Uso cotidiano de informações de clientes e funcionários exige regras internas, segurança e capacidade de resposta a incidentes
Cadastrar um cliente, emitir uma nota fiscal, arquivar currículos ou processar a folha de pagamento são atividades tão rotineiras que raramente são percebidas como operações jurídicas. Todas elas, no entanto, envolvem o tratamento de dados pessoais e estão, portanto, sujeitas à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
Embora frequentemente associada a grandes empresas de tecnologia, a LGPD alcança organizações de todos os portes e setores sempre que houver tratamento de informações relacionadas a pessoas naturais. Nome, CPF, endereço, e-mail, dados financeiros, imagens e registros de empregados estão entre os exemplos mais comuns, o que significa que praticamente toda atividade empresarial está, em alguma medida, submetida à lei.
Para Bruna Ribeiro Santana, a proteção de dados deixou de ser um tema técnico, restrito às equipes de tecnologia, e passou a integrar a própria gestão empresarial. Segundo ela, a adequação começa por uma pergunta aparentemente simples, mas que muitas organizações ainda não conseguem responder com segurança: quais informações possuímos, por que as mantemos e com quem as compartilhamos?
Não basta cumprir a lei: é preciso conseguir demonstrar o cumprimento
Um dos aspectos mais relevantes e menos compreendidos da LGPD é o princípio da responsabilização e prestação de contas (art. 6º, X). A lei não exige apenas que a empresa adote medidas de proteção, mas que seja capaz de comprovar, de forma documentada, que as adotou e que elas são eficazes.
Essa lógica altera a forma de pensar a adequação. Em uma fiscalização ou em um processo judicial, não bastará afirmar que os dados são tratados com cuidado: será necessário demonstrar quais controles existem, quem é responsável por eles e como são revisados. É por essa razão que a lei exige que as empresas mantenham registro das operações de tratamento que realizam (art. 37).
Conhecer os próprios fluxos é o ponto de partida
O primeiro passo é mapear o caminho percorrido pelas informações dentro da organização: o que é coletado, com qual finalidade, onde fica armazenado, quem tem acesso e por quanto tempo permanece nos sistemas.
Esse diagnóstico costuma revelar riscos que passam despercebidos na rotina, como cadastros que nunca foram revisados, planilhas esquecidas em computadores, acessos mantidos para funcionários que mudaram de função e fornecedores que continuam recebendo informações após o fim do contrato. Em muitos casos, os incidentes não decorrem de sofisticados ataques cibernéticos, mas de práticas internas mantidas durante anos sem qualquer revisão.
O mapeamento também permite verificar se cada operação está amparada em uma base legal adequada (art. 7º). O consentimento é apenas uma das hipóteses previstas na lei e, em muitas situações, sequer é a mais apropriada, já que pode ser revogado a qualquer momento pelo titular. O processamento da folha de pagamento, por exemplo, decorre do cumprimento de obrigações legais e trabalhistas, enquanto os dados necessários para a entrega de um produto se justificam pela execução do contrato. Escolher a base legal errada pode tornar irregular um tratamento que, em si, seria legítimo.
Coletar menos é também correr menos riscos
A LGPD consagra o princípio da necessidade, segundo o qual o tratamento deve se limitar ao mínimo indispensável para alcançar sua finalidade (art. 6º, III). A empresa não deve coletar informações apenas porque dispõe de capacidade técnica para armazená-las.
A lógica é simples: dados que não são coletados não podem ser vazados. Uma loja que precisa do endereço do cliente para realizar uma entrega deve questionar se todos os demais dados exigidos no cadastro são, de fato, necessários. Quanto maior o volume de informações mantidas, maior a exposição da empresa em caso de incidente.
Esse cuidado é ainda mais importante no caso dos dados pessoais sensíveis, como informações sobre saúde, biometria, origem racial ou convicção religiosa, cujo tratamento está sujeito a hipóteses mais restritas e a um dever reforçado de proteção (arts. 5º, II, e 11). Mesmo informações simples, como nome e telefone, podem se tornar sensíveis dependendo do contexto. Basta pensar no cadastro de uma clínica de oncologia: ali, esses dados indicam que a pessoa pode estar em tratamento contra o câncer.
Vazamento de dados exige resposta rápida e planejada
Quando se fala em incidente de segurança, é comum pensar apenas em ataques de hackers. Na prática, porém, grande parte dos incidentes decorre de falhas cotidianas: um documento enviado ao destinatário errado, uma planilha com dados de clientes compartilhada por engano, um sistema configurado de forma inadequada ou um acesso indevido por parte de quem não deveria ter permissão. Todas essas situações podem gerar consequências jurídicas para a empresa.
A LGPD impõe às empresas o dever de adotar medidas técnicas e administrativas capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas (art. 46). Quando, apesar dessas medidas, ocorre um incidente que possa acarretar risco ou dano relevante aos titulares, a empresa deve comunicá-lo à Agência Nacional de Proteção de Dados (ANPD) e às pessoas afetadas (art. 48). Nos termos da Resolução CD/ANPD nº 15/2024, essa comunicação deve ser feita em até três dias úteis, contados do conhecimento do incidente, prazo que é contado em dobro para os agentes de pequeno porte, como microempresas, empresas de pequeno porte e startups.
Não se trata de um simples aviso. A comunicação deve informar, entre outros pontos, a natureza dos dados afetados, os titulares envolvidos, os riscos relacionados ao incidente e as medidas adotadas para reverter ou reduzir seus efeitos (art. 48, § 1º). A ANPD pode, ainda, determinar providências adicionais, como a ampla divulgação do ocorrido (art. 48, § 2º).
