LGPD na empresa: mapa de riscos para a diretoria decidir

Quais riscos da LGPD chegam à diretoria, e em que ordem

Um contrato de grande cliente que não é renovado por falta de prova de adequação costuma custar mais do que a multa de até R$ 50 milhões por infração, número que abre quase toda reunião de diretoria sobre proteção de dados. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) cria quatro frentes de exposição, e a ordem em que elas atingem o caixa nem sempre coincide com a ordem em que assustam.

A primeira é a sanção administrativa aplicada pela ANPD. O art. 52 prevê uma escala: advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e, nos casos mais graves, suspensão parcial ou total do tratamento. A dosimetria, detalhada no regulamento da própria autoridade (Resolução CD/ANPD nº 4/2023), considera gravidade, boa-fé, condição econômica, reincidência e adoção de boas práticas. Esse último critério dá valor concreto à governança em privacidade. O teto brasileiro é menor que o do GDPR europeu, que chega a 4% do faturamento global, mas a ANPD também pode suspender a operação, e isso pesa mais que qualquer multa.

A segunda é a responsabilidade civil. O art. 42 obriga controlador e operador a reparar dano patrimonial, moral, individual ou coletivo, e admite tutela coletiva. Essa frente não depende de a ANPD agir: basta um incidente de segurança com dados de clientes ou empregados para que titulares, associações ou o Ministério Público levem o caso ao Judiciário. Em relações de consumo, aplica-se também o Código de Defesa do Consumidor (Lei nº 8.078/1990), cujo art. 14 prevê responsabilidade objetiva do fornecedor por defeito na prestação do serviço.

A terceira é contratual e raramente aparece nos relatórios de risco. Grandes clientes, bancos e investidores exigem cláusulas de proteção de dados, auditorias e prova de adequação como condição para contratar ou renovar. Quem não comprova controle perde a concorrência ou aceita indenizações pesadas, sem processo e sem notificação. Em uma due diligence jurídica em M&A, falhas no tratamento de dados entram direto na negociação de preço e de garantias.

Onde o risco se concentra

O risco não se distribui de modo uniforme pela empresa. Ele se acumula nas áreas que lidam com dados sensíveis, definidos no art. 5º, II, e protegidos de forma reforçada pelo art. 11: saúde, biometria, origem racial ou étnica, convicção religiosa e filiação sindical. Recursos humanos é o caso mais comum, por reunir atestados médicos, exames admissionais, biometria de ponto e dados de dependentes. Clínicas e operadoras de saúde concentram prontuários. Fintechs e varejistas de crédito tratam dados financeiros e de perfil em escala, e o marketing costuma operar bases compradas ou coletadas sem base legal clara.

Há ainda um ponto cego frequente: fornecedores. Um prestador de folha de pagamento, de nuvem ou de atendimento que sofre um vazamento arrasta o contratante, que responde como controlador. Por isso o mapeamento de dados da própria empresa é o ponto de partida: sem saber quais dados circulam, em quais sistemas e com quais terceiros, nenhuma matriz de risco se sustenta. Cabe ao DPO, o encarregado previsto no art. 41, manter esse inventário atualizado e levar à diretoria os pontos de maior exposição.

A frente reputacional

O dano reputacional é o mais difícil de medir e costuma alimentar as outras três frentes. Um vazamento noticiado reduz a confiança de clientes e dá munição a quem pretende processar ou renegociar contrato. A lei trata o assunto de três formas. O art. 52, IV, autoriza a publicização da infração, de modo que a sanção da ANPD pode virar notícia por determinação da autoridade. O art. 48 exige que o controlador comunique à ANPD e ao titular os incidentes que possam causar risco ou dano relevante, e o prazo regulamentado pela Resolução CD/ANPD nº 15/2024 é de três dias úteis. Já o art. 6º, X, impõe responsabilização e prestação de contas, o que significa documentar as medidas adotadas antes de o problema surgir.

As fontes desse dano são previsíveis: a imprensa, as comunicações de incidentes e as decisões sancionatórias divulgadas pela ANPD, além de ações coletivas propostas pelo Ministério Público ou por associações. Os casos noticiados nos últimos anos, como vazamentos de dados de saúde em redes hospitalares ou de dados cadastrais em varejistas e instituições financeiras, seguem um padrão. A empresa demora a informar, o titular descobre pela imprensa, e a resposta tardia vira o centro da crise. Por isso, a comunicação dentro do prazo e a evidência de boas práticas reduzem o dano à imagem e também melhoram a posição da empresa na dosimetria e na defesa judicial.

