LGPD para Empresas: Guia Prático de Adequação

24 de julho de 2025

Toda empresa que coleta um cadastro de cliente, guarda o currículo de um candidato ou processa a folha de pagamento dos funcionários já está tratando dados pessoais, mesmo que nunca tenha parado para pensar nisso. E, desde 2020, isso deixou de ser um detalhe operacional para virar uma obrigação legal com fiscalização, sanção e reputação em jogo. A Lei Geral de Proteção de Dados Pessoais, a LGPD, não é assunto exclusivo de grandes corporações nem de departamento jurídico: é uma responsabilidade de qualquer negócio que lida com informação de pessoas, do pequeno escritório à indústria.

Este guia foi escrito para o gestor que precisa entender a LGPD de forma prática, sem juridiquês, e sair sabendo por onde começar a adequação. Vamos explicar o que a lei exige, quais são as bases legais que autorizam o tratamento, os direitos que o titular pode cobrar, o papel do encarregado de dados, as medidas de segurança que a lei espera e as sanções que a ANPD pode aplicar. No fim, você terá um passo a passo realista para tirar a adequação do papel.

O que é a LGPD e a quem ela se aplica

A LGPD é a Lei nº 13.709/2018, que regula o tratamento de dados pessoais no Brasil, tanto por empresas privadas quanto por órgãos públicos. Ela se inspira no GDPR europeu e estabelece um conjunto de regras sobre como dados de pessoas físicas podem ser coletados, armazenados, usados, compartilhados e descartados.

O ponto que mais surpreende os gestores é a amplitude. A lei se aplica a praticamente qualquer atividade de tratamento de dados realizada no Brasil, independentemente do porte da empresa ou do setor. Se o seu negócio tem clientes, funcionários, fornecedores ou visitantes de site, ele trata dados pessoais e está sob a LGPD. Não existe isenção por ser pequeno: existem apenas obrigações proporcionais ao risco e ao volume de tratamento.

Vale fixar dois conceitos centrais. Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa: nome, CPF, e-mail, telefone, localização, comportamento de navegação. Dado pessoal sensível é uma categoria mais protegida, que inclui origem racial, convicção religiosa, opinião política, dados de saúde, vida sexual, dados genéticos e biométricos. O tratamento de dados sensíveis tem regras mais rígidas, porque o potencial de dano ao titular é maior.

Os agentes de tratamento: controlador, operador e encarregado

A LGPD organiza responsabilidades entre três papéis, e entender qual é o seu é o primeiro passo da adequação.

Controlador: é quem toma as decisões sobre o tratamento dos dados, ou seja, define por que e como os dados serão usados. Na maioria dos casos, a sua empresa é a controladora dos dados de seus clientes e funcionários.
Operador: é quem trata os dados em nome do controlador, seguindo suas instruções. Um provedor de folha de pagamento, uma plataforma de e-mail marketing ou uma empresa de TI terceirizada costumam atuar como operadores.
Encarregado (DPO): é a pessoa indicada pela empresa para ser o canal de comunicação entre a organização, os titulares e a Autoridade Nacional de Proteção de Dados. A LGPD chama esse papel de encarregado; o mercado costuma usar a sigla DPO, do inglês Data Protection Officer.

Essa distinção importa porque as responsabilidades legais diferem. Controlador e operador podem responder solidariamente por danos, e o contrato entre eles precisa deixar claro o que cada um faz com os dados. Ao contratar qualquer fornecedor que vá acessar dados dos seus clientes, isso passa a ser cláusula obrigatória, não formalidade.

As dez bases legais: você precisa de uma para tratar dados

Um dos pilares da LGPD é que todo tratamento de dado pessoal precisa estar amparado por uma base legal. Não basta querer usar o dado: é preciso ter um fundamento previsto na lei. A LGPD lista dez bases legais, e o consentimento é apenas uma delas, ao contrário do que muita gente pensa.

