O que é a LGPD e a quem se aplica
A Lei Geral de Proteção de Dados, Lei nº 13.709/2018, estabelece regras sobre como empresas e pessoas podem coletar, usar, armazenar e compartilhar dados pessoais. A fiscalização cabe à Autoridade Nacional de Proteção de Dados (ANPD), que também edita normas e aplica sanções.
Um equívoco comum é achar que a lei só alcança gigantes de tecnologia. Ela se aplica a praticamente qualquer empresa, do consultório ao comércio, da indústria ao escritório, porque todas tratam dados pessoais: nomes, CPFs, e-mails, telefones, dados de funcionários, informações de clientes. O porte muda a proporção das obrigações, não a sujeição à lei.
Em resumo: se a sua empresa tem clientes, empregados ou fornecedores, e todas têm, ela trata dados pessoais e precisa fazê-lo dentro das regras.
Dados pessoais e dados sensíveis
A lei distingue dois tipos de dado. Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa, do nome ao endereço, do CPF ao histórico de compras. Dado pessoal sensível é uma categoria especial, que inclui informações sobre saúde, biometria, origem racial, convicção religiosa, opinião política, vida sexual, entre outras.
Os dados sensíveis recebem proteção reforçada, porque seu uso indevido causa danos maiores e discriminação. Empresas que lidam com eles, clínicas, laboratórios, planos, RH que coleta atestados, têm um dever de cuidado ainda mais rigoroso.
Saber quais dados a empresa coleta, e classificá-los, é o ponto de partida de tudo. Não se protege o que não se conhece.
As bases legais: você precisa de uma para tratar dados
Talvez o conceito mais importante, e mais ignorado, da LGPD seja o de base legal. Para tratar qualquer dado pessoal, a empresa precisa se apoiar em uma das hipóteses previstas na lei. Tratar dado sem base legal é irregular, mesmo que a intenção seja boa.
O consentimento do titular é apenas uma dessas bases, e nem sempre a mais adequada. A lei prevê outras, como a execução de um contrato, o cumprimento de obrigação legal, o exercício regular de direitos e o legítimo interesse. Uma empresa que paga o salário de um funcionário, por exemplo, não precisa do ‘consentimento’ dele para tratar seus dados: ela tem obrigação legal e contratual para isso.
Mapear, para cada tratamento de dado, qual é a base legal que o sustenta, é o coração da adequação. É isso que transforma ‘a empresa usa os dados’ em ‘a empresa usa os dados de forma lícita’.
Os direitos do titular
A LGPD dá ao titular, a pessoa dona dos dados, um conjunto de direitos que a empresa precisa ser capaz de atender: acessar os dados que a empresa tem sobre ele, corrigir informações erradas, pedir a exclusão, obter a portabilidade e revogar um consentimento antes dado, entre outros.
Na prática, isso significa que a empresa precisa ter um canal para receber esses pedidos e uma rotina para respondê-los em prazo razoável. Ignorar uma solicitação de titular, ou não saber sequer onde os dados estão para atendê-la, é exatamente o tipo de falha que gera reclamação à ANPD e exposição.
Atender bem esses direitos, além de obrigatório, é também um sinal de respeito que fortalece a relação com clientes e funcionários.
O que a empresa precisa fazer na prática
A adequação à LGPD não é um documento, é um processo. Começa pelo mapeamento dos dados: o que a empresa coleta, por que coleta, onde guarda, por quanto tempo e com quem compartilha. Esse inventário é a base de todo o resto.
A partir dele, define-se a base legal de cada tratamento, revisam-se contratos e políticas (política de privacidade do site, aviso de cookies, cláusulas com fornecedores que acessam dados), nomeia-se um encarregado pela proteção de dados (o DPO), que é o ponto de contato com titulares e com a ANPD, e treina-se a equipe, porque a maior parte dos vazamentos nasce de erro humano, e não de ataque sofisticado.
Por fim, monta-se um plano de resposta a incidentes, para saber o que fazer, e em que ordem, se houver um vazamento. Empresa preparada reage rápido; empresa despreparada descobre o problema quando ele já virou crise.
Vazamento de dados: o que fazer
Incidentes acontecem, um notebook perdido, um e-mail enviado para a lista errada, um ataque. Quando o incidente puder acarretar risco ou dano relevante aos titulares, a LGPD determina que a empresa comunique a ANPD e os titulares afetados, em prazo razoável, informando o ocorrido e as medidas tomadas.