Para comparar as frentes sem linguagem jurídica, vale uma leitura inicial de probabilidade e impacto, a ser ajustada caso a caso:

• —Perda ou revisão de contrato: probabilidade alta, impacto alto. É o risco mais frequente e o mais imediato para a receita.
• —Ação civil por dano a titular: probabilidade média, impacto médio a alto, crescente com o número de pessoas afetadas.
• —Sanção da ANPD: probabilidade baixa a média, impacto muito variável, de uma advertência a uma suspensão da atividade.
• —Dano reputacional: probabilidade média, impacto alto, mas de difícil quantificação.

Essa classificação não é universal. Ela muda conforme o volume de dados, a presença de dados sensíveis e o setor de atuação: uma clínica, uma fintech e uma indústria com poucos dados de consumidores terão matrizes diferentes. Tratar a lista acima como resposta pronta é o erro mais comum. Ela serve para organizar a conversa entre CEO e CFO, não para substituir a análise do caso concreto.

Onde o risco se concentra: as áreas que mais expõem a empresa

Pergunte ao diretor de TI onde estão os dados pessoais da empresa e a resposta costuma citar servidores e sistemas. Faça a mesma pergunta ao RH, ao marketing e à cobrança, e cada um apontará uma planilha, uma plataforma ou uma pasta que a TI nunca viu. A exposição à Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se distribui por quatro áreas, e o que as separa é a combinação de volume e sensibilidade. O RH guarda os dados mais delicados, o comercial e o marketing guardam a maior quantidade, o financeiro guarda os de maior valor para fraude, e a TI sustenta e replica tudo isso.

Dados de colaboradores e candidatos (RH)

O RH é a única área que trata, de forma rotineira e em escala, dados sensíveis. Atestados médicos, exames admissionais, afastamentos, informações sobre filiação sindical, biometria no controle de ponto e dados de saúde de dependentes entram nessa categoria, definida no art. 5º, II, da lei. Para eles, a base legal não vem do art. 7º, e sim do art. 11, que é mais restritivo. Um erro de processo aqui pesa mais do que o mesmo erro numa lista de contatos comerciais, e a lista de pessoas afetadas inclui, muitas vezes, menores de idade.

Os candidatos formam o segundo foco, menos visível. Currículos recebidos por e-mail, por plataformas de vagas e por indicação se acumulam em caixas de entrada e em bancos de talentos que ninguém revisa. O dado de quem não foi contratado não deveria ficar guardado por tempo indeterminado, mas é o que acontece quando não existe prazo de retenção definido. O ponto reaparece na análise de compliance trabalhista para empresas em crescimento, já que o passivo de dados cresce junto com o quadro de pessoal. O primeiro passo para controlá-lo é o mapeamento de dados do ciclo do colaborador, da vaga ao desligamento, com a indicação de onde cada informação está, quem acessa e por quanto tempo é mantida.

A diretoria precisa distinguir duas falhas que parecem iguais no relatório de auditoria e têm gravidade muito diferente. A primeira é tratar dados sem base legal (art. 7º): o banco de currículos mantido por anos sem finalidade que o justifique, ou o dado de saúde coletado sem enquadramento no art. 11. O problema está no próprio tratamento, que pode precisar ser interrompido, refeito ou eliminado. A segunda é ter base legal, mas não registrar as operações (art. 37). O tratamento é legítimo, mas a empresa não consegue demonstrá-lo. O registro das operações de tratamento exige inventário, descrição de finalidades e responsáveis, e dá um trabalho de organização relativamente rápido e de custo contido.

A primeira falha atinge o direito do titular e tende a gerar a sanção mais séria. A segunda atinge a capacidade de prova. A ANPD, Autoridade Nacional de Proteção de Dados, tem poder de sanção sobre ambas desde 1º de agosto de 2021, e o art. 52 prevê desde advertência até multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Por isso, a ordem de correção costuma ser: primeiro, cessar o que não tem base; depois, documentar o que tem.