Consentimento Envio de newsletter, uso de cookies não essenciais Cumprimento de obrigação legal Guarda de dados fiscais e trabalhistas Execução de contrato Dados do cliente para entregar o serviço contratado Legítimo interesse Prevenção a fraude, segurança da operação Proteção da vida Emergências de saúde Exercício regular de direitos Uso de dados em processo judicial Tutela da saúde Tratamento por profissionais de saúde Políticas públicas Execução por órgãos públicos Estudo por órgão de pesquisa Pesquisa com anonimização quando possível Proteção do crédito Análise de risco de crédito

O erro clássico das empresas é apoiar tudo em consentimento. O consentimento é frágil: pode ser retirado a qualquer momento, e quando isso acontece você precisa parar o tratamento. Para muitas atividades corriqueiras, como manter o cadastro de um cliente ativo ou guardar registros fiscais, existem bases mais sólidas, como execução de contrato e obrigação legal. Mapear a base legal correta de cada tratamento é um dos exercícios mais valiosos da adequação.

Os direitos do titular que sua empresa precisa atender

A LGPD dá ao titular, a pessoa dona dos dados, uma série de direitos que a empresa é obrigada a atender. Na prática, isso significa ter processo para responder quando alguém pedir. Os principais direitos são:

Confirmação e acesso: saber se você trata os dados dele e obter uma cópia.
Correção: exigir que dados incompletos ou desatualizados sejam corrigidos.
Anonimização, bloqueio ou eliminação: de dados desnecessários ou tratados em desacordo com a lei.
Portabilidade: receber os dados em formato que permita transferi-los a outro fornecedor.
Eliminação dos dados tratados com consentimento: quando o titular revoga o consentimento.
Informação sobre compartilhamento: saber com quem seus dados foram compartilhados.
Revogação do consentimento: de forma tão fácil quanto foi concedê-lo.

Atender esses direitos exige que a empresa saiba onde cada dado está. É por isso que o inventário de dados, que veremos adiante, é a espinha dorsal da adequação. Sem saber onde a informação mora, é impossível corrigir, eliminar ou portar quando alguém pede.

Medidas de segurança: a LGPD exige proteção técnica

A LGPD não trata só de consentimento e formulários. Ela exige, de forma expressa, que a empresa adote medidas de segurança técnicas e administrativas capazes de proteger os dados pessoais de acessos não autorizados e de incidentes. Ou seja: proteger dado pessoal é obrigação legal, e a segurança da informação deixou de ser opcional.

Na ausência de uma lista fechada na própria lei, o mercado se apoia em referências consolidadas de segurança para definir o que é razoável. A norma ISO/IEC 27001 e o NIST Cybersecurity Framework são os padrões mais usados para estruturar controles. Entre as medidas esperadas de qualquer empresa que trata dados estão:

Controle de acesso baseado no princípio do menor privilégio, para que cada pessoa acesse apenas o que precisa.
Criptografia de dados sensíveis em trânsito e em repouso.
Backup regular e testado, com plano de recuperação.
Registro de logs e monitoramento contínuo para detectar acessos anômalos.
Política de senhas e autenticação multifator.
Gestão de vulnerabilidades e atualização de sistemas.

Aqui está o ponto que muitos gestores subestimam: a LGPD e a segurança da informação são inseparáveis. Um vazamento de dados não é só um problema técnico, é um incidente de proteção de dados que pode gerar obrigação de notificação à ANPD e ao titular, além de sanção. Manter a infraestrutura monitorada, atualizada e vigiada é parte da conformidade legal, e não um extra. É esse trabalho contínuo de vigilância que a Ródio Tech sustenta na monitoração de ambientes de clientes.

Sanções: o que a ANPD pode aplicar

A fiscalização da LGPD é feita pela Autoridade Nacional de Proteção de Dados, a ANPD. Ela pode aplicar sanções administrativas que vão de advertência a multa. As principais penalidades previstas são:

Advertência, com prazo para adotar medidas corretivas.
Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração.
Multa diária, dentro do mesmo teto.
Publicização da infração, o que expõe a empresa publicamente.
Bloqueio ou eliminação dos dados pessoais relacionados à infração.

