Existe uma forma de adequação à LGPD que funciona muito bem em apresentações, propostas comerciais e pastas de auditoria, mas falha justamente quando é colocada à prova. É a adequação de vitrine.

Nela, a empresa possui política de privacidade, cláusulas contratuais, banner de cookies e um canal para contato com o encarregado. Tudo parece organizado. Porém, os dados continuam espalhados por planilhas, contas antigas permanecem ativas, fornecedores são contratados sem avaliação e ninguém sabe explicar com precisão por que determinadas informações ainda estão armazenadas.

O problema não é a falta de documentos. É a ausência de ligação entre os documentos, as decisões e a rotina da empresa.

A LGPD não exige apenas que a organização diga que protege dados pessoais. Ela exige que a organização consiga demonstrar como essa proteção acontece. Isso muda completamente a lógica de um projeto de adequação.

A pergunta deixa de ser: “Quais documentos precisamos criar?”

E passa a ser: “Quais riscos existem em nossos processos e o que estamos fazendo para controlá-los?”

1. A política de privacidade que não saiu do papel

O primeiro erro é também um dos mais frequentes: tratar a criação de documentos como sinônimo de adequação.

Políticas, termos, procedimentos e avisos são necessários. No entanto, eles precisam refletir o funcionamento real da empresa.

Considere uma organização que afirma eliminar dados após o encerramento da finalidade. Na prática, porém, ela não possui prazos de retenção, não controla cópias locais e mantém contas de antigos colaboradores ativas. A declaração existe. O processo, não.

Documentos genéricos criam outro problema: podem descrever práticas que a empresa não realiza ou deixar de mencionar atividades relevantes. Isso acontece com frequência quando modelos prontos são copiados sem uma análise dos processos internos.

Sinais de que esse erro está acontecendo

• A política não é revisada há anos.
• As equipes desconhecem os procedimentos publicados.
• O documento menciona sistemas ou operações que não existem.
• Não há evidências de que as regras são aplicadas.
• Cada área explica o tratamento de dados de uma maneira diferente.

Uma boa política não deve parecer um texto criado para satisfazer uma obrigação. Ela deve funcionar como o registro de decisões que já foram analisadas, aprovadas e incorporadas à rotina.

2. A empresa não sabe onde estão os dados

A segunda falha aparece quando alguém faz uma pergunta simples: Quais dados pessoais sua empresa possui?

A resposta costuma começar bem e terminar em névoa. Há informações no sistema de gestão, no CRM, nas caixas de e-mail, em pastas compartilhadas, em serviços de armazenamento, em celulares corporativos e em arquivos físicos. Parte dos dados está com fornecedores. Outra parte permanece em planilhas criadas para resolver necessidades temporárias que se tornaram permanentes.

Sem um inventário, a organização enxerga apenas fragmentos.

Um mapeamento de dados deve permitir que a empresa compreenda, pelo menos:

Esse levantamento não deve ser uma fotografia esquecida em uma pasta. Um novo sistema, fornecedor, produto ou canal de atendimento pode alterar completamente o fluxo de informações.

O inventário precisa acompanhar o negócio. Caso contrário, nasce atualizado e envelhece depressa.

3. Consentimento para tudo

“Vamos inserir uma caixa de consentimento.”

A frase costuma aparecer como solução imediata para qualquer dúvida sobre o uso de dados pessoais. O problema é que o consentimento não é um curinga jurídico.

A LGPD prevê diferentes hipóteses para o tratamento de dados. Dependendo do contexto, uma atividade pode decorrer da execução de contrato, do cumprimento de obrigação legal, do exercício regular de direitos, da proteção do crédito ou de outra base prevista na legislação.

Escolher o consentimento sem necessidade pode criar uma estrutura frágil. O titular pode revogá-lo, e a empresa precisa comprovar que a manifestação foi livre, informada, inequívoca e relacionada a finalidades determinadas. Autorizações genéricas também não resolvem o problema.

Uma frase como “aceito o uso dos meus dados para todos os fins” diz muito pouco sobre o que realmente acontecerá com aquelas informações.

A análise correta precisa considerar cada atividade:

• Para que o dado será utilizado?
• O tratamento é realmente necessário?
• Qual hipótese legal sustenta essa finalidade?
• O titular possui expectativas razoáveis sobre esse uso?
• Quais riscos e salvaguardas estão envolvidos?

A base legal não deve ser escolhida apenas porque parece conveniente. Ela precisa ser coerente com o processo e sustentada por uma justificativa documentada.

4. Coletar dados “porque podem ser úteis”

Formulários corporativos acumulam campos como gavetas acumulam objetos esquecidos.