Base de clientes, marketing e cobrança

O CRM é onde o volume se acumula. Cadastros, histórico de compras, interações, listas de contatos importadas de eventos ou adquiridas de terceiros e cookies de navegação alimentam campanhas que raramente passam pelo jurídico antes do disparo. O risco típico é a lista de origem duvidosa: se a empresa não sabe de onde veio o contato nem em que base legal ele foi tratado, cada e-mail enviado amplia a exposição. Quando a operação envolve consumidores, a lei ganha um segundo fundamento. O art. 45 da LGPD submete as violações em relações de consumo à legislação específica, e o Código de Defesa do Consumidor passa a conviver com a lei de dados nas mesmas reclamações.

A cobrança acrescenta outra camada. Ela lida com dados bancários, histórico de inadimplência e, com frequência, empresas terceirizadas que atuam como operador em nome da companhia, que é a controladora e responde pelas instruções dadas. O art. 43 do CDC, que rege bancos de dados e cadastros de consumidores, e o art. 42, que veda a exposição do devedor a constrangimento, já davam base para ações antes da LGPD. Hoje, uma abordagem de cobrança que expõe a dívida a terceiros ou usa contatos obtidos sem finalidade compatível pode ser enquadrada nos dois regimes ao mesmo tempo.

TI, nuvem e ferramentas de IA

A TI não entra nessa lista por tratar muitos dados em nome próprio, e sim por hospedar os dados de todas as outras áreas. Nuvem, controle de acessos e backups concentram o risco de incidente de segurança: permissões que nunca foram revogadas após desligamentos, cópias de segurança que preservam por anos dados já eliminados do sistema principal e ambientes de teste alimentados com bases reais. Nesse ponto, o tratamento deixa de ser só uma questão de política e passa a depender de configuração técnica. É também onde a comunicação à ANPD e aos titulares, prevista no art. 48, se torna inevitável quando algo falha. A regulamentação da ANPD fixa o prazo de três dias úteis para a comunicação de incidentes que possam acarretar risco ou dano relevante, o que exige um plano de resposta ensaiado antes da crise.

O risco emergente é o uso de ferramentas de IA generativa com dados de clientes. Um analista que cola uma planilha de inadimplentes num assistente de texto para "resumir", ou um vendedor que sobe um histórico de e-mails para redigir uma proposta, pode estar compartilhando dados pessoais com terceiros, sem contrato, sem base legal definida e, em alguns casos, com transferência internacional (art. 33). Nenhuma configuração isolada garante conformidade, que depende dos termos do fornecedor, da finalidade, dos dados inseridos e do que a empresa autorizou. Sem uma política interna que diga o que pode e o que não pode entrar nessas ferramentas, a decisão fica na mão de cada colaborador.

Governança, reputação e o que pesa na avaliação externa

O principal risco de governança está no desenho da própria empresa. O RH responde a uma diretoria, o marketing a outra, a cobrança a uma terceira, e cada uma contrata seus fornecedores e escolhe suas ferramentas sem um ponto único de coordenação. A governança em privacidade corrige isso ao reunir inventário, políticas, treinamento e resposta a incidentes sob uma responsabilidade clara. O DPO, nomeado pela LGPD como encarregado (art. 41), faz a ponte com titulares e com a ANPD, mas só consegue atuar se tiver acesso às áreas e apoio da diretoria. Um encarregado nomeado apenas no papel não protege a empresa, e a ausência dessa figura já foi um dos pontos considerados em sanções da própria autoridade.

A frente reputacional costuma custar mais do que a multa. O art. 52, IV, prevê a publicização da infração depois de apurada e confirmada, e o caso se torna notícia com o nome da empresa associado a dados de clientes ou funcionários. A primeira sanção aplicada pela ANPD, em 2023, atingiu uma microempresa que tratou dados sem base legal e sem encarregado indicado, o que mostra que o porte não afasta a fiscalização. O Ministério Público também atua na tutela coletiva de dados pessoais, por meio de inquéritos e ações civis públicas, e pode agir de forma independente da autoridade, inclusive a partir de reclamações de consumidores. Para empresas com clientes ou operações na Europa, o GDPR, regulamento europeu de proteção de dados, pode somar exigências e sanções próprias, já que alcança quem trata dados de pessoas localizadas no território da União Europeia.

