Uma empresa instala um modelo de política de privacidade no site e conclui que se adequou à LGPD. Entretanto, a equipe continua compartilhando planilhas de clientes por conta pessoal, contratos com fornecedores não definem responsabilidades e ninguém sabe responder a um pedido de correção. A política pode informar ao público como os dados são tratados; a conformidade depende do que a organização efetivamente faz e consegue demonstrar.
O que a empresa precisa conhecer antes de redigir a política?
O ponto de partida é mapear dados, titulares, finalidades, sistemas, destinatários, prazo de retenção e fluxos fora da empresa. Cadastro de cliente, dados de empregados, cookies de publicidade, informações de saúde e câmeras exigem análises diferentes. Os princípios do art. 6º da LGPD abrangem finalidade, adequação, necessidade, transparência, segurança e prevenção. Uma frase genérica como “usamos dados para melhorar a experiência” não descreve, por si, todas as operações e não cria base legal.
O tratamento precisa enquadrar-se em uma base do art. 7º ou, para dados sensíveis, do art. 11. Consentimento não é solução universal. Pode haver execução de contrato, cumprimento de obrigação legal, exercício regular de direitos ou outra hipótese legal, observados requisitos de cada uma. Um checkbox não corrige coleta excessiva e uma cláusula contratual não torna lícita finalidade incompatível com a informada. Se a empresa compra uma base de contatos, deve investigar origem, expectativa razoável, finalidade, transparência e possibilidade de oposição, em vez de confiar na declaração do fornecedor.
O inventário precisa refletir práticas: quem acessa a planilha, por que recebe os dados, onde ficam os backups e quando são eliminados. A política destinada ao público deve ser coerente com esse fluxo. Se anuncia exclusão em 30 dias, mas guarda cópias indefinidas, a contradição amplia risco jurídico. Registro das operações, medidas de segurança e análise proporcional de riscos ajudam a demonstrar que a empresa conhece seu tratamento.
Quais controles internos realmente importam?
O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger dados. Controle de acesso por função, autenticação adicional, atualização de sistemas, cópias seguras, criptografia quando pertinente, gestão de fornecedores e treinamento são exemplos cujo desenho depende do porte e risco. A LGPD também prevê governança e boas práticas no art. 50. Não existe uma lista única de ferramentas cuja compra gere certificado de conformidade.
É necessário instituir fluxo para pedidos dos titulares: confirmar identidade, localizar dados, corrigir ou justificar conservação, registrar resposta e comunicar destinatários quando exigido. Outro fluxo deve prever incidentes: detectar, conter, investigar, avaliar risco relevante e, quando cabível, comunicar ANPD e titulares. A Resolução CD/ANPD nº 15/2024 detalha a comunicação de incidente, com prazo e conteúdo próprios. O contrato com um fornecedor de nuvem precisa definir instruções, segurança, notificação rápida, subcontratação e retorno ou eliminação de dados, sem confundir papel contratual com atuação real.
Uma clínica, escritório ou escola pode tratar dados sensíveis e informações de crianças. O art. 14 exige melhor interesse da criança e adolescente; o art. 11 disciplina dados sensíveis. A política pública pode descrever categorias e contatos, mas não deve divulgar informações protegidas por sigilo nem prometer eliminação de prontuário ou arquivo que a lei obriga a conservar.
Como demonstrar a conformidade em uma fiscalização ou demanda?
Documentos úteis incluem inventário, versões da política e dos termos, registros de tratamento, contratos, análise de risco, logs de acesso, evidência de treinamento, respostas a titulares e relatório de incidentes. A utilidade de cada registro depende de sua correspondência com a prática. Uma política copiada de outra empresa, com serviços e destinatários inexistentes, pode revelar falta de controle.
Os arts. 42 a 45 da LGPD tratam de responsabilidade por danos decorrentes de tratamento ilícito, com regras e excludentes específicas. Em relação de consumo, o CDC também pode incidir. A existência de um documento público não afasta o dever de provar diligência nem substitui a demonstração de nexo e dano em uma pretensão reparatória. O plano de adequação deve priorizar operações de maior risco, dados sensíveis, exposição externa e falta de resposta aos titulares.
Uma política boa é o retrato inteligível de uma operação sob controle. Se a operação muda, o documento e os controles precisam ser atualizados. Sua função é informar e permitir o exercício de direitos, enquanto os processos internos tornam essa informação verdadeira.
Governança proporcional à atividade
Uma pequena empresa não precisa reproduzir a estrutura de um grande banco, mas deve conhecer os dados que coleta e os riscos do seu serviço. Uma clínica com prontuários, um escritório com documentos sigilosos e uma loja com cadastro de compras possuem obrigações e controles adaptados ao tipo de informação. O argumento “somos pequenos” não autoriza guardar dados sensíveis em links públicos; o argumento “somos grandes” não prova conformidade por si só.
É útil testar o processo com três situações concretas. Primeiro: um cliente pede correção; quem recebe, confirma identidade, altera e informa destinatários? Segundo: um fornecedor avisa que perdeu acesso a uma base; quem contém, investiga e avalia comunicação? Terceiro: o contrato termina; quais dados devem ser devolvidos, eliminados ou conservados por obrigação legal? Se ninguém consegue responder, a política publicada não descreve uma operação sob controle.
Contratos com operadores devem detalhar instruções, finalidade, restrições de subcontratação, medidas de segurança, comunicação tempestiva de incidentes, possibilidade de auditoria e destino dos dados ao fim do serviço. A cláusula “o fornecedor cumpre a LGPD” é ampla demais para organizar um incidente real. Os papéis de controlador e operador decorrem de quem decide finalidade e meios essenciais do tratamento, não apenas do título colocado no contrato.
Revisão periódica é necessária quando a empresa introduz ferramenta de IA, muda seu sistema de CRM, passa a usar publicidade comportamental ou coleta novo dado sensível. Registre a decisão, a base jurídica considerada, o risco e a mudança no aviso ao titular. Esse histórico permite demonstrar adequação contínua, inclusive se uma prática anterior precisar ser corrigida.
O encarregado previsto na LGPD tem função de canal e orientação, conforme o regime aplicável e atos da ANPD. Nomear alguém no rodapé da política sem dar acesso aos processos internos não resolve pedidos ou incidentes. A direção deve definir responsáveis por sistemas, contratos, segurança e atendimento, inclusive substitutos em ausências. Em auditoria, uma amostra de solicitações recebidas e respostas efetivas costuma revelar mais que um organograma. Também convém testar a exclusão de usuário em sistemas antigos e fornecedores, porque uma política que promete apagar dados de todas as ferramentas pode ser inexequível. Documentar a exceção legal de retenção e o momento da eliminação permite dar resposta honesta ao titular, em vez de promessa genérica impossível de cumprir.
Notas e referências
1. BRASIL. LGPD, arts. 5º a 7º, 11, 14, 18, 37 a 41, 42 a 50. 2. ANPD. Comunicação de incidentes de segurança e Resolução CD/ANPD nº 15/2024. 3. BRASIL. Código de Defesa do Consumidor, arts. 6º e 14.
Conteúdo informativo. A análise de uma situação concreta depende de seus fatos, documentos e circunstâncias.