Avaliar a adequação à LGPD significa verificar se a estrutura de privacidade da empresa é suficiente para a forma como ela trata dados pessoais hoje, e transformar as lacunas encontradas em um plano organizado, com prioridades, responsáveis e prazos. Esse trabalho interessa tanto a quem ainda não estruturou um programa de privacidade quanto a quem fez um projeto de adequação nos primeiros anos da lei e precisa saber se ele ainda se sustenta.
O segundo caso é mais comum do que parece. Muitas empresas mapearam seus dados entre 2019 e 2021, publicaram políticas e nomearam um encarregado. Desde então, contrataram novos sistemas, mudaram processos, passaram a usar ferramentas de inteligência artificial e ampliaram a base de fornecedores. A ANPD, por sua vez, publicou regulamentos sobre dosimetria de sanções, comunicação de incidentes e atuação do encarregado. A distância entre o que foi documentado e o que acontece na operação tende a crescer com o tempo.
Este artigo mostra como medir essa distância e como organizar o caminho até uma adequação sustentável.
O diagnóstico de privacidade é uma fotografia da situação atual. Ele avalia documentos, processos, controles e responsabilidades, e compara o resultado com as exigências da LGPD e dos regulamentos da ANPD.
O trabalho costuma combinar três fontes: análise documental, entrevistas com as áreas que tratam dados e verificação de sistemas e controles de segurança. A combinação importa, porque é comum encontrar uma política bem escrita que não corresponde ao que a área de marketing ou de recursos humanos faz na prática.
Um roteiro básico de diagnóstico verifica se a empresa tem:
Cada item recebe uma avaliação simples: implementado, parcialmente implementado ou ausente. Esse resultado já permite enxergar o nível de maturidade da empresa em privacidade.
O inventário de dados é a base de toda a adequação. Sem saber quais dados a empresa coleta, por que coleta, onde armazena, com quem compartilha e por quanto tempo guarda, nenhuma outra decisão se sustenta.
O levantamento funciona melhor quando é organizado por processo de negócio, já que um mesmo processo costuma envolver vários sistemas. Recrutamento e seleção, folha de pagamento, cadastro de clientes, campanhas de marketing, atendimento, cobrança e gestão de fornecedores são exemplos de processos que envolvem dados pessoais. Para cada um, a empresa registra a finalidade, a base legal, as categorias de dados e de titulares, os sistemas envolvidos, os compartilhamentos e o prazo de retenção.
Atenção especial vai para os dados sensíveis, como informações de saúde, biometria e origem racial, e para dados de crianças e adolescentes, que exigem cuidados adicionais. Também vale registrar as transferências internacionais, comuns em empresas que usam serviços em nuvem hospedados fora do país.
Em empresas que fizeram o mapeamento anos atrás, a revisão costuma revelar processos novos, sistemas que não estavam no inventário e ferramentas adotadas pelas áreas sem passar pela análise de privacidade.
Com o diagnóstico e o inventário em mãos, a empresa consegue listar suas lacunas. Algumas aparecem com frequência em avaliações de maturidade:
Nem toda lacuna tem o mesmo peso. A avaliação de riscos considera a probabilidade de um problema acontecer e o impacto que ele teria sobre os titulares e sobre a empresa. Um vazamento de dados de saúde de milhares de pessoas tem consequências muito diferentes de uma falha pontual na política de cookies do site.
Os riscos mais relevantes costumam estar nos tratamentos de grande volume, nos dados sensíveis, nos compartilhamentos com terceiros e na capacidade de resposta a incidentes. Além das sanções previstas no artigo 52 da LGPD, que incluem multa de até 2% do faturamento limitada a R$ 50 milhões por infração, esses riscos envolvem ações judiciais, perda de contratos e dano reputacional.
A adequação só se mantém quando existe uma estrutura que cuide dela de forma contínua. A governança de privacidade define quem decide, quem executa e quem acompanha os temas de proteção de dados.
O encarregado ocupa um papel central, como canal de comunicação com titulares e com a ANPD e como orientador interno. Para cumprir essa função, precisa de autonomia, recursos e acesso à alta direção. Em empresas de maior porte, o encarregado conta com um comitê de privacidade que reúne jurídico, segurança da informação, tecnologia, compliance e as áreas que mais tratam dados.
Outro ponto decisivo é atribuir a cada área a responsabilidade pelos tratamentos que realiza. O gestor de recursos humanos responde pelos dados de colaboradores, o de marketing pelos dados de campanhas, e assim por diante. Essa divisão evita que a privacidade fique concentrada em uma única pessoa e garante que o inventário seja atualizado quando os processos mudam.
O diagnóstico costuma gerar uma lista longa de ações. A priorização organiza essa lista com base em três critérios: o nível de risco que cada lacuna representa, a exposição da empresa perante titulares, clientes e reguladores, e o esforço necessário para resolver.
Algumas ações são rápidas e de alto impacto, como revisar contratos com fornecedores críticos, formalizar o procedimento de resposta a incidentes ou definir prazos de retenção para os dados mais sensíveis. Outras são estruturais e levam mais tempo, como implantar uma ferramenta de gestão de consentimento ou revisar a arquitetura de acessos dos sistemas.
O plano de ação registra, para cada item, a descrição da ação, o responsável, o prazo, os recursos necessários e a evidência que comprovará a conclusão. Esse último ponto costuma ser esquecido, e é ele que permite demonstrar a adequação em uma fiscalização ou em uma due diligence de cliente.
O roadmap distribui as ações no tempo, de forma compatível com a capacidade da equipe e com o orçamento disponível. Uma divisão em ondas costuma funcionar bem.
Nos primeiros três meses, a empresa trata os riscos mais altos: atualização do inventário nas áreas críticas, plano de resposta a incidentes, revisão de contratos com fornecedores que tratam dados sensíveis e fortalecimento do papel do encarregado. Entre o quarto e o sexto mês, avança para políticas internas, procedimentos de atendimento a titulares, regras de retenção e treinamentos direcionados. No segundo semestre, o foco passa para controles técnicos, relatórios de impacto e integração da privacidade a novos projetos e contratações.
Os prazos variam conforme o porte da empresa e o volume de dados tratados. O importante é que cada onda tenha entregas claras e que a liderança acompanhe a evolução.
A adequação à LGPD acompanha a empresa enquanto ela trata dados pessoais. Novos sistemas, novos fornecedores e novos produtos geram novos tratamentos, e a estrutura de privacidade precisa absorver essas mudanças.
A sustentação depende de indicadores acompanhados com regularidade, como tempo de resposta às solicitações de titulares, número e gravidade de incidentes, percentual de colaboradores treinados, fornecedores avaliados e atualizações do inventário. Esses indicadores devem chegar à alta direção com periodicidade definida.
Vale também prever uma reavaliação anual da maturidade, repetindo o diagnóstico para medir a evolução e ajustar o roadmap. Auditorias internas e a inclusão da privacidade nas análises de novos projetos completam o ciclo, fazendo com que a proteção de dados passe a fazer parte da forma como a empresa opera.
Um diagnóstico bem feito mostra com clareza o que já funciona, o que precisa ser ajustado e onde estão os riscos que exigem atenção imediata. A partir dele, a empresa constrói um plano realista, define responsáveis e acompanha a evolução com indicadores, mantendo a adequação à LGPD alinhada à operação real.
Fale com o Grupo GEP para avaliar o nível de maturidade da sua organização em Privacidade e LGPD.
Entre em contato com nossos especialistas que vamos te ajudar!
Acesse, em primeira mão, as nossas principais notícias diretamente em seu e-mail