Na prática, a conformidade de dados é cada vez mais cobrada de fora para dentro. Investidores, compradores e grandes clientes incluem a privacidade na due diligence jurídica e pedem evidências de inventário, contratos com operadores e histórico de incidentes. A empresa que apresenta o mapeamento atualizado e o registro das operações negocia em posição melhor do que aquela que precisa reconstruí-los sob prazo de fechamento. Os documentos que reduzem o risco perante a ANPD são os mesmos que sustentam a reputação diante do mercado.

Como medir probabilidade e impacto sem depender de achismo

Numa mesma reunião, o RH classifica como baixo o risco de sua base de currículos, a TI classifica como alto o risco do mesmo ambiente, e a diretoria decide pelo argumento mais insistente. Uma matriz preenchida por opinião vira disputa de bastidor. O que encerra essa disputa é trocar impressão por critério, e há quatro fontes de critério objetivo à disposição de qualquer empresa.

A primeira é externa. A ANPD não consegue fiscalizar todo mundo ao mesmo tempo e declara onde pretende concentrar esforços. A Resolução CD/ANPD nº 30/2025 publicou o Mapa de Temas Prioritários para o biênio 2026-2027, que serve de indicador da probabilidade de fiscalização. O uso prático é simples: leia os temas listados na resolução, identifique quais operações da empresa se enquadram em cada um e suba um nível a probabilidade de tudo o que coincidir. O mapa indica tendência, não garantia. Operações fora da lista continuam sujeitas às sanções do art. 52 da LGPD, e a autoridade pode revisar a lista.

A segunda fonte são quatro perguntas sobre a operação, respondidas com sim ou não:

• —A atividade trata dados em alto volume, como a base inteira de clientes ou milhares de currículos?
• —Há dados sensíveis no fluxo, como saúde, biometria, filiação sindical ou origem racial?
• —Existe transferência internacional, o que inclui servidores de nuvem e ferramentas de IA hospedadas fora do país?
• —A área já teve incidente de segurança ou quase-incidente, como um e-mail enviado ao destinatário errado com planilha anexa?

Cada "sim" soma um ponto. Zero ou um ponto indica probabilidade baixa, dois indica média, três ou quatro indica alta. A régua é uma sugestão de método e deve ser calibrada com o encarregado de dados (DPO) e com a área jurídica. Sua virtude é que duas pessoas diferentes chegam ao mesmo número.

Onde o risco costuma se concentrar

Aplicada a empresas reais, a régua tende a apontar as mesmas áreas. O RH acumula currículos, atestados médicos, exames admissionais, dados de dependentes e biometria de ponto, ou seja, o maior volume de dados sensíveis da maioria das organizações. O marketing e o comercial sustentam bases de contatos compradas, importadas de eventos ou herdadas de campanhas antigas, em que a dúvida sobre a base legal costuma ser maior que a documentação disponível. A TI concentra o risco técnico: acessos excessivos, logs sem controle, backups em nuvem e integrações com fornecedores que enxergam mais dados do que precisam.

Há ainda o financeiro e o atendimento, que lidam com dados cadastrais, de crédito e de pagamento, e com gravações de chamadas guardadas por tempo indefinido. Em empresas de saúde, educação e tecnologia, o próprio produto é o ponto de concentração. Em todos esses casos, o mapeamento de dados mostra onde cada categoria está e quem tem acesso, e o registro das operações de tratamento diz qual é a finalidade e a base legal. Sem esses dois documentos, a matriz volta a depender de palpite.

Impacto: titulares, comunicação e contratos

O impacto pede três critérios. O primeiro é o número de titulares afetados, que determina o tamanho da ação coletiva possível, o custo de atendimento e a visibilidade do caso. O segundo é a obrigação de comunicar. O art. 48 da Lei nº 13.709/2018 manda avisar a ANPD e o titular quando o incidente puder acarretar risco ou dano relevante, e a Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis para a comunicação à autoridade. Empresas com operação na Europa convivem com prazo ainda mais curto, de 72 horas, previsto no art. 33 do GDPR. Operação cujo vazamento obrigaria a comunicar tem impacto alto por definição, porque o problema deixa de ser interno.