Data de nascimento, estado civil, endereço completo, número de documentos e outras informações são solicitados porque o formulário sempre foi assim ou porque alguém acredita que os dados poderão ser úteis no futuro.

Esse comportamento entra em conflito com o princípio da necessidade, que limita o tratamento ao mínimo necessário para alcançar a finalidade pretendida.

Além da questão jurídica, existe uma lógica simples de risco:

Quanto mais dados a empresa acumula, mais dados precisa localizar, proteger, atualizar e eliminar.

Uma revisão de formulários costuma revelar campos que não alimentam nenhuma decisão, não são utilizados por nenhum sistema e não possuem uma finalidade clara.

Antes de manter uma coleta, vale fazer três perguntas:

1. O que deixaria de funcionar sem essa informação?
2. Quem utiliza esse dado e para qual decisão?
3. Existe uma maneira menos invasiva de atingir o mesmo objetivo?

Quando ninguém consegue responder, o campo provavelmente não deveria estar ali.

5. O arquivo eterno

Outro erro comum é guardar dados por tempo indeterminado.

Currículos recebidos há muitos anos, gravações antigas, cadastros inativos, documentos de ex-colaboradores e listas de contatos permanecem armazenados sob uma justificativa vaga: “podemos precisar no futuro”.

O resultado é um grande estoque de informações sem finalidade atual.

Nem todos os dados devem ser eliminados imediatamente. Obrigações legais, contratos e o exercício regular de direitos podem justificar determinados períodos de retenção. O problema é não possuir qualquer critério.

Uma política de retenção precisa estabelecer:

• quais categorias de dados são mantidas;
• qual evento inicia a contagem do prazo;
• por quanto tempo cada categoria permanece armazenada;
• quais exceções legais ou contratuais existem;
• quem autoriza a eliminação;
• como o descarte deve ser realizado.

Também é necessário considerar cópias, anexos, arquivos físicos e backups. Excluir um documento da área de trabalho não significa que ele deixou de existir em toda a organização.

6. O fornecedor entra. A análise de risco fica do lado de fora.

Poucas empresas tratam todos os dados exclusivamente em seus próprios ambientes.

Sistemas de folha de pagamento, plataformas de marketing, serviços de nuvem, ferramentas de recrutamento, empresas de contabilidade e operadores logísticos podem ter acesso a informações pessoais.

Mesmo assim, muitos fornecedores são contratados sem uma avaliação mínima de privacidade e segurança.

A análise costuma se concentrar em três pontos:

• preço;
• funcionalidades;
• prazo de implantação.

Questões fundamentais aparecem apenas depois da assinatura: onde os dados serão armazenados? Existem subcontratados? Quem pode acessá-los? Como um incidente será comunicado? O que acontece com as informações após o encerramento do contrato?

Nem todo fornecedor exige o mesmo nível de diligência. Uma plataforma que processa dados financeiros, biométricos ou de saúde apresenta riscos diferentes de um prestador sem acesso a informações pessoais.

Por isso, a avaliação deve ser proporcional à criticidade do serviço e à natureza dos dados envolvidos.

O contrato também precisa sair do território das frases genéricas. Responsabilidades, medidas de segurança, cooperação no atendimento aos titulares, comunicação de incidentes e eliminação dos dados devem estar claramente definidas.

7. O banner de cookies virou decoração

O banner de cookies é uma das partes mais visíveis de um projeto de adequação. Talvez por isso receba uma importância desproporcional.

Há sites que exibem botões de escolha enquanto ativam tecnologias de rastreamento antes de qualquer interação. Outros oferecem um grande botão para aceitar e escondem a recusa em diversas telas.

Também existem banners que mencionam categorias de cookies que não correspondem ao comportamento técnico da página.

O problema não está apenas no texto. Está na diferença entre o aviso e o que o site realmente faz.

Um trabalho consistente começa com a identificação das tecnologias utilizadas:

• quais cookies e rastreadores são ativados;
• qual é a finalidade de cada um;
• quanto tempo permanecem ativos;
• quais terceiros recebem informações;
• quais tecnologias são necessárias;
• quais dependem de uma escolha do usuário.

O jurídico pode produzir uma redação impecável, mas não consegue corrigir sozinho uma implementação técnica inadequada. Privacidade, marketing e tecnologia precisam conversar.

8. Segurança da informação tratada como assunto separado

A LGPD não vive apenas no departamento jurídico.

Um documento não impede o envio de uma planilha ao destinatário errado. Uma cláusula contratual não desativa a conta de um ex-funcionário. Uma política não bloqueia uma senha compartilhada entre cinco pessoas.