A tentação de esconder o vazamento é grande e é um erro. A omissão agrava a situação perante a autoridade e amplia o dano à reputação quando o caso vem à tona, e costuma vir. Ter um plano de resposta definido de antemão é o que permite agir com serenidade num momento de pressão.
Por onde começar: os primeiros passos
Adequar-se assusta quando parece que é tudo de uma vez. Na prática, começa pequeno e concreto: liste onde a empresa guarda dados, sistemas, planilhas, papel, quem tem acesso e para quê. Esse retrato inicial já revela onde estão os maiores riscos e por onde vale começar.
Em seguida, resolva o básico visível: publique uma política de privacidade real no site, ajuste o aviso de cookies, revise os formulários que coletam dados para pedir apenas o necessário e organize um canal para receber pedidos de titulares. São ações de baixo custo e de efeito imediato sobre a exposição da empresa.
A adequação madura, com encarregado nomeado, mapeamento completo e plano de incidentes, vem depois, em etapas. O importante é sair do zero: uma empresa que começou a se organizar está em posição muito melhor, perante a ANPD e perante o cliente, do que a que nunca olhou para o tema.
Um caminho prático é priorizar por risco: começar pelos dados mais sensíveis e pelos tratamentos que mais expõem a empresa, e avançar a partir daí. Adequação não é um projeto de tudo ou nada, é uma escada que se sobe degrau a degrau, e o primeiro degrau já reduz a exposição. O importante é registrar o que foi feito e por quê, porque demonstrar esforço e boa-fé conta a favor da empresa diante da ANPD.
LGPD no marketing: e-mails, cookies e listas
É no marketing que a LGPD mais aparece no dia a dia. Disparar e-mails para uma lista comprada, rastrear visitantes sem aviso claro ou usar dados de clientes para finalidades que eles não esperavam são práticas que a lei restringe, e que costumam virar reclamação e desgaste de marca.
A saída não é parar de fazer marketing, é fazê-lo com base legal e transparência. A comunicação a clientes pode se apoiar no legítimo interesse quando há relação e expectativa razoável; a captação de contatos novos pede clareza e, muitas vezes, consentimento; cookies e rastreamento exigem informar e, conforme o caso, obter aceite.
Tratar bem os dados no marketing, além de reduzir risco, melhora o resultado. Uma base limpa e consentida engaja mais do que uma lista comprada e fria. Aqui, conformidade e eficácia caminham juntas, e não em lados opostos.
O encarregado (DPO): quem é e por que a empresa precisa de um
A LGPD prevê a figura do encarregado pela proteção de dados, conhecido pela sigla em inglês DPO. É a pessoa, ou a estrutura, que serve de ponto de contato entre a empresa, os titulares dos dados e a ANPD, recebendo reclamações, orientando a equipe e zelando pelo cumprimento da lei no dia a dia.
Não é preciso, na maioria das empresas, contratar um profissional exclusivo para isso. O papel pode ser atribuído a alguém interno com o preparo adequado, ou apoiado por assessoria externa. O essencial é que exista um responsável claro, e não uma responsabilidade difusa que, na prática, acaba sendo de ninguém.
Ter um encarregado definido muda a postura da empresa diante do tema: em vez de reagir no susto quando surge um pedido de titular ou um incidente, ela passa a ter quem conduza a resposta com método. É a diferença entre a empresa que sabe o que fazer e a que descobre no meio da crise.
As sanções (e o risco maior, que é reputacional)
A ANPD pode aplicar sanções que vão da advertência à multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, passando pelo bloqueio ou pela eliminação dos dados envolvidos. Para a maioria das empresas, porém, o risco financeiro direto da multa convive com um risco ainda maior: o reputacional.
Um vazamento mal conduzido, ou o uso indevido de dados de clientes, mina a confiança que sustenta o negócio. Sem falar nas ações individuais de titulares que se sentirem lesados. Em muitos setores, tratar bem os dados deixou de ser só obrigação legal e virou diferencial competitivo, um sinal de seriedade que o cliente percebe.
Adequar-se à LGPD, portanto, não é gasto com burocracia: é proteção contra multa, contra litígio e, principalmente, contra a perda de confiança, que é o ativo mais difícil de recuperar.