A LGPD assusta pelo tamanho, mas o essencial cabe em poucas decisões bem tomadas. Quem entende a base legal certa, organiza os contratos e sabe agir num incidente já está longe da maioria das empresas que tomam multa.
A Lei Geral de Proteção de Dados é grande, técnica e fácil de transformar em pânico. O resultado é que muita empresa congela: ou ignora o assunto até receber uma cobrança, ou compra um pacote genérico de documentos que não conversa com a sua realidade. Nenhum dos dois caminhos protege. O que protege é entender que a lei se sustenta sobre poucos pilares, e que acertar esses pilares já coloca a empresa fora da zona de maior risco.
Este não é o guia completo da LGPD, que depende da análise de cada operação. É o mínimo que separa quem está exposto de quem está razoavelmente seguro.
O erro mais comum é achar que dados só podem ser tratados com consentimento. Não é verdade. A lei prevê várias bases legais, e o consentimento é apenas uma delas, muitas vezes a pior escolha, porque pode ser retirado a qualquer momento. Antes de pedir autorização, a empresa precisa identificar em qual base aquele tratamento se apoia.
| Base legal comum | Quando se aplica |
|---|---|
| Execução de contrato | Dados necessários para cumprir o contrato com o cliente, como entregar um produto ou prestar um serviço. |
| Obrigação legal | Quando outra lei obriga a guardar ou informar dados, como obrigações fiscais e trabalhistas. |
| Legítimo interesse | Finalidade legítima da empresa que não fere os direitos do titular, avaliada com cuidado caso a caso. |
| Consentimento | Autorização livre e específica do titular. Útil para marketing e usos não cobertos pelas outras bases. |
Adequar uma empresa não significa fazer tudo de uma vez. Significa percorrer uma sequência lógica, do diagnóstico ao plano de resposta. É esse percurso que demonstra à autoridade que a empresa age de boa-fé, o que pesa, e muito, no momento de uma fiscalização.
A empresa pode estar impecável internamente e ainda assim responder por um vazamento que aconteceu no fornecedor. Quando dados são compartilhados com terceiros, sistema de cobrança, plataforma de e-mail, contabilidade, transportadora, é preciso ter cláusula que defina o que cada um pode fazer com aquela informação e quem responde se algo der errado.
A LGPD não pune apenas o vazamento. Ela pune a empresa que não consegue mostrar o que fez para evitá-lo. Documentar as decisões, os mapeamentos e os contratos é o que transforma um incidente em problema administrável, e não em multa. Quem não tem o registro, não tem a defesa.
Vazamento de dados não é hipótese remota, é questão de tempo para empresas que tratam volume relevante. O que define o tamanho do estrago não é o incidente em si, é a reação. A empresa preparada contém o problema, avalia o risco, comunica quem precisa ser comunicado e registra cada passo. A despreparada descobre tarde, demora a reagir e ainda chega à autoridade sem ter o que mostrar.
A Autoridade Nacional de Proteção de Dados leva em conta a postura da empresa ao dosar uma sanção. Adoção de boas práticas, cooperação e a existência de um plano de resposta podem reduzir a penalidade. Improviso e omissão fazem o contrário.
Adequação à LGPD não é comprar um modelo de política e colar no site. É um trabalho que parte do que a empresa de fato faz com os dados e termina num conjunto de decisões defensáveis: as bases legais corretas, os contratos ajustados, o encarregado definido e o plano de incidentes pronto antes de precisar dele.
No escritório, conduzimos esse percurso no tamanho de cada empresa, do diagnóstico à resposta a incidentes, com foco no que reduz risco de verdade. O objetivo não é gerar papel, é fazer com que, no dia da fiscalização ou do vazamento, a empresa tenha o que apresentar, e não apenas o que lamentar.