A lei exige medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados, perda, destruição, alteração, comunicação ou outras formas de tratamento inadequado.

Na prática, isso pode envolver controles como:

• autenticação multifator;
• revisão periódica de acessos;
• cópias de segurança;
• atualização de sistemas;
• proteção de dispositivos;
• registros de eventos;
• gestão de vulnerabilidades;
• plano de resposta a incidentes.

A ANPD disponibiliza um guia e um checklist de segurança voltados a agentes de tratamento de pequeno porte, reforçando que organizações menores também precisam adotar medidas compatíveis com seus riscos e recursos.

Não existe conformidade jurídica sustentável sem segurança da informação. As duas disciplinas são engrenagens da mesma máquina.

9. Treinar uma vez e esquecer pelo resto do ano

Grande parte dos incidentes começa em situações comuns: um clique apressado, um arquivo enviado ao contato errado, uma senha reutilizada ou uma informação compartilhada sem necessidade.

Por isso, entregar uma apresentação anual e coletar assinaturas não é suficiente.

A conscientização precisa dialogar com a rotina de cada equipe. O RH enfrenta riscos diferentes dos encontrados pelo marketing, pelo financeiro ou pelo atendimento.

Um programa mais eficaz combina diferentes formatos:

• orientações no processo de integração;
• conteúdos curtos e frequentes;
• exemplos relacionados ao trabalho;
• simulações de situações reais;
• canais simples para tirar dúvidas;
• reforços após mudanças ou incidentes.

O objetivo não é transformar todos os colaboradores em especialistas jurídicos. É ajudá-los a reconhecer riscos e saber o que fazer quando algo parecer errado.

Uma cultura de privacidade não nasce de um treinamento. Ela é construída pela repetição de comportamentos corretos.

10. Lembrar da LGPD apenas quando algo dá errado

O último erro reúne todos os anteriores: tratar privacidade de forma reativa.

A empresa só procura o encarregado quando recebe uma solicitação. Só revisa o fornecedor depois de um incidente. Só atualiza a política quando um cliente exige evidências de conformidade.

Quando a LGPD aparece apenas em situações de urgência, cada demanda vira um pequeno incêndio corporativo.

A governança precisa definir responsabilidades, fluxos de aprovação e critérios de acompanhamento. Isso inclui saber:

• quem decide sobre novos tratamentos;
• quem avalia riscos;
• quem mantém os registros;
• quem responde aos titulares;
• quem coordena incidentes;
• quem reporta resultados à liderança.

A ANPD publicou regulamentações específicas sobre temas como a atuação do encarregado e a comunicação de incidentes de segurança, o que reforça a necessidade de processos claros e responsabilidades formalmente estabelecidas.

Privacidade não deve aparecer apenas depois que o problema aconteceu. Ela precisa participar das decisões antes que novos riscos sejam introduzidos.

Um retrato rápido dos principais riscos

A empresa precisa estar 100% adequada?

A adequação à LGPD não deve ser enxergada como um selo mágico de “100% concluído”.

Processos mudam. Sistemas são substituídos. Novos fornecedores entram. Produtos são lançados. A legislação e a regulamentação evoluem.

Por isso, a conformidade funciona melhor como um ciclo: diagnosticar, priorizar, corrigir, documentar, acompanhar e revisar.

O ponto de partida não é tentar resolver tudo ao mesmo tempo. É compreender quais riscos são mais relevantes para o negócio e construir um plano realista para tratá-los.

Uma empresa que conhece suas lacunas e executa um plano consistente está em uma posição muito melhor do que outra que possui uma pasta cheia de documentos, mas não sabe explicar seus próprios processos.

Descubra onde estão os riscos da sua empresa

Sua organização sabe quais dados pessoais trata, onde eles estão armazenados e quais riscos jurídicos precisam ser priorizados?

O Legal Assessment LGPD da Athena Security avalia o nível de aderência da empresa à legislação, identifica vulnerabilidades jurídicas e operacionais e transforma o diagnóstico em um plano de adequação claro e aplicável.

A análise ajuda sua empresa a sair das ações isoladas e construir uma jornada estruturada de conformidade, considerando processos, documentos, fornecedores, bases legais, governança e segurança da informação.

Não espere uma solicitação de titular, uma exigência contratual ou um incidente revelar as falhas do seu programa de privacidade.

Fale com a Athena Security e solicite um Legal Assessment LGPD. Identifique os riscos, defina prioridades e avance com um plano de adequação alinhado à realidade da sua empresa.