A LGPD para empresas deixou de ser um assunto “para depois”. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) está em vigor desde 2020, as sanções podem ser aplicadas desde agosto de 2021 e, em 2026, a Autoridade Nacional de Proteção de Dados (ANPD) foi transformada em agência reguladora, com mais estrutura para fiscalizar. Em outras palavras: a adequação à LGPD agora é parte da gestão de qualquer negócio que lida com dados de clientes, colaboradores ou fornecedores.
Neste guia, explicamos em linguagem simples o que a lei exige, quem precisa cumprir, qual o papel do encarregado de dados e um passo a passo prático para começar (ou revisar) a adequação da sua empresa.
O que é a LGPD e quem deve cumprir
A LGPD regula o tratamento de dados pessoais, ou seja, qualquer operação com informações que identificam ou podem identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, imagem de câmera, histórico de compras. Coletar, armazenar, consultar, compartilhar e excluir são formas de tratamento.
A resposta à pergunta “minha empresa precisa se adequar à LGPD?” é quase sempre sim. A lei vale para empresas de todos os portes, inclusive microempresas e MEIs, sempre que tratam dados de pessoas físicas com fins econômicos. O que muda é o nível de exigência.
Alguns conceitos essenciais:
- Titular: a pessoa a quem os dados se referem.
- Controlador: quem decide como e por que os dados são tratados (normalmente, a sua empresa).
- Operador: quem trata dados em nome do controlador, como um fornecedor de software, contabilidade ou serviço de nuvem.
- Dados pessoais sensíveis: origem racial ou étnica, religião, opinião política, saúde, vida sexual, dados genéticos ou biométricos, entre outros, que exigem cuidado redobrado.
As bases legais: quando a empresa pode usar dados
Todo tratamento precisa de uma justificativa prevista na lei, chamada de base legal. O artigo 7º da LGPD lista dez hipóteses. As mais usadas pelas empresas são:
| Base legal | Exemplo prático |
|---|---|
| Execução de contrato | Usar o endereço do cliente para entregar um produto |
| Cumprimento de obrigação legal | Guardar dados de colaboradores exigidos pela legislação trabalhista |
| Legítimo interesse | Enviar comunicações relevantes a clientes atuais, respeitando suas expectativas |
| Consentimento | Cadastro em newsletter ou uso de cookies não essenciais |
| Proteção do crédito | Consultas a birôs de crédito antes de uma venda a prazo |
Um erro comum é achar que tudo depende de consentimento. Na prática, o consentimento na LGPD é apenas uma das bases e, muitas vezes, não é a mais adequada.
Encarregado de dados (DPO): é obrigatório?
O encarregado pelo tratamento de dados pessoais é a pessoa (ou empresa) que faz a ponte entre a organização, os titulares e a ANPD. A Resolução CD/ANPD nº 18/2024 detalhou como ele deve ser indicado: por ato formal, escrito, datado e assinado, com autonomia técnica, e com seu contato divulgado de forma clara, por exemplo no site da empresa.
Para quem pergunta se o DPO é obrigatório, a regra geral é sim. A exceção está na Resolução CD/ANPD nº 2/2022: agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups, podem ser dispensados de indicar encarregado, desde que mantenham um canal de comunicação com os titulares e não realizem tratamento de alto risco. Muitas empresas optam pelo DPO terceirizado, que reúne conhecimento jurídico e técnico sem a necessidade de contratar um profissional exclusivo.
Passo a passo para adequar sua empresa à LGPD
1. Mapeie os dados pessoais
O mapeamento de dados pessoais (ou inventário de dados) responde a perguntas como: quais dados coletamos, de quem, para quê, onde ficam guardados, quem acessa e com quem compartilhamos. Esse levantamento alimenta o registro das operações de tratamento exigido pela lei.
2. Defina as bases legais e elimine excessos
Para cada finalidade, identifique a base legal. Dados sem finalidade clara devem deixar de ser coletados ou ser descartados com segurança.
3. Revise documentos e contratos
Atualize a política de privacidade, avisos de cookies, termos de uso e contratos com fornecedores que tratam dados em nome da empresa. Os contratos com fornecedores na LGPD devem prever responsabilidades e medidas de segurança.
4. Prepare-se para atender os titulares
Os direitos dos titulares na LGPD incluem confirmar se a empresa trata seus dados, acessar, corrigir, pedir exclusão e saber com quem foram compartilhados. Tenha um canal e um procedimento interno para responder a esses pedidos.
5. Reforce a segurança da informação
O artigo 46 da LGPD exige medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, perdas e vazamentos. Aqui, a LGPD e a TI caminham juntas: controle de acesso, firewall, backup, atualizações, criptografia e monitoramento são parte da adequação, não um projeto à parte. Isso vale também para a LGPD na nuvem: o provedor escolhido deve oferecer controles de segurança compatíveis.
6. Avalie riscos e documente
Para tratamentos de alto risco, elabore o relatório de impacto à proteção de dados (RIPD). Documentar decisões é a melhor forma de demonstrar boa-fé em uma eventual fiscalização.
7. Treine as pessoas e tenha um plano de incidentes
Boa parte dos incidentes começa com um clique errado ou um arquivo enviado para a pessoa errada. Treinamento periódico e um plano de resposta a incidentes, com prazos de comunicação à ANPD, completam o ciclo.
O que mudou com a ANPD agência reguladora
A Lei nº 15.352/2026 transformou a ANPD em agência reguladora, com autonomia administrativa e financeira e a criação de 200 cargos de especialista em regulação e proteção de dados. Na prática, isso sinaliza uma fiscalização mais estruturada nos próximos anos. A autoridade também já publicou regulamentos importantes, como os de dosimetria de sanções, comunicação de incidentes e atuação do encarregado, que orientam o que se espera das empresas.
Perguntas frequentes
A LGPD vale para pequenas empresas e MEI?
Sim. A LGPD para pequenas empresas tem regras simplificadas, como prazos maiores e possível dispensa de encarregado, mas as obrigações essenciais continuam valendo.
Quanto custa a adequação à LGPD?
Depende do volume e da sensibilidade dos dados, do número de sistemas e do nível de maturidade atual. Um diagnóstico inicial ajuda a dimensionar o esforço.
A adequação tem fim?
Não. A LGPD é um processo contínuo: novos sistemas, fornecedores e finalidades exigem revisões periódicas.
Só o jurídico cuida da LGPD?
Não. A adequação envolve jurídico, TI, RH, marketing e atendimento. A segurança da informação é uma parte central.
Conclusão
A LGPD para empresas é, antes de tudo, uma questão de organização: saber quais dados você tem, por que os usa, quem acessa e como os protege. Com uma ANPD mais estruturada, começar agora é a forma mais econômica de reduzir riscos e ganhar a confiança de clientes e parceiros.
A Avuz cloud apoia empresas de Passo Fundo (RS) e de todo o Brasil na adequação à LGPD, unindo o diagnóstico de processos às medidas técnicas de segurança, firewall e backup em nuvem. Conheça a página do serviço de LGPD ou fale com um especialista para dar o primeiro passo.