Aviso ético: conteúdo informativo e geral, não substitui análise jurídica do caso concreto. Não há promessa de resultado.
Por que começar agora (mesmo sendo PME)
A LGPD se aplica a negócios de todos os portes que tratam dados pessoais. Para PMEs, a chave é priorizar o essencial para reduzir risco sem paralisar a operação. Três motivos práticos:
- Risco operacional: incidentes de dados geram retrabalho, perda de confiança e custos com resposta.
- Exigência de mercado: clientes e parceiros pedem políticas, contratos e evidências mínimas de conformidade.
- Eficiência: processos simples (inventário de dados, modelos de resposta, cláusulas padrão) evitam “apagar incêndios”.
Princípios da LGPD em linguagem simples
- Finalidade e necessidade: colete só o necessário para um objetivo claro.
- Transparência: explique o que faz com os dados, sem jargões.
- Segurança: proteja com medidas proporcionais ao risco.
- Responsabilização: consiga provar o que faz (registros, políticas, logs).
- Direitos do titular: permita acesso, correção, eliminação quando aplicável.
- Bases legais: todo tratamento precisa de um fundamento (contrato, obrigação legal, legítimo interesse, consentimento etc.).
As 5 etapas essenciais de adequação
1) Diagnóstico rápido (2–3 semanas)
Objetivo: enxergar onde estão os principais riscos.
Como fazer:
- Levante processos que usam dados (vendas, marketing, suporte, RH, finanças, produto).
- Identifique sistemas (CRM, ERP, planilhas, e-mail marketing), fornecedores (operadores) e fluxos (coleta → uso → armazenagem → compartilhamento → descarte).
- Classifique por risco: volume, sensibilidade (ex.: dados de saúde), exposição externa e dependências de terceiros.
Entregáveis mínimos: planilha de inventário, mapa de fluxos (pode ser um diagrama simples) e matriz de risco.
2) Bases legais e avisos (fundação de compliance)
Objetivo: assegurar que cada tratamento tem fundamento e explicação clara.
Como fazer:
- Para cada item do inventário, associe base legal adequada (contrato, legítimo interesse, obrigação legal etc.).
- Revise Política de Privacidade e Política de Cookies com linguagem simples e escopo real do que é feito.
- Configure o banner de cookies com consentimento granular quando necessário e mantenha logs de consentimento.
Entregáveis mínimos: matriz “tratamento ↔ base legal”, Política de Privacidade atualizada, banner e registro de consentimentos.
3) Governança mínima e responsabilização
Objetivo: transformar boas intenções em prática repetível.
Como fazer:
- Defina papéis (quem é responsável por privacidade; se houver, o Encarregado/DPO) e crie um canal de contato com titulares.
- Documente procedimentos curtos: atendimento a direitos, retenção e descarte de dados, resposta a incidentes.
- Treine a equipe (onboarding + reciclagens rápidas) sobre phishing, acesso e uso adequado de dados.
Entregáveis mínimos: minipolíticