LGPD · LEI GERAL DE PROTEÇÃO DE DADOS
Adequação que continua de pé depois que o projeto termina
O diagnóstico inicial é a parte fácil, e é onde a maioria dos projetos começa e acaba. O que decide se a sua empresa consegue responder a um cliente ou à ANPD dois anos depois é quem mantém o inventário atualizado, quem revisa as bases legais quando o negócio muda e quem responde o titular dentro do prazo. É disso que esta página trata.
A LGPD é lei, e a interpretação dela é trabalho jurídico. A DM11 conduz a adequação com especialista em direito digital ao lado do especialista em gestão, porque separar as duas coisas é o que produz projeto bonito que não se sustenta numa fiscalização. Quando o objetivo também inclui um documento emitido por terceiro, a página da ISO 27701 explica esse caminho.
Quem conduz a adequação
Especialistas em proteção de dados certificados pela EXIN (DPO, PDPP e PDPF)
Consultoria jurídica em privacidade e direito digital
ISO/IEC 27001 Lead Auditor certificado pela BSI
17 anos de governança, riscos e conformidades
O QUE A LEI EXIGE
Uma lei de princípios, cobrada em evidência com data
A Lei 13.709/2018 alcança qualquer empresa que trate dado pessoal no Brasil, e trata de dado pessoal quem tem funcionário, cliente ou fornecedor pessoa física. Ela não lista tecnologia nem controle: lista princípios, direitos do titular e responsabilidades. Na prática isso significa que a empresa escolhe como cumprir, e precisa conseguir demonstrar o que escolheu, quando decidiu e por quê.
Vale para qualquer porte, sem piso
Não existe faturamento mínimo nem número de funcionários abaixo do qual a lei não alcança. O que existe é um regime simplificado da ANPD para agentes de tratamento de pequeno porte, que reduz formalidade em algumas obrigações sem retirar nenhuma delas. Empresa pequena tem menos papel a produzir, não menos dever.
A base legal vem antes do consentimento
O erro mais comum e mais caro é tratar consentimento como padrão. A lei traz dez bases legais, e o consentimento é uma delas, quase sempre a mais frágil para processo de negócio, porque pode ser retirado a qualquer momento e derruba o tratamento junto. Escolher a base certa por tratamento é a decisão que mais muda o projeto, e é decisão jurídica.
O encarregado precisa existir e ser encontrável
A lei exige indicar um encarregado pelo tratamento de dados pessoais e divulgar publicamente a identidade e o contato dele. Pode ser alguém de dentro, com o papel formalizado, ou um serviço externo. O que não funciona é o nome no rodapé do site sem processo por trás, porque o titular escreve e o relógio começa a correr.
Como a adequação se prova
Vale alinhar isso cedo, porque muda o que a empresa deve produzir. A lei não é certificável, e o que demonstra conformidade é evidência datada: inventário de tratamentos, base legal registrada, relatório de impacto onde a lei pede, registro de pedidos de titular atendidos e prova de que a governança funciona. Quando o cliente quer um documento emitido por terceiro, e cliente europeu costuma querer, o caminho é a ISO 27701, e o material construído aqui entra inteiro nesse projeto.
Sem o programa de adequação
- A empresa descobre onde tem dado pessoal quando alguém reclama, e não antes
- Pedido de titular chega por e-mail, cai numa caixa qualquer e vence o prazo de quinze dias
- Contrato com fornecedor que trata dado não tem cláusula nenhuma sobre isso
- Se vazar, ninguém sabe quem avisa a ANPD, em quanto tempo, nem com qual informação
Com o programa de adequação
- O mapeamento diz onde cada dado está, por que está ali e até quando fica
- O canal do titular tem dono, prazo e registro do que foi respondido
- Fornecedor que trata dado assina cláusula e é reavaliado, não só contratado
- O plano de resposta a incidente já define quem avisa, quando e o que vai no comunicado
QUEM COSTUMA PROCURAR
Três situações em que a conversa começa
Raramente a LGPD entra na pauta por convicção. Entra porque alguém de fora perguntou, ou porque algo aconteceu.
Chegou um questionário de privacidade
Cliente grande, banco, seguradora ou empresa estrangeira mandou um formulário com dezenas de perguntas e prazo curto. Responder sem base produz duas coisas ruins: resposta otimista que não se sustenta na próxima auditoria, e ausência de resposta que trava o contrato.
