Direito Consultivo
Adequação à LGPD
A adequação à LGPD tornou-se obrigação essencial para empresas de todos os portes e setores que tratam dados pessoais em suas operações. A Lei Geral de Proteção de Dados (Lei 13.709/2018) impõe uma série de deveres relacionados à coleta, ao armazenamento, ao compartilhamento e à eliminação de dados pessoais, com sanções que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. O Lopes & Nono Advogados presta consultoria completa em privacidade e proteção de dados, ajudando empresas a estruturar governança de dados robusta e a reduzir riscos regulatórios e reputacionais.
1. O que exige a Lei Geral de Proteção de Dados
A LGPD estabelece que toda coleta e todo tratamento de dados pessoais devem observar uma base legal específica (art. 7º e 11), princípios como finalidade, necessidade e transparência (art. 6º), e direitos dos titulares, como acesso, correção, portabilidade e eliminação de dados (art. 18). A lei também exige a adoção de medidas técnicas e administrativas de segurança da informação (art. 46) e, em determinados casos, a nomeação de um encarregado de proteção de dados (DPO), conforme art. 41.
A Autoridade Nacional de Proteção de Dados (ANPD), criada pela própria LGPD, é responsável pela fiscalização, pela edição de normas complementares e pela aplicação de sanções administrativas em caso de descumprimento.
2. Quando a empresa precisa de adequação à LGPD
Ao tratar dados pessoais de clientes, colaboradores, fornecedores ou usuários de plataformas digitais;
Antes de lançar novos produtos digitais, aplicativos ou sistemas que envolvam coleta de dados;
Na contratação de fornecedores de tecnologia, especialmente serviços de nuvem e processamento de dados por terceiros (operadores);
Após incidentes de segurança envolvendo vazamento ou acesso não autorizado a dados pessoais, que exigem comunicação à ANPD e aos titulares (art. 48);
Em operações de M&A, como parte da due diligence de conformidade da empresa-alvo.
3. Etapas de um programa de adequação
Um programa de adequação à LGPD costuma envolver: (i) mapeamento de dados (data mapping), identificando quais dados são coletados, com que finalidade e onde são armazenados; (ii) definição das bases legais aplicáveis a cada tratamento; (iii) elaboração ou revisão de políticas de privacidade, avisos de cookies e termos de uso; (iv) estruturação de processos para atendimento a requisições de titulares; (v) revisão de contratos com operadores e fornecedores, incluindo cláusulas específicas de proteção de dados; e (vi) elaboração de plano de resposta a incidentes de segurança.
Empresas que tratam dados em maior volume ou risco também costumam realizar Relatórios de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsto no art. 38 da LGPD, especialmente para tratamentos baseados em legítimo interesse ou que envolvam dados sensíveis (art. 11).
4. Interseção com outras normas
A LGPD dialoga com o Marco Civil da Internet (Lei 12.965/2014), que já estabelecia deveres de guarda de registros e proteção de dados por provedores de aplicação e conexão, e com o Código de Defesa do Consumidor (Lei 8.078/1990), no que se refere à transparência e à responsabilidade por danos causados a consumidores em razão de tratamento indevido de dados. Em setores regulados, normas específicas do Banco Central, da ANS ou de outras agências também podem impor exigências adicionais de proteção de dados.
5. Como o Lopes & Nono Advogados apoia a adequação
Realizamos diagnóstico de maturidade em privacidade, mapeamento de dados, elaboração de políticas e contratos adequados à LGPD, apoio na estruturação do papel do encarregado de dados e treinamento de equipes. Também prestamos suporte em caso de incidentes de segurança, orientando sobre os prazos e a forma de comunicação exigidos pela ANPD, e representamos empresas em eventuais processos administrativos perante a Autoridade.
A adequação à LGPD não se resume à publicação de uma política de privacidade no site: sem mapeamento real dos dados tratados e sem controles internos efetivos, a empresa permanece exposta a fiscalização e a ações indenizatórias.
Atenção
Incidentes de segurança envolvendo dados pessoais devem ser comunicados à ANPD e aos titulares afetados em prazo razoável, conforme o art. 48 da LGPD. A ausência ou o atraso na comunicação pode agravar eventual sanção administrativa.