O terceiro critério é o mais negligenciado: o efeito sobre contratos vigentes. Cláusulas de notificação imediata, auditoria, indenização por vazamento e rescisão por descumprimento transformam um incidente operacional em perda de receita. O financeiro mede isso com uma consulta à carteira: quais contratos têm cláusula de dados e quanto da receita eles representam. O mesmo raciocínio vale para a due diligence jurídica em fusões, aquisições e contratação de fornecedores relevantes, em que o histórico de incidentes e o nível de governança em privacidade da contraparte entram na conta de probabilidade e de impacto.

A frente reputacional: fontes, casos e base legal

O dano reputacional costuma ser tratado como intangível e, por isso, subestimado. Ele pode ser mapeado com as mesmas perguntas objetivas. Quanto do faturamento depende de relação direta com o consumidor? A empresa já aparece em plataformas de reclamação, em órgãos de defesa do consumidor ou na imprensa por causa de dados? Há clientes corporativos que exigem questionários de privacidade antes de renovar? Essas respostas, somadas ao histórico de incidentes, dão uma nota de exposição pública que pode elevar o impacto de uma operação mesmo quando o volume de titulares é pequeno.

A base legal para essa exposição é concreta. O art. 52, IV, da LGPD prevê a publicização da infração após apuração e confirmação, de modo que a sanção da ANPD pode virar notícia. Nas relações de consumo, o art. 45 da LGPD remete ao Código de Defesa do Consumidor, cujo art. 14 estabelece a responsabilidade objetiva do fornecedor por defeito na prestação do serviço, e cujos arts. 81 e 82 autorizam a tutela coletiva. O Ministério Público tem legitimidade para propor ação civil pública (Lei nº 7.347/1985), e o art. 22 da LGPD confirma a defesa coletiva dos interesses dos titulares. Na prática, um único incidente de segurança com base de clientes de varejo, saúde ou educação pode gerar, ao mesmo tempo, processo administrativo na ANPD, inquérito civil, ações individuais e cobertura jornalística.

Priorização e periodicidade

Com probabilidade e impacto numerados, o cruzamento define a prioridade. O desempate entre áreas com a mesma nota costuma ser feito pelo contrato mais exposto, porque é o risco que se materializa sem aviso.

Resta a periodicidade. Uma revisão anual retrata a empresa de doze meses atrás. A matriz deve ser refeita a cada trimestre e, fora do calendário, sempre que surgir um produto novo, um fornecedor novo, uma campanha com base de contatos nova ou um incidente. Qualquer um desses eventos muda pelo menos um dos critérios acima. Também vale reavaliar quando a ANPD atualizar suas prioridades, já que a probabilidade de fiscalização é justamente o critério que depende de fatores externos.

Quais medidas de mitigação reduzem o risco primeiro

Diretoria que aprova a "adequação à LGPD" como um projeto único costuma começar tarde e gastar mais do que precisa. O caminho mais eficiente é aprovar por etapas, começando pelas medidas que atacam os riscos de maior nota na matriz e que exigem mais organização do que investimento. Três frentes cumprem esse papel: saber quais dados a empresa tem, controlar quem os trata em seu nome e estar pronta para agir quando algo falhar.

A primeira é o inventário de dados e o registro das operações de tratamento, exigido pelo art. 37 da Lei nº 13.709/2018. Sem ele, a empresa não sabe responder o que trata, para quê, por quanto tempo e com quem compartilha. Também não consegue pontuar probabilidade e impacto, nem comprovar a base legal de cada operação. Por isso essa é a medida que destrava todas as outras, e a que mais depende de conversa com as áreas e menos de tecnologia.

A segunda é a revisão dos contratos com operadores e fornecedores. O art. 39 coloca sobre o controlador o dever de verificar se o operador segue as instruções recebidas, e isso só se cumpre com cláusula escrita. O contrato precisa definir a finalidade permitida, limitar a subcontratação, prever auditoria, exigir a eliminação ou devolução dos dados ao fim da relação e fixar um prazo curto para o fornecedor avisar a empresa sobre qualquer incidente de segurança. Esse último ponto costuma ser esquecido. Se a empresa tem poucos dias úteis para comunicar a ANPD e o fornecedor só informa semanas depois, a falha contratual vira infração.