Houve um incidente, ou quase
Vazamento, ransomware ou um e-mail que saiu para a lista errada. A pergunta que aparece na hora é se precisa comunicar à ANPD e aos titulares, e essa decisão é péssima de tomar às pressas, sem inventário e sem plano definido antes.
Vem uma due diligence pela frente
Venda da empresa, captação ou entrada de sócio. Privacidade virou item de checklist em due diligence, e passivo de dado pessoal apareceu como desconto de preço em transação. Aqui o prazo é dado por outro calendário, e ele não negocia.
Tradução
O que pediram para você, e o que isso significa de trabalho
Adequação à LGPD é o nome que se dá a cinco trabalhos diferentes. Quem pede raramente sabe qual deles precisa, e a primeira coisa que fazemos é descobrir isso, porque o escopo errado custa caro dos dois lados: sobra trabalho que ninguém pediu, ou falta o que resolveria a pendência.
| O que chega até você | O que significa | O que muda no trabalho |
|---|---|---|
| “Precisamos estar adequados à LGPD” | Pedido sem escopo. Adequação da empresa inteira, de um produto, ou só do que toca o dado do cliente que está perguntando. | A conversa começa por qual das três. Adequar a empresa toda quando o que trava é um contrato é gastar meses no lugar errado. |
| “O cliente mandou um questionário de privacidade” | Diligência de terceiro. Ele não quer um programa: quer evidência de que o dado dele está tratado com método. | Trabalho curto e objetivo. Mapear o que aquele cliente toca, escrever o que falta e responder com evidência, não com promessa. |
| “Precisamos nomear um encarregado” | A lei exige o nome público. O que ela não diz é que a função dá trabalho todo mês. | Nomear é a parte fácil. O trabalho é o canal do titular, o prazo de resposta, o contrato novo e o sistema novo. Pode ser assumido como serviço. |
| “Tivemos um incidente e não sabemos se comunica” | Urgência real, e prazo curto. A decisão de comunicar depende do risco ao titular, e ela precisa ser tomada e registrada. | Entra primeiro a resposta ao incidente, com a decisão documentada. O programa vem depois, e nasce melhor por causa do que se aprendeu. |
| “O cliente europeu pediu garantias sobre dado pessoal” | GDPR entra na conversa. Costuma ser o caso em que um certificado responde melhor que um dossiê. | O caminho muda: a adequação vira base para a ISO 27701, e o material construído aqui entra inteiro naquele projeto. |
| “Queremos um parecer sobre a base legal que escolhemos” | Não é adequação. É consultoria jurídica, e a DM11 não presta. | Dizemos isso na primeira conversa. A DM11 tem especialistas em direito digital na equipe e ainda assim mantém os papéis separados: organizamos a operação, o jurídico decide o que é lícito. |
Nada aqui é preço. Cada uma dessas linhas é um trabalho de tamanho diferente, e por isso a conversa começa por qual delas é a sua.
HISTÓRIAS
Três situações que já resolvemos
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Comércio eletrônico
Tudo estava apoiado em consentimento
- Situação
A empresa havia colocado um aviso de consentimento em cada ponto de coleta e considerava o assunto resolvido. Quando começaram os pedidos de exclusão, descobriu que a mesma marcação sustentava a entrega do pedido, a nota fiscal e a cobrança, e que atender ao titular ao pé da letra quebraria a operação.
- O que fizemos
Refizemos a análise tratamento a tratamento, com o jurídico junto. Boa parte do que estava em consentimento tinha base legal melhor: execução de contrato para a entrega, obrigação legal para a nota, legítimo interesse documentado para prevenção a fraude. O consentimento ficou onde ele é de fato a base correta, que é a comunicação de marketing.
- Resultado
Os pedidos de exclusão pararam de ser crise e viraram processo. E a base de marketing encolheu bem menos do que o time temia, porque quase todo o resto nunca dependeu de consentimento para começar.
Serviços de recursos humanos
Dado de candidato guardado desde sempre
- Situação
A empresa mantinha currículos, resultados de testes e anotações de entrevista de todo mundo que já se candidatou, sem prazo e sem critério. Ninguém tinha decidido guardar para sempre: simplesmente nunca houve decisão de descartar, e o volume acumulou por anos.
