
Depende do tamanho e da complexidade da empresa. O importante é tratá-la como um processo contínuo, com revisões a cada mudança de produto, fornecedor ou fluxo de dados.
Conclusão
Adequar-se à LGPD é menos sobre perfeição e mais sobre consistência: saber quais dados existem, justificar cada uso, ter um encarregado claro e responder bem quando algo foge do previsto. Se a sua equipe quer apoio para estruturar esse caminho, a Cloud Minds Trusted pode ajudar com governança e segurança. Conheça nossa página de Segurança, Governança e Cloud e fale com a gente.