LGPD para empresas: 7 primeiros passos para organizar a proteção de dados

Empresas tratam dados pessoais diariamente, mesmo quando essa não é sua atividade principal.

Nomes, telefones, documentos, currículos, registros de funcionários, dados financeiros e informações de clientes são alguns exemplos.

A adequação à Lei Geral de Proteção de Dados (LGPD) não deve ser limitada à publicação de uma política de privacidade. Ela envolve processos internos, contratos, sistemas, responsabilidades e medidas de segurança.

Confira sete passos importantes para iniciar a adequação da sua empresa à LGPD.

1. Mapear os dados utilizados pela empresa

O primeiro passo é identificar quais dados pessoais são tratados pela organização e como essas informações circulam entre os diferentes setores.

Esse levantamento deve considerar:

• Quais dados pessoais são coletados;
• De quem são esses dados;
• Por qual motivo são utilizados;
• Onde ficam armazenados;
• Quem possui acesso às informações;
• Com quem os dados são compartilhados;
• Por quanto tempo são mantidos;
• Como ocorre sua eliminação.

Esse mapeamento ajuda a empresa a compreender o fluxo das informações e identificar situações que exigem maior atenção.

2. Identificar as finalidades e bases legais

A empresa deve entender por que utiliza cada categoria de dado pessoal e qual fundamento jurídico autoriza o tratamento.

Nem todo tratamento de dados depende de consentimento. A LGPD prevê diferentes bases legais, que devem ser analisadas conforme a finalidade e o contexto de cada operação.

Entre as hipóteses previstas na legislação estão o cumprimento de obrigação legal ou regulatória, a execução de contratos, o legítimo interesse nas condições estabelecidas em lei e o consentimento do titular.

Utilizar consentimento de maneira automática, sem avaliar outras possibilidades, pode criar dificuldades de gestão e documentação.

Por isso, é importante que cada atividade de tratamento tenha uma finalidade definida e uma base legal adequada.

3. Definir responsabilidades internas

A proteção de dados pessoais envolve diferentes áreas da empresa, como recursos humanos, financeiro, marketing, tecnologia, atendimento e gestão administrativa.

É importante estabelecer quais setores, gestores e fornecedores participam das decisões relacionadas ao tratamento de dados.

Também deve ser avaliado o papel da empresa em cada operação, inclusive quando atua como controladora ou operadora de dados pessoais.

A definição dessas responsabilidades facilita:

• A organização dos processos internos;
• O controle sobre o acesso às informações;
• O atendimento às solicitações dos titulares;
• A comunicação entre os departamentos;
• A tomada de decisões em situações de risco;
• A identificação de responsáveis por cada atividade.

Uma estrutura bem definida contribui para que a proteção de dados não dependa exclusivamente de ações isoladas de colaboradores.

4. Revisar avisos e políticas de privacidade

As informações fornecidas aos titulares devem ser claras, acessíveis e compatíveis com o que realmente acontece na operação.

Uma política de privacidade copiada de outra empresa pode mencionar ferramentas, finalidades ou procedimentos que não correspondem à realidade do negócio.

Por isso, devem ser avaliados documentos e canais como:

• Política de privacidade do site;
• Formulários de contato e cadastro;
• Plataformas de atendimento;
• Sistemas internos;
• Documentos utilizados com colaboradores;
• Contratos com clientes e fornecedores;
• Avisos sobre o tratamento de dados pessoais.

A comunicação deve permitir que os titulares compreendam como suas informações são utilizadas e quais direitos podem exercer.

5. Revisar contratos com fornecedores

Empresas de tecnologia, contabilidade, marketing, armazenamento, recrutamento e gestão de pessoas podem ter acesso a dados pessoais durante a prestação de seus serviços.

Essa relação exige atenção às responsabilidades de cada participante.

Os contratos devem ser avaliados considerando:

• Finalidade do acesso aos dados;
• Responsabilidades das partes;
• Medidas de segurança adotadas;
• Obrigações de confidencialidade;
• Compartilhamento com terceiros;
• Procedimentos em caso de incidentes;
• Devolução ou eliminação dos dados ao término da relação, quando aplicável.

A revisão contratual contribui para estabelecer critérios de proteção das informações e reduzir dúvidas sobre as obrigações de cada empresa.

6. Implementar medidas de segurança da informação

A segurança da informação deve considerar o porte da empresa, o tipo de atividade desenvolvida e os riscos existentes.

Não é necessário que todas as organizações utilizem estruturas tecnológicas complexas. Entretanto, é fundamental adotar medidas proporcionais à realidade da operação.

Algumas práticas importantes incluem:

• Controle de acessos aos sistemas;
• Utilização de senhas fortes;
• Autenticação em dois fatores;
• Atualização periódica de sistemas;
• Realização de cópias de segurança;
• Orientação e treinamento dos colaboradores;
• Restrição de permissões desnecessárias;
• Procedimentos para desligamento de funcionários;
• Cuidados com o envio e armazenamento de documentos.

Além das ferramentas tecnológicas, a empresa deve desenvolver uma cultura interna de proteção das informações.

Colaboradores precisam compreender os riscos associados ao compartilhamento indevido de dados e à utilização inadequada de sistemas e documentos.

7. Preparar procedimentos para solicitações e incidentes

A empresa deve saber como responder quando um titular solicita informações sobre seus dados pessoais.

Também precisa estabelecer procedimentos para situações como:

• Perda ou roubo de dispositivos;
• Acesso indevido a sistemas;
• Envio de informações ao destinatário errado;
• Compartilhamento não autorizado de documentos;
• Ataques cibernéticos;
• Exposição acidental de dados pessoais.

Ter procedimentos previamente definidos facilita a identificação do problema, a avaliação dos riscos e a adoção das medidas necessárias.

Dependendo das características do incidente e dos riscos envolvidos, podem existir obrigações de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, conforme a regulamentação aplicável.

Empresas pequenas também precisam observar a LGPD?

Sim. A legislação de proteção de dados também se aplica a pequenas e médias empresas que realizam tratamento de dados pessoais.

A LGPD e as normas da ANPD preveem algumas flexibilizações para determinados agentes de tratamento de pequeno porte.

Entretanto, essas flexibilizações não representam uma dispensa geral do cumprimento da legislação.

A empresa continua responsável por respeitar os direitos dos titulares e adotar medidas compatíveis com os riscos de suas atividades.

O nível de estruturação deve considerar a natureza, a finalidade e a complexidade das operações realizadas.

Conclusão

A adequação à LGPD deve ser encarada como um processo contínuo de organização, prevenção e melhoria das práticas internas.

Começar pelo mapeamento dos dados e pela definição de responsabilidades permite que a empresa estabeleça prioridades e implemente medidas proporcionais à sua realidade.

Mais do que cumprir uma exigência legal, a proteção de dados contribui para relações empresariais mais transparentes, organizadas e responsáveis.

Este conteúdo possui caráter informativo e não representa um diagnóstico de conformidade da sua empresa. A adequação à LGPD exige análise individualizada das atividades de tratamento de dados e da legislação aplicável.