A terceira é o plano de resposta a incidentes, que dá forma ao art. 48. O plano deve dizer quem declara o incidente, quem avalia se há risco ou dano relevante, quem redige as comunicações à ANPD e aos titulares, e quem fala com clientes e imprensa. Ele precisa ser testado ao menos uma vez, com um exercício de mesa, porque o primeiro ensaio de um plano nunca deveria ser um vazamento real.

O encarregado de dados (DPO) entra como condição de funcionamento das três frentes. O art. 41 exige sua indicação e a divulgação pública de identidade e contato, normalmente no site. A lei não diz que o encarregado precisa de poder, mas na prática ele não entrega nada sem isso: acesso direto ao conselho ou à diretoria, orçamento próprio, prerrogativa de pedir informações a qualquer área e independência para apontar falhas sem constrangimento. Quando o cargo é acumulado com o de quem define as finalidades do tratamento, como o líder de marketing ou de TI, surge um conflito evidente. Ele pode ser interno ou terceirizado, mas o critério é o mesmo: quem responde pelo conjunto precisa poder enxergá-lo inteiro.

Para a diretoria aprovar a execução, cada medida deve chegar com responsável, prazo e custo. Os valores abaixo são referências de planejamento e variam com o porte e a complexidade da operação:

• —Inventário e registro das operações (art. 37): responsável, o encarregado, com um representante por área. Prazo de referência: 60 a 90 dias para uma primeira versão, com atualização contínua. Custo: baixo a médio, concentrado em horas internas e, se necessário, apoio externo para metodologia.
• —Revisão de contratos com operadores (art. 39): responsável, o jurídico, com apoio de compras e das áreas que contratam. Prazo: 30 a 60 dias para os contratos de maior risco, e o restante conforme os vencimentos. Custo: médio, proporcional ao número de fornecedores que tratam dados pessoais.
• —Plano de resposta a incidentes (art. 48): responsável, a TI de segurança junto com o jurídico e a comunicação. Prazo: 30 a 45 dias para o plano e um exercício de simulação em seguida. Custo: baixo a médio.
• —Designação do encarregado (art. 41): responsável, a diretoria, por ato formal. Prazo: imediato. Custo: depende de o papel ser interno ou contratado.

Há ainda a governança formal. Um programa de boas práticas, previsto no art. 50, reúne políticas, treinamentos, canais de atendimento ao titular e rotinas de revisão. A existência desse programa pesa na dosimetria das sanções, porque o art. 52, § 1º, manda a ANPD considerar a adoção de política de boas práticas e a pronta correção de falhas. Atas, registros de treinamento e relatórios de revisão também funcionam como evidência de boa-fé quando a empresa precisa se explicar a um regulador, a um juiz ou a um investidor.

Esse efeito tem limite claro. O programa mitiga a gravidade da sanção, mas não anula a infração. Uma empresa que tem política impecável e continua tratando dados sem base legal segue exposta, porque o papel não substitui o ajuste do processo. A governança formal só rende quando acompanha mudanças reais na forma como os dados são coletados, usados e descartados.

Com esse desenho, a diretoria aprova por fases. A primeira libera o encarregado, o inventário e o plano de incidentes. A segunda, condicionada aos resultados da primeira, cobre contratos e correção dos tratamentos sem base legal. A terceira consolida o programa de governança. O custo final de cada fase depende do volume de dados, do setor e dos contratos da empresa, e o dimensionamento exige análise do caso concreto.

Privacidade desde a concepção: por que corrigir depois custa mais

Imagine um aplicativo de fidelidade que vai ao ar numa sexta-feira com um cadastro de doze campos, entre eles CPF, data de nascimento e endereço completo, quando a operação só precisa de e-mail e telefone. O fornecedor da plataforma guarda tudo sem prazo de descarte, e qualquer funcionário da área comercial consegue exportar a base inteira. Nada disso é ilegal por si só no primeiro dia. O problema aparece meses depois, quando a empresa tenta corrigir um sistema que já está em uso, com milhares de cadastros dentro dele.