Além da sanção administrativa, existe o risco civil: o titular que sofre dano pode buscar reparação na Justiça. E há um custo que não aparece na tabela de multas, mas costuma ser o maior de todos, o dano reputacional. A perda de confiança de clientes após um vazamento pode custar mais que qualquer multa. Por isso a adequação deve ser vista como gestão de risco, não como despesa burocrática.

Passo a passo prático de adequação

Adequação à LGPD não acontece de uma vez, é um programa contínuo. Mas existe uma sequência lógica que funciona para empresas de qualquer porte:

Mapeie os dados (data mapping): levante quais dados pessoais a empresa coleta, onde estão armazenados, quem tem acesso, com quem são compartilhados e por quanto tempo são guardados. Esse inventário é a base de tudo.
Defina a base legal de cada tratamento: para cada fluxo de dado mapeado, identifique qual das dez bases legais o justifica. Elimine tratamentos sem base.
Revise contratos com fornecedores: garanta cláusulas de proteção de dados com todo operador que acessa informação dos seus clientes.
Nomeie o encarregado (DPO): indique um responsável e publique o canal de contato para titulares e para a ANPD.
Ajuste avisos e políticas: publique política de privacidade clara, revise formulários de consentimento e o banner de cookies.
Implemente as medidas de segurança: controle de acesso, criptografia, backup, monitoramento e plano de resposta a incidentes.
Crie o processo de atendimento a titulares: um canal e um fluxo para responder pedidos de acesso, correção e eliminação nos prazos da lei.
Treine as equipes e revise periodicamente: conformidade se mantém com cultura e revisão contínua, não com um projeto único.

A parte técnica, os itens 6 e boa parte do 3, é onde a maioria das empresas trava, porque exige competência de infraestrutura e segurança que nem todo negócio tem internamente. É exatamente nesse ponto que um parceiro de TI faz diferença, seja estruturando os controles, seja assumindo a operação de monitoramento e segurança de forma terceirizada, via outsourcing de TI.

Conclusão

A LGPD deixou de ser uma novidade jurídica para se tornar parte da operação de qualquer empresa que trata dados de pessoas, o que, na prática, significa quase todas. Entender as bases legais, respeitar os direitos do titular, nomear um encarregado, aplicar medidas de segurança reais e seguir um passo a passo de adequação são as ações que transformam risco em conformidade. E, no centro de tudo, está uma verdade incômoda para quem tratou o tema apenas como papelada: sem segurança da informação bem executada, não há conformidade com a LGPD.

A Ródio Tech está no mercado desde 2004, é certificada Great Place to Work, tem nota 9.4 no oHub e atende clientes como C&A, Fleury, CERC e SoftwareOne. Ajudamos empresas a estruturar e operar a camada técnica da proteção de dados, com monitoramento contínuo e segurança de infraestrutura. Conheça a monitoração e o outsourcing de TI.

Referências

Brasil. Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais). http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
Autoridade Nacional de Proteção de Dados (ANPD). Guias orientativos e regulamento de dosimetria de sanções. https://www.gov.br/anpd/
ISO/IEC 27001. Information security management systems. https://www.iso.org/standard/27001
NIST. Cybersecurity Framework (CSF). https://www.nist.gov/cyberframework
European Union. General Data Protection Regulation (GDPR), referência histórica da LGPD. https://gdpr.eu/

Principais pontos

LGPD: Lei nº 13.709/2018, que regula o tratamento de dados pessoais no Brasil por empresas privadas e órgãos públicos, sem isenção por porte de empresa.
Dez bases legais: todo tratamento de dado pessoal precisa de uma base legal prevista na lei, e o consentimento é apenas uma das dez, sendo frágil porque pode ser retirado a qualquer momento.
Dado sensível: categoria com proteção reforçada que inclui dados de saúde, origem racial, opinião política, convicção religiosa e dados genéticos/biométricos.
Sanções da ANPD: vão de advertência a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de multa diária e bloqueio ou eliminação de dados.
Passo a passo de adequação: mapeamento de dados, definição da base legal, revisão de contratos com fornecedores, nomeação do encarregado (DPO), ajuste de avisos, medidas de segurança, processo de atendimento a titulares e treinamento contínuo.