- O que fizemos
Definimos prazo de retenção por tipo de informação, com o jurídico avaliando o que precisa ficar por obrigação legal e o que só existia por conveniência. Implantamos o descarte, e o mais difícil não foi técnico: foi acertar o que fazer com anotação subjetiva de entrevistador, que é dado pessoal e o time não enxergava assim.
- Resultado
O acervo diminuiu de forma expressiva, e com ele o tamanho de qualquer incidente futuro. Dado que não existe mais não vaza, e essa foi a redução de risco mais barata do projeto inteiro.
Indústria
Quarenta fornecedores com acesso e nenhuma cláusula
- Situação
Dezenas de fornecedores tocavam dado pessoal da empresa, de folha a benefícios, de sistema de ponto a plataforma de treinamento. Nenhum contrato tinha cláusula de proteção de dados, e ninguém sabia dizer quais deles armazenavam informação fora do país.
- O que fizemos
Levantamos quem toca o quê e classificamos por risco, em vez de tratar os quarenta como iguais. Os poucos críticos ganharam revisão contratual completa e verificação de onde os dados ficam. O resto entrou em um aditivo padrão, com prazo, e o processo de compras passou a exigir a cláusula antes da assinatura.
- Resultado
O ganho não foi só jurídico. Ao mapear os fornecedores, a empresa descobriu três sistemas contratados por área, sem passar pela TI, tratando dado de funcionário. Dois foram desligados.
AUTODIAGNÓSTICO
O que a sua empresa consegue mostrar hoje, se alguém perguntar
As quatro primeiras perguntas classificam o seu caso, porque ser controlador, operador ou os dois muda quase tudo. As outras dezesseis medem o que existe e está de pé. O resultado aparece inteiro na tela, com a nota de cada área. Não pedimos e-mail para mostrar. Isto mede gestão e evidência, não é leitura jurídica da lei nem substitui a análise do seu jurídico.
O que cada resultado significa
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Inventário e finalidade
Abaixo de 50
Nota baixa aqui quer dizer que a empresa responde perguntas sobre dado pessoal pela memória de quem estava lá, e memória não sobrevive a troca de time nem a auditoria de cliente. O que costuma faltar não é a planilha, é a conversa com quem opera: o mapa que sai só da TI perde o formulário do RH, a lista de e-mail do marketing e a planilha de pós-venda. Comece por uma área só, a que mais toca dado pessoal, e vá até o fim dela antes de abrir a segunda. Registre origem, finalidade, quem acessa, para onde vai e por quanto tempo, mesmo que a primeira versão fique feia.
De 50 a 79
Existe um levantamento, e ele descreve parte da empresa ou uma versão antiga dela. O sintoma típico é a planilha de um projeto anterior que ninguém tocou desde que o produto novo entrou. Vale menos ampliar o mapa agora e mais datar o que já existe: marcar quem é a área dona de cada tratamento e quando ele foi conferido pela última vez. Depois disso, o buraco previsível é o que foi contratado fora da TI, e ele se acha perguntando às áreas o que elas assinaram no cartão corporativo, não olhando o inventário de sistemas.
80 ou mais
O mapa existe e acompanha a operação, e é isso que faz as outras áreas terem em que se apoiar. O que costuma escapar nesta faixa é a finalidade escrita em linguagem de sistema em vez de linguagem de negócio: quando a finalidade diz apenas o nome do módulo, ninguém consegue julgar se o dado ainda serve para aquilo. Reescreva as finalidades dos cinco tratamentos com mais gente envolvida e teste com uma pessoa da área, que precisa reconhecer o próprio processo na frase.
Base legal e transparência
Abaixo de 50
Nota baixa neste domínio quase sempre significa uma de duas coisas: nada foi registrado, ou tudo foi marcado como consentimento sem análise. As duas dão o mesmo trabalho depois, porque a empresa não consegue explicar por que trata o que trata. Vale separar o que é seu do que é do jurídico: levantar a lista de tratamentos, descrever cada um em uma frase e anotar quem aprovou é trabalho de gestão, e é o insumo sem o qual nenhum advogado consegue decidir. A escolha da base em si é análise jurídica, e ela fica muito mais barata quando chega com esse material pronto.