A Lei Geral de Proteção de Dados trata desse ponto no art. 46, § 2º, da Lei nº 13.709/2018. As medidas de segurança e de prevenção devem ser observadas "desde a fase de concepção do produto ou do serviço até a sua execução". A privacidade desde a concepção é, portanto, uma exigência de calendário: a proteção entra na primeira reunião do projeto, e não na revisão final. A ideia de privacidade "por padrão", que o texto da lei não nomeia dessa forma, decorre dos princípios do art. 6º, em especial o da necessidade (inciso III), que limita o tratamento ao mínimo indispensável para a finalidade. Em termos práticos, o produto nasce coletando pouco, guardando por pouco tempo e abrindo o acesso a poucas pessoas.

O tema ganhou espaço no debate empresarial em outubro de 2026, com o conteúdo de marca publicado no Valor Econômico sobre a importância da privacidade desde a concepção. A mensagem converge com o que a diretoria precisa internalizar: o assunto saiu do campo da conformidade e entrou no desenho dos produtos.

O custo de corrigir depois sobe porque a correção deixa de ser uma decisão e vira uma obra. Um campo desnecessário no cadastro, depois do lançamento, exige alterar o formulário e o banco de dados, tratar a base já coletada e, muitas vezes, descobrir que parte dela não tem base legal que a sustente. O contrato com o fornecedor da ferramenta, assinado sem cláusula de retenção, precisa ser renegociado com quem já tem os dados e menos incentivo para ceder. Uma campanha que importou uma lista de contatos de origem incerta pode ter de ser interrompida e refeita. Cada um desses retrabalhos consome horas de TI, jurídico e comercial, e o prejuízo de uma campanha parada não aparece na rubrica de privacidade.

Três decisões de produto mostram a diferença entre prevenir e remendar:

• —Coleta mínima no cadastro. Antes de aprovar o formulário, cada campo precisa responder a uma pergunta: para qual finalidade este dado será usado? Se não há resposta, o campo sai. Quando o dado coletado inclui dados sensíveis, como biometria ou informação de saúde, a base legal passa a ser a do art. 11, mais restritiva, e a decisão merece aval jurídico antes do desenvolvimento.
• —Prazo de retenção definido antes da contratação. A pergunta "por quanto tempo esta ferramenta guarda os dados e como os elimina?" deve ser feita na escolha do fornecedor. O art. 16 prevê a eliminação dos dados após o término do tratamento, e uma ferramenta que não consegue apagar com precisão obriga a empresa a conviver com um passivo que ela mesma não controla.
• —Acessos por função. Perfis de acesso configurados na implantação, com cada área vendo apenas o que precisa, custam pouco. Reconstruir permissões num sistema que já cresceu, e descobrir quem exportou o quê, é trabalho de auditoria. Em caso de incidente de segurança, a empresa também precisa mostrar quem tinha acesso, e é isso que sustenta a resposta à ANPD e aos titulares exigida pelo art. 48.

Isso leva ao orçamento. Incluir privacidade no escopo do projeto significa algumas horas do encarregado de dados (DPO) e do jurídico na fase de desenho, mais um item no briefing do fornecedor. Quando a correção chega por pressão externa, a conta é outra. Uma notificação da ANPD pede explicações, documentos e, quando há falha, um plano de adequação com prazo. A empresa passa a reconstruir sistemas sob o relógio do regulador, e não no ritmo do seu próprio planejamento. É nesse momento que se paga o preço mais alto em horas extras, consultorias emergenciais e projetos paralisados. Não há como cravar valores em abstrato, porque o custo varia com o porte da operação e o volume de dados, mas a lógica de preço é previsível: o mesmo ajuste é mais barato no papel do que no código em produção.

Para a diretoria, o caminho é institucionalizar a pergunta. Nenhum sistema, aplicativo ou campanha que trate dados pessoais deve ser aprovado sem passar por uma revisão curta de privacidade, que cheque finalidade, volume, retenção, acessos e operador e controlador envolvidos. A revisão alimenta o mapeamento de dados e o registro das operações de tratamento exigido pelo art. 37, e transforma a governança em privacidade em rotina de projeto. A aplicação desses critérios varia conforme o setor e a operação, e os casos mais sensíveis pedem análise especializada antes do lançamento.