Um prazo tão curto, somado a exigências tão detalhadas, torna inviável qualquer improvisação. Por isso, a empresa deve contar com um plano de resposta definido antes que o problema aconteça, estabelecendo quem identifica o incidente, quem avalia sua gravidade, quem realiza as comunicações e quais medidas serão adotadas para conter os danos. A forma como a empresa reage ao incidente é, inclusive, levada em consideração pela ANPD na eventual aplicação de sanções.
No âmbito judicial, o Superior Tribunal de Justiça já decidiu que o vazamento de dados pessoais comuns não gera, por si só, dano moral presumido, cabendo ao titular comprovar o prejuízo efetivamente sofrido. Esse entendimento, contudo, não afasta a responsabilidade da empresa perante a ANPD, nem impede a condenação quando o dano for demonstrado, especialmente nos casos que envolvem dados sensíveis, como informações de saúde.
A terceirização não transfere responsabilidade
Poucas empresas mantêm todas as suas informações dentro da própria estrutura. É comum que dados de clientes e funcionários sejam repassados a terceiros, como empresas de software de gestão, plataformas de marketing, serviços de armazenamento em nuvem, escritórios de contabilidade e folha de pagamento e ferramentas de inteligência artificial.
O ponto que muitas empresas desconhecem é que, ao contratar um fornecedor, elas não deixam de responder pelo que acontece com esses dados. A LGPD prevê situações em que a empresa e o fornecedor respondem solidariamente (art. 42, § 1º). Isso significa que, se o fornecedor provocar um vazamento, a empresa que lhe repassou as informações também pode ser cobrada pelos danos causados.
Por isso, o contrato com o fornecedor deixou de ser um documento meramente comercial e passou a ser uma ferramenta de proteção. Ele deve definir, de forma clara, para que os dados podem ser usados, quais medidas de segurança devem ser adotadas, se o fornecedor pode repassá-los a outras empresas, em quanto tempo deve avisar sobre um incidente e o que deve ser feito com as informações ao final do contrato.
Pequenas empresas também estão sujeitas à lei
O porte da empresa não a exclui do alcance da LGPD. A ANPD instituiu regras simplificadas para microempresas, empresas de pequeno porte e startups (Resolução CD/ANPD nº 2/2022), que incluem prazos diferenciados e, em determinadas situações, a dispensa de indicação de encarregado de dados.
Essas flexibilizações, no entanto, não eliminam os deveres de transparência, segurança e atendimento aos titulares. A adequação deve ser proporcional à realidade de cada negócio. Uma pequena clínica não precisa reproduzir a estrutura de uma grande companhia, mas deve ser capaz de demonstrar que identificou seus riscos e adotou medidas compatíveis com sua atividade.
Multas de até R$ 50 milhões e outras sanções previstas na LGPD
O art. 52 da LGPD prevê sanções que incluem advertência, multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e até a suspensão ou proibição das atividades de tratamento.
Para muitos negócios, as sanções não financeiras podem ser ainda mais graves do que a multa. A publicização de uma infração afeta diretamente a reputação da empresa, e a proibição de tratar dados pode, na prática, inviabilizar a atividade de quem depende de cadastros de clientes.
Na definição da penalidade, a ANPD considera fatores como a gravidade da infração, a reincidência, a cooperação da empresa e a adoção de boas práticas e políticas de governança (art. 52, § 1º). Um programa de conformidade bem estruturado, portanto, não apenas previne problemas, como também pode atenuar eventuais sanções.
Adequação não termina com uma política de privacidade
Muitas empresas acreditam que estão adequadas à LGPD porque publicaram uma política de privacidade no site. O documento é importante, mas representa apenas a parte visível da conformidade. A adequação real envolve procedimentos internos, contratos com fornecedores, medidas de segurança da informação, canais de atendimento aos titulares e treinamento contínuo das equipes. Além disso, precisa ser revista sempre que a empresa adota um novo sistema, contrata um fornecedor ou lança um produto.
Na avaliação de Bruna Ribeiro Santana, um dos erros mais comuns é tratar a adequação como um projeto que se encerra com a elaboração da documentação exigida pela lei. Para ela, a operação de uma empresa está em constante transformação, e os mecanismos de proteção de dados precisam acompanhar essas mudanças.
Privacidade como ativo de negócio
Os efeitos de uma falha no tratamento de dados ultrapassam, em muito, o campo das sanções administrativas. Ações judiciais, desgaste reputacional e perda de confiança de clientes e parceiros são consequências frequentemente mais duradouras do que qualquer multa. Não por acaso, grandes empresas e órgãos públicos passaram a examinar a governança de dados de seus fornecedores como critério de contratação, e o tema já integra a análise de riscos em negociações, investimentos e operações de fusão e aquisição.
Nesse cenário, a proteção de dados transcende a condição de obrigação legal e assume a natureza de verdadeiro ativo empresarial. Organizações que tratam com seriedade as informações de clientes e colaboradores consolidam sua reputação, fortalecem relações comerciais e se distinguem em um mercado cada vez mais atento à forma como os dados são utilizados.
A conformidade com a LGPD, portanto, não se mede pela quantidade de políticas e termos produzidos, mas pela capacidade da empresa de conhecer seus riscos, revisar continuamente seus procedimentos e manter controles compatíveis com a natureza de suas atividades. É essa postura que separa a organização que apenas cumpre formalidades daquela verdadeiramente preparada para proteger os dados de seus clientes e colaboradores.
Sobre Bruna Ribeiro Santana
Bruna Ribeiro Santana é advogada inscrita na OAB/DF sob o nº 59.971, sócia do Santana & Couto Advogados, com 8 anos de atuação profissional e especialização em Direito Processual Civil.
Conteúdo de caráter informativo. As medidas de conformidade com a LGPD variam conforme as atividades, os dados tratados e os riscos de cada organização.