De 50 a 79
Há registro nos tratamentos principais, e o que falta costuma ser a justificativa: a base aparece anotada e ninguém sabe dizer por que foi escolhida nem quem decidiu. Sem esse rastro, a primeira pergunta de um cliente ou de um comprador reabre a discussão inteira. Do lado do aviso publicado, o teste rápido é ler o texto ao lado do inventário e marcar toda promessa que a operação não cumpre. Corrija primeiro as divergências, e só depois pense em melhorar a redação, porque aviso bonito que descreve outra empresa pesa contra.
80 ou mais
Registro e transparência estão alinhados, e a empresa consegue explicar as próprias decisões. O ponto de atenção desta faixa é o gatilho: base legal registrada envelhece quando a finalidade muda sem ninguém avisar, e finalidade muda com produto novo, parceria nova e campanha nova. Combine com o jurídico uma revisão disparada por evento, e não por calendário. No consentimento, confira se a retirada chega mesmo a todos os sistemas, porque o ponto que costuma ficar de fora é a ferramenta de disparo contratada por marketing.
Encarregado e titular
Abaixo de 50
Sem encarregado indicado e sem caminho definido, o pedido do titular chega mesmo assim, pelo atendimento comum ou por rede social, e o relógio começa a correr sem que ninguém perceba. O que costuma faltar antes do nome é a decisão sobre alçada e tempo: indicar alguém que não tem autonomia para pedir uma exclusão a uma área cria um cargo sem função. Defina quem é, formalize por escrito, publique o contato e desenhe em uma página quem faz o quê para acesso, correção e exclusão. É o domínio mais barato de sair do zero neste diagnóstico.
De 50 a 79
Existe contato publicado e o atendimento se organiza caso a caso, o que funciona enquanto o volume é pequeno e falha no primeiro mês em que chegam três pedidos juntos. O que falta é o registro: sem ele a empresa não consegue provar que respondeu, e o histórico é justamente o que um cliente pede em due diligence. Uma planilha compartilhada com data de entrada, tipo de pedido, prazo e resposta já resolve o essencial. Vale também escrever a resposta padrão dos dois ou três pedidos mais comuns, porque é o que evita que cada caso vire uma redação nova.
80 ou mais
O canal existe, tem dono e deixa rastro. O que diferencia nesta faixa é a identificação de quem pede: atender um pedido de exclusão sem confirmar que a pessoa é quem diz ser é o erro que transforma um processo bom em incidente. Confira se o fluxo cobre pedido feito por terceiro, por advogado e por responsável de menor, que são os que travam. E teste o caminho de fora para dentro, escrevendo para o próprio contato publicado e cronometrando a resposta.
Governança e continuidade
Abaixo de 50
Este é o domínio que mais explica por que projetos de adequação envelhecem, e nota baixa aqui costuma vir junto com uma pasta de documentos bem escritos. O que falta não é intenção, é nome com data na agenda de alguém: sem responsável e sem periodicidade, a revisão só acontece quando um cliente pergunta, e aí já é tarde. Escolha uma pessoa, defina uma frequência que a empresa consiga cumprir, ainda que seja semestral, e liste os três gatilhos que disparam revisão fora do ciclo: sistema novo, fornecedor novo, produto novo. Do lado do treinamento, comece pelas áreas que mais tocam dado, com registro de quem participou.
De 50 a 79
A revisão acontece quando alguém lembra, e o treinamento foi um evento único ou um comunicado por e-mail. Na prática isso significa que a empresa depende de uma pessoa específica continuar por perto, e é o risco que ninguém enxerga até ela sair. O passo concreto é transformar a lembrança em rotina registrada e o comunicado em conteúdo por área: o que o RH pode e não pode fazer é diferente do que vale para o comercial. Registro de participação não é burocracia, é a única evidência de que a orientação chegou.
80 ou mais
A rotina existe e sobrevive à troca de pessoas, que é o que sustenta todo o resto do programa. O ponto de atenção é o gatilho por evento: revisão anual bem feita continua deixando um vão de onze meses para o fornecedor que entrou em fevereiro. Vale conferir se compras, TI e produto sabem que precisam avisar, e se avisam. E vale medir o treinamento por comportamento, não por presença: perguntar às áreas o que elas fariam num caso concreto revela mais que qualquer lista de assinaturas.
