A Lei nº 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), instituiu no Brasil um regime jurídico próprio para o tratamento de dados pessoais. Com a ANPD já em plena atividade e o regulamento de dosimetria das sanções em vigor, a fiscalização deixou de ser hipótese distante e passou a produzir efeitos concretos. Para qualquer organização, a adequação tornou-se obrigação, e não opção.
A LGPD não distingue porte nem setor
Há uma percepção equivocada de que a norma se dirige apenas a grandes plataformas de tecnologia. Qualquer empresa que administre cadastros de clientes, folha de pagamento de colaboradores ou contratos com fornecedores realiza tratamento de dados pessoais e, por consequência, está sujeita à lei. O porte reduzido não afasta a obrigação, ainda que a ANPD possa estabelecer tratamento diferenciado a agentes de pequeno porte quanto a certas exigências.
Adequar-se à LGPD não significa pedir consentimento para tudo, e sim tratar cada dado com finalidade legítima, base legal apropriada e segurança compatível com o risco.
O que a lei protege: dado pessoal e dado sensível
Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável, como nome, CPF, endereço eletrônico ou dados de localização. Já o dado pessoal sensível compreende informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, genéticos ou biométricos. O tratamento de dados sensíveis observa hipóteses mais restritas, previstas no art. 11. A classificação correta das informações que a empresa detém é o ponto de partida de qualquer adequação.
Princípios e bases legais do tratamento
O tratamento de dados está condicionado aos princípios do art. 6º — entre eles finalidade, adequação, necessidade, transparência, segurança e prestação de contas. Toda operação precisa, ainda, apoiar-se em uma base legal: para dados pessoais em geral, as hipóteses estão no art. 7º (consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras); para dados sensíveis, aplicam-se as bases do art. 11. O consentimento é apenas uma das possibilidades, e nem sempre a mais adequada ao contexto empresarial.
Direitos do titular e a figura do Encarregado
A lei confere ao titular um conjunto de direitos reunidos no art. 18, como confirmação da existência de tratamento, acesso, correção, anonimização, portabilidade e eliminação dos dados. A empresa precisa dispor de canais e procedimentos para atender a essas solicitações. Para intermediar essa relação, a LGPD prevê o Encarregado (DPO), disciplinado no art. 41, responsável por receber comunicações dos titulares e da autoridade e atuar como ponto de contato com a ANPD.
Incidentes, fiscalização e sanções
Diante de incidente de segurança que possa acarretar risco ou dano relevante, o controlador tem o dever de comunicar o fato à ANPD e aos titulares, na forma do art. 48. No exercício da fiscalização, a autoridade pode impor as sanções do art. 52.
Sanções do art. 52
Advertência; multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração; publicização da infração; e bloqueio ou eliminação dos dados. A esses efeitos somam-se o risco reputacional e a responsabilização civil por danos aos titulares.
LGPD e Segurança da Informação: integração necessária
A conformidade à LGPD não se esgota em documentos jurídicos. O princípio da segurança exige medidas técnicas e administrativas aptas a proteger os dados. É nesse ponto que a proteção de dados se conecta às normas de segurança da informação, em especial a ISO/IEC 27001, que orienta a implantação de um Sistema de Gestão de Segurança da Informação (SGSI), e a ISO/IEC 27002, que detalha controles como políticas, gestão de acessos e tratamento de incidentes. Um SGSI estruturado oferece o alicerce prático para sustentar as exigências legais de forma contínua e auditável.
Como a AUD</>PER pode ajudar
A AUD</>PER atua há décadas na avaliação de controles e na gestão de riscos, o que aproxima naturalmente a auditoria da agenda de proteção de dados. Nossa equipe reúne certificação internacional em segurança da informação e privacidade — EXIN, ISO/IEC 27001 e a linhagem BS 7799 — e experiência aplicada na implantação de políticas e SGSI. Nosso apoio à adequação contempla:
- Diagnóstico inicial com análise de lacunas (gap assessment).
- Registro das operações de tratamento (ROPA), previsto no art. 37.
- Elaboração de políticas e estruturação do SGSI (ISO/IEC 27001 e 27002).
- Suporte à designação e ao exercício da função de Encarregado (DPO).
- Treinamento e conscientização das equipes.
- Preparação da resposta a incidentes e acompanhamento da adequação contínua.
A proteção de dados é um processo permanente, não um projeto com data de encerramento. Se a sua organização deseja avaliar o estágio atual de conformidade e planejar os próximos passos com segurança técnica e sobriedade, a AUD</>PER está à disposição para conduzir esse diagnóstico e estruturar um plano de adequação alinhado à realidade da empresa.