A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigor desde setembro de 2020 e a ANPD (Autoridade Nacional de Proteção de Dados) já aplica sanções desde 2023. Ainda assim, a maioria das empresas brasileiras trata a LGPD como "coisa de empresa grande". Esse erro pode custar caro: as multas podem chegar a 2% do faturamento anual da empresa, limitadas a R$ 50 milhões por infração (Lei 13.709/2018, art. 52) - mas para uma empresa, mesmo uma multa de R$ 50 mil já representa impacto significativo em caixa e reputação.
Segundo levantamento da ICTS Protiviti, 58,3% das micro e pequenas empresas brasileiras ainda não iniciaram as ações necessárias de adequação à LGPD, e 71,9% sequer mapearam quais dados pessoais tratam. O risco não é só financeiro: um incidente de vazamento de dados pode destruir a reputação de uma empresa perante clientes, parceiros e fornecedores de forma muito mais rápida do que qualquer multa. Em um ambiente onde clientes corporativos cada vez mais exigem conformidade de seus fornecedores, estar fora da LGPD já começa a significar estar fora de contratos.
O que a LGPD exige de uma empresa
A lei não diferencia porte de empresa na maioria das obrigações. Uma empresa que coleta nome, e-mail, CPF ou qualquer dado pessoal de clientes, funcionários ou fornecedores está sujeita à LGPD - independentemente do faturamento ou do número de colaboradores. As principais obrigações práticas são:
- Mapear quais dados pessoais são coletados, onde ficam armazenados e para qual finalidade específica
- Ter base legal para cada tratamento de dados (consentimento, legítimo interesse, obrigação legal ou execução de contrato)
- Garantir que os titulares possam acessar, corrigir ou solicitar exclusão de seus dados mediante pedido
- Notificar a ANPD em caso de incidente de segurança que possa causar risco real aos titulares
- Indicar um encarregado de dados (DPO) - pode ser um colaborador interno ou serviço terceirizado
- Ter contratos com fornecedores que processam dados pessoais em nome da empresa (operadores de dados)
Os dados mais sensíveis em empresas
Todo dado pessoal importa, mas nem todos têm o mesmo nível de risco. Para uma empresa, é mais eficiente começar pelos dados com maior potencial de dano em caso de vazamento ou uso indevido:
| Tipo de dado | Onde costuma estar | Risco principal |
|---|---|---|
| Dados de clientes (nome, CPF, e-mail, telefone) | CRM, planilhas, e-mail | Vazamento, uso indevido para marketing sem consentimento |
| Dados de funcionários (CPF, salário, dados de saúde) | RH, eSocial, convênios médicos | Exposição interna, risco de discriminação |
| Dados de pagamento (cartão, conta bancária) | Sistema de cobrança, gateway de pagamento | Fraude financeira direta |
| Dados de navegação (IP, cookies) | Site, Google Analytics, ferramentas de marketing | Regulação de cookies, necessidade de consentimento |
| Contratos e propostas (dados de sócios, empresas) | E-mail, Google Drive, sistemas de gestão | Exposição de informações confidenciais de terceiros |
O processo mínimo de adequação para empresas
Não é necessário criar uma área de privacidade com equipe dedicada nem contratar um escritório de advocacia especializado para começar. Para a maioria das empresas, um processo mínimo eficaz tem cinco etapas sequenciais:
- Inventário de dados: mapear onde estão os dados pessoais - sistemas, planilhas, e-mails, contratos, backups físicos e digitais. Esse levantamento é manual no início e revela surpresas: dados em lugares que ninguém lembrava.
- Classificação por risco: identificar quais dados são mais sensíveis (saúde, finanças, crianças) e quais processos têm maior exposição a vazamento ou uso indevido. Isso define onde investir primeiro.
- Política de privacidade e termos: criar documentos claros sobre o que é coletado, por que e como é protegido. Devem estar acessíveis no site e em contratos. Não precisam ser longos - precisam ser verdadeiros e compreensíveis.
- Controles mínimos de segurança: senha forte obrigatória, autenticação em dois fatores em sistemas críticos, controle de acesso (quem acessa o quê), e backup criptografado com teste periódico de restauração.
- Treinamento da equipe: o maior risco de vazamento em empresas é humano - colaboradores que compartilham dados sem critério, enviam arquivos por WhatsApp ou deixam planilhas abertas. Um treinamento simples de 2 horas reduz esse risco drasticamente.
O que a ANPD já multou
A fiscalização começou pelas empresas maiores - com mais volume de dados e maior impacto potencial. Mas o histórico regulatório brasileiro mostra consistentemente que, ao longo do tempo, as agências ampliam a fiscalização para empresas menores. A ANPD tem competência para fiscalizar qualquer empresa que trate dados pessoais, independentemente do porte.
Quem adequa agora tem vantagem competitiva além da proteção regulatória: pode exibir conformidade em propostas comerciais, em licitações públicas e em contratos com clientes corporativos que já exigem declarações de conformidade LGPD de seus fornecedores. Adequação virou critério de qualificação, não apenas de risco.
LGPD e tecnologia: onde a governança de TI entra
Conformidade LGPD não é só jurídica - é técnica. A maioria dos problemas de proteção de dados em empresas tem origem em decisões de TI: sistemas sem controle de acesso granular, backups sem criptografia armazenados em repositórios públicos, fornecedores de nuvem sem contrato de processamento de dados (DPA - Data Processing Agreement) formalizado. Sem governança de TI, a política de privacidade vira papel sem sustentação técnica.
Um exemplo concreto: muitas empresas adotaram ferramentas de IA generativa (ChatGPT, Gemini, Copilot) sem política definida. Colaboradores inserem dados de clientes, contratos, propostas e informações financeiras nessas ferramentas - sem saber que esses dados podem ser usados para treinamento ou armazenados fora do Brasil. Sem uma política de uso de IA que mencione dado pessoal, a empresa está tratando dados sem base legal adequada e sem controle de onde eles vão. Isso é violação LGPD - silenciosa, mas real.
"A governança de TI é o substrato técnico da conformidade LGPD. Sem ela, a política de privacidade é um documento que descreve intenções - não realidade." - Vetor Advisory