Retenção e descarte
Abaixo de 50
Nota baixa aqui quase nunca vem de uma decisão de guardar tudo, e sim da ausência de qualquer decisão de apagar. O efeito é que o tamanho de um incidente futuro cresce sozinho, mês a mês, sem que ninguém tenha escolhido isso. O que costuma faltar é a conversa entre quem sabe o que precisa ficar por obrigação e quem sabe o que existe: comece por dois ou três tipos onde o acúmulo é evidente, como currículo de candidato e gravação de atendimento. Definir prazo para poucos tipos e cumprir vale mais do que uma tabela completa que ninguém aplica.
De 50 a 79
Existe regra para parte dos dados, ou existe tabela e ela não é aplicada, que é o caso mais frequente. A distância entre a regra e a execução costuma ser técnica e sem dono: ninguém foi encarregado de rodar o descarte. Nomeie o responsável, defina a periodicidade e registre o que saiu e quando, porque descarte sem registro não serve de evidência. Antes disso, confira se a regra escrita foi validada com o jurídico sobre o que precisa ficar, para não apagar o que era obrigação guardar.
80 ou mais
O ciclo de guarda e descarte está definido e acontece. O que costuma escapar nesta faixa são as cópias fora do caminho principal: extração para planilha, base de teste com dado real, anexo em e-mail e o backup com retenção maior que a política. Nenhuma delas aparece no sistema, e todas aparecem num vazamento. Mapeie por onde o dado sai do sistema oficial e trate cada saída como um destino com prazo próprio, incluindo a decisão explícita sobre o que fazer no backup.
Terceiros e transferências
Abaixo de 50
Sem cláusula nos contratos e sem saber onde o dado fica, a empresa responde pela decisão de escolher o fornecedor e não consegue demonstrar nada sobre ele. O que costuma faltar primeiro não é a cláusula, é a lista: quem toca dado pessoal seu, para fazer o quê. Ela se monta rápido cruzando contas a pagar com os sistemas em uso, e quase sempre revela nomes que a TI não conhecia. Com a lista na mão, classifique por criticidade em vez de tratar todos como iguais, e comece a revisão pelos poucos que concentram volume ou dado sensível.
De 50 a 79
Os contratos novos já saem com cláusula e o passado nunca foi revisado, que é o padrão de quem arrumou o processo de compras e parou ali. O risco fica concentrado justamente nos fornecedores antigos, que costumam ser os que têm mais dado. Escolha os dez mais críticos e trate um a um, com aditivo quando for o caso. Do lado de onde o dado fica, pergunte por escrito ao fornecedor em que país está a informação e quem mais acessa, incluindo os subcontratados dele, porque essa resposta é o insumo que o jurídico precisa para tratar transferência.
80 ou mais
Você sabe quem toca o quê, e os contratos acompanham. O que costuma faltar nesta faixa é a saída: fornecedor que encerra contrato mantendo acesso ou mantendo cópia do dado é o achado mais silencioso deste domínio. Inclua no encerramento a confirmação de devolução ou eliminação, com registro. E reavalie os críticos com periodicidade, porque o fornecedor que era pequeno há dois anos pode ter mudado de infraestrutura, de país ou de subcontratado sem avisar ninguém.
Segurança e incidente
Abaixo de 50
Acesso amplo e ausência de plano são os dois fatores que mais aumentam o tamanho de qualquer incidente, e nota baixa aqui costuma coexistir com boa infraestrutura, porque o problema é de decisão e não de ferramenta. O que costuma faltar é a pergunta simples nunca feita: quantas pessoas conseguem abrir a base inteira de clientes ou a pasta do RH. Faça esse levantamento primeiro, corte o que é herança de cargo anterior e registre quem aprovou o que sobrou. Em paralelo, escreva em uma página quem avalia o risco aos titulares e quem decide sobre comunicar, mesmo que o plano completo venha depois.
De 50 a 79
Há controle de acesso e a revisão é esporádica, ou existe plano de incidente que trata da parte técnica e não da parte de dado pessoal. São lacunas diferentes com a mesma origem: a segurança foi resolvida pela TI e a privacidade não entrou na conversa. Na revisão de acesso, o que falta é registro de quem revisou e do que foi removido, sem o qual a revisão não conta como evidência. No plano, o que falta é o critério de avaliação de risco aos titulares e o jurídico dentro da decisão, porque comunicar ou não é decisão de negócio e de direito, não de infraestrutura.
