Lei Geral de Proteção de Dados (LGPD)

Adequação à LGPD: Um Processo Contínuo, Não um Projeto Único

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) impõe obrigações abrangentes a toda organização — pública ou privada — que trate dados pessoais de indivíduos localizados no Brasil, independentemente de onde a empresa esteja sediada. Tratamento de dados, segundo a LGPD, inclui qualquer operação com dados pessoais: coleta, armazenamento, uso, compartilhamento, acesso, modificação e eliminação. Isso significa que praticamente toda empresa, de qualquer porte ou setor, está sujeita à lei. As sanções da ANPD (Autoridade Nacional de Proteção de Dados) podem chegar a 2% do faturamento bruto da empresa, limitadas a R$ 50 milhões por infração — uma exposição que justifica amplamente o investimento em adequação preventiva.

A adequação começa com o mapeamento de dados (Data Mapping): um inventário detalhado de todos os fluxos de dados pessoais da organização — quais dados são coletados, de quem, por qual finalidade, por quanto tempo são retidos, com quem são compartilhados e quais medidas de segurança protegem cada categoria. Com o mapeamento em mãos, identificamos as bases legais para cada tratamento (consentimento, execução de contrato, obrigação legal, legítimo interesse, etc.) e implementamos os ajustes necessários para conformidade.

Documentação Obrigatória e Registros de Tratamento

A LGPD exige que a empresa mantenha documentação adequada de seus processos de tratamento, incluindo: Política de Privacidade pública, clara e acessível; Aviso de Privacidade específico para cada contexto de coleta; Registros das Atividades de Tratamento (Art. 37); Contratos com operadores de dados (subprocessadores) contendo as cláusulas obrigatórias do Art. 39; e Relatório de Impacto à Proteção de Dados (RIPD) para tratamentos de alto risco. Elaboramos toda essa documentação e implementamos o processo de atendimento a requisições de titulares, que têm o direito de solicitar confirmação do tratamento, acesso aos dados, correção, anonimização, portabilidade, eliminação e revogação do consentimento. O prazo legal para resposta é de 15 dias.

Gestão de Incidentes de Segurança: Plano de Resposta e Notificação ANPD

Mesmo organizações com programas robustos de segurança da informação podem sofrer incidentes de vazamento ou acesso não autorizado a dados. A LGPD impõe a obrigação de comunicar incidentes relevantes à ANPD e aos titulares afetados em prazo razoável (a regulamentação da ANPD fixa em 3 dias úteis para a comunicação à autoridade, com relatório detalhado em 20 dias). Auxiliamos as empresas na elaboração de um plano de resposta a incidentes previamente, para que, quando um incidente ocorrer, a reação seja rápida, coordenada e minimize tanto os danos aos titulares quanto as sanções regulatórias. Do ponto de vista tributário, os gastos com adequação à LGPD — incluindo consultorias, softwares de gestão e treinamentos — são dedutíveis como despesas operacionais para fins de IRPJ e CSLL.

> Sua empresa ainda não iniciou o processo de adequação à LGPD? Cada dia de exposição representa um risco real de multa e dano reputacional. Entre em contato para um diagnóstico rápido e gratuito da sua situação atual.