Quando contratar um advogado para montar o mapa de riscos

O questionário de segurança e privacidade chega por e-mail, enviado pelo maior cliente da carteira, com prazo de resposta e a pergunta sobre quem é o encarregado de dados. Quem responde "estamos organizando isso" costuma descobrir que a renovação do contrato depende de uma resposta melhor. Esse é um dos momentos em que a consultoria jurídica deixa de ser uma opção de planejamento e passa a ser uma necessidade de negócio.

Quatro sinais indicam que a empresa passou desse ponto:

• —Tratamento de dados sensíveis. Saúde, biometria, origem racial ou étnica e filiação sindical exigem base legal própria, a do art. 11 da Lei Geral de Proteção de Dados, e o enquadramento errado vicia o tratamento inteiro.
• —Incidente em andamento. Com um incidente de segurança aberto, cada decisão sobre comunicar, quando e a quem tem consequência jurídica.
• —Notificação ou pedido de informações da ANPD. A resposta formal à autoridade entra no processo e pesa na dosimetria prevista no art. 52.
• —Cláusulas de dados exigidas por cliente ou investidor. Auditoria, indenização por vazamento e rescisão por descumprimento são obrigações contratuais que a empresa assume por assinatura, e não por opinião.

O incidente em andamento é o caso em que o tempo pesa mais. O regulamento da autoridade fixa três dias úteis para a comunicação à ANPD quando o evento puder causar risco ou dano relevante aos titulares, e a avaliação sobre esse enquadramento é, em essência, uma decisão jurídica. Quem a toma sozinho dentro da TI tende a subestimar o risco ou a comunicar de forma que depois contradiz os fatos. O advogado também orienta a preservação de evidências, a redação das comunicações e a coerência entre o que se diz à ANPD, aos titulares e aos clientes contratantes.

Já a notificação da autoridade tem outra dinâmica: a empresa responde por escrito, com documentos, e o que entrega vira a base da avaliação sobre gravidade, boa-fé e boas práticas. Entregar um conjunto de papéis sem estratégia costuma ser pior do que pedir apoio antes. A resposta precisa mostrar o que a empresa fez, o que corrigiu e em que prazo, e isso se constrói com cuidado jurídico desde o primeiro ofício.

Há ainda o caso do investidor, que aparece com frequência em rodadas de captação e vendas de participação. Falhas no tratamento de dados entram na negociação de preço e de garantias, como acontece numa due diligence jurídica em M&A. A empresa que chega com a matriz de riscos pronta negocia em posição melhor do que a que tenta organizar documentos durante o processo.

Para avaliar o risco, o advogado precisa receber quatro conjuntos de material:

• —O inventário de dados, ou o que existir dele, com o registro das operações de tratamento do art. 37. Mesmo uma planilha incompleta já mostra onde a empresa não sabe responder.
• —Os contratos com operadores e fornecedores que tratam dados pessoais, para checar finalidade, subcontratação, auditoria, eliminação dos dados e prazo de aviso em caso de falha. É a leitura que define quem responde por quê na relação entre operador e controlador.
• —A política de privacidade publicada, que será confrontada com o que a empresa de fato faz. A divergência entre o que o site promete e o que o CRM executa é um risco em si.
• —O histórico de incidentes, incluindo quase-incidentes e reclamações de titulares. Esse material alimenta o critério de probabilidade da matriz e mostra se a empresa aprendeu com os episódios anteriores.

Quanto mais organizado o material, mais rápido e mais barato o diagnóstico. Mas a ausência de alguns itens não deve atrasar o contato. Falta de inventário, por exemplo, é um achado que o próprio advogado registra, e a partir dele o trabalho de mapeamento de dados pode ser estruturado em etapas.

Um alerta sobre este artigo: a matriz, os critérios e os prazos de referência apresentados servem para organizar a conversa na diretoria, não para fechar um diagnóstico. A aplicação da lei varia conforme o setor e a operação. Saúde, serviços financeiros, educação e varejo digital têm exposições e regulações paralelas diferentes, e a mesma prática pode ser aceitável numa empresa e problemática em outra. Só a análise do caso concreto, feita por quem examina contratos, fluxos e documentos, sustenta uma decisão de investimento em adequação, de resposta a uma notificação ou de negociação com um cliente. Para quem precisa sair do papel e montar essa avaliação, o Almeida Arantes Advogados atende presencialmente em Campinas/SP e remotamente em todo o Brasil.