80 ou mais
Acesso controlado e plano escrito colocam a empresa numa posição confortável para o pior dia. A distância que sobra é o ensaio: plano nunca exercitado costuma revelar, no primeiro teste de mesa, que ninguém sabe quem aciona quem fora do horário comercial e que o contato do fornecedor crítico está desatualizado. Marque um exercício curto com quem realmente participaria, incluindo jurídico e comunicação, e registre o que travou. O resultado desse ensaio vale mais que qualquer melhoria no texto do plano.
QUEM FAZ O QUÊ
Encarregado não é cargo decorativo.
A lei exige um encarregado, e exige que o nome dele seja público. O que ela não diz é que a função dá trabalho contínuo: pedido de titular, incidente, contrato novo, sistema novo. É onde a maioria dos programas para depois do diagnóstico.
- A sua empresa
- É a controladora. Decide finalidade, responde perante a ANPD e perante o titular.
- A DM11
- Faz o mapeamento, escreve as políticas, monta os fluxos e pode assumir o papel de encarregada como serviço.
- O encarregado
- Recebe o titular, fala com a ANPD e orienta a operação. Precisa de canal público e de tempo de verdade.
- O jurídico
- Avalia risco e interpreta a lei. A adequação organiza a operação; ela não substitui parecer.
COMO CONDUZIMOS
Do mapeamento até a governança que se mantém sozinha
Jurídico e gestão andam juntos do primeiro dia, e não em sequência. Adequação conduzida só pelo jurídico produz parecer que ninguém opera, e conduzida só pela tecnologia produz controle sem base legal por trás. As duas leituras precisam se cruzar em cada tratamento.
- 01
Mapeamento: onde o dado pessoal entra, circula e sai
Levantamos os tratamentos por processo de negócio, com quem opera e não só com quem coordena, porque a planilha oficial quase nunca coincide com a prática. Registramos origem, finalidade, quem acessa, para onde vai, quanto tempo fica e quais fornecedores tocam.
Inventário de tratamentos por processo de negócio
Fluxo de dado pessoal, incluindo transferência a terceiros
Lista de fornecedores com acesso, classificada por risco
Identificação do que é dado pessoal sensível
Marco de entregaInventário aprovado pelas áreas donas dos processos, e não apenas pela TI.
- 02
Base legal, riscos e o que a lei obriga a documentar
Com o jurídico, definimos a base legal de cada tratamento e registramos a justificativa. Avaliamos os riscos aos titulares, que não são os mesmos riscos da segurança da informação, e produzimos relatório de impacto onde a lei ou o risco pedem.
Base legal registrada e justificada por tratamento
Teste de legítimo interesse onde essa é a base escolhida
Relatório de impacto à proteção de dados, onde aplicável
Política de privacidade e avisos reescritos para o que a empresa realmente faz
Marco de entregaBase legal definida em 100% dos tratamentos inventariados, com o jurídico de acordo.
- 03
Controles, contratos e atendimento ao titular
Implantamos com seu time o que sustenta a decisão no dia a dia: controle de acesso por necessidade, retenção e descarte por tipo de dado, cláusulas nos contratos com terceiros e o processo de atendimento ao titular, com canal, prazo, registro e resposta padronizada.
Processo de atendimento ao titular, com prazo e registro
Política de retenção e descarte, implantada e não só escrita
Cláusulas de proteção de dados revisadas nos contratos de terceiros
Encarregado formalizado e contato publicado
Marco de entregaPrimeiro ciclo de pedidos de titular atendido dentro do prazo, com registro completo.
- 04
Governança, ensaio de incidente e manutenção
É a fase que separa adequação de relatório. Definimos quem revisa o quê e com que frequência, treinamos quem opera e ensaiamos um incidente, para a decisão de comunicar à ANPD e aos titulares ser tomada com plano na mão e não no susto.
Rotina de revisão definida, com responsável e periodicidade
Plano de resposta a incidente com dado pessoal, ensaiado
Treinamento das áreas que mais tratam dado pessoal
Relatório para a direção, com o que ficou pendente escrito
Marco de entregaEnsaio de incidente concluído, com a decisão de comunicar tomada dentro do plano.
QUANTO TEMPO LEVA
O mapeamento é previsível. O resto depende do tamanho da bagunça.
Não publicamos prazo padrão, porque prazo publicado vira promessa. A primeira conversa costuma bastar para separar os dois casos que mais aparecem: a empresa que nunca fez nada e a que fez um projeto anos atrás e não manteve. A segunda quase sempre está mais perto do que imagina, e às vezes mais longe.
Quantos sistemas e quantos fornecedores tocam dado pessoal
Uma operação com meia dúzia de sistemas é um projeto. Uma com dezenas de fornecedores e áreas contratando ferramenta por conta própria é outro, e boa parte do tempo vai embora descobrindo o que existe antes de decidir qualquer coisa.
Se existe quem possa assumir o papel de encarregado
Com alguém de dentro disponível, o papel se formaliza rápido. Sem ninguém, a decisão entre nomear internamente e contratar o serviço precisa ser tomada cedo, porque o encarregado participa do projeto e não entra depois de pronto.
Se o destino é só adequar ou também certificar
Adequar é o suficiente para responder cliente e regulador com evidência própria. Quando existe intenção de certificar privacidade depois, organizamos o material já no formato da ISO 27701 desde o começo, o que custa pouco agora e economiza um projeto inteiro depois.
PERGUNTAS FREQUENTES
O que perguntam antes de decidir
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
A lei em si não é certificável, e vale saber disso antes de contratar qualquer coisa, porque o termo circula bastante no mercado. O que demonstra conformidade é evidência: inventário atualizado, base legal registrada, atendimento ao titular funcionando e governança que se prova com documento datado. Se o que você precisa é um documento emitido por terceiro, para responder cliente ou regulador, a norma certificável de privacidade é a ISO 27701, e o trabalho de adequação é justamente a base dela.
Vale. Não existe porte mínimo, e qualquer empresa com funcionário já trata dado pessoal. O que existe é um regime simplificado da ANPD para agentes de tratamento de pequeno porte, que alivia formalidade em algumas obrigações. Ele reduz papel, não reduz dever: base legal, atendimento ao titular e segurança da informação continuam valendo integralmente.
Não, e apoiar tudo em consentimento é o erro que mais dá trabalho depois. A lei traz dez bases legais, e várias servem melhor a processo de negócio: execução de contrato, cumprimento de obrigação legal, legítimo interesse. O consentimento pode ser retirado a qualquer momento, e quando ele sustenta algo essencial, a retirada derruba a operação junto. Escolher a base certa por tratamento é decisão jurídica, e é a que mais muda o projeto.
A lei exige indicar um encarregado e divulgar publicamente a identidade e o contato dele. Pode ser alguém de dentro, com o papel formalizado e tempo real para exercê-lo, ou um serviço externo. O que não resolve é publicar um e-mail sem processo por trás: assim que o contato existe, o titular escreve, e a partir daí o prazo de resposta corre.
Depende do risco relevante aos titulares, e essa avaliação é péssima de fazer no dia. A comunicação à ANPD e aos titulares é obrigatória quando o incidente pode acarretar risco ou dano relevante, e a Resolução CD/ANPD nº 15/2024 dá três dias úteis, contados de quando você souber que o incidente afetou dados pessoais. Agente de tratamento de pequeno porte tem o prazo em dobro. Por isso a decisão precisa estar ensaiada antes: com inventário na mão, dá para dizer em horas quais dados foram atingidos, e sem ele a empresa passa dias descobrindo, com o prazo correndo.
Ajuda bastante e não resolve. A ISO 27001 cobre a parte de segurança que a LGPD também exige, e essa evidência se aproveita quase inteira: controle de acesso, registro, gestão de terceiros, resposta a incidente. O que ela não cobre é o núcleo jurídico da lei, que é base legal, direito do titular, finalidade e retenção. São camadas diferentes, e empresas certificadas costumam se surpreender com o tamanho do que falta nessa segunda.
Recebeu um questionário de privacidade e não sabe por onde começar?
Traga o questionário ou a cláusula do contrato. Dizemos o que já existe na sua empresa que responde, o que falta de verdade e em que ordem faz sentido resolver, sem transformar isso num projeto de dois anos.
Fontes e referências
- Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais
Presidência da República, texto consolidado · consultado em
- Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado em
- Publicado em
- Revisado em
- Revisão editorial
- DM11 Consultoria em Segurança da Informação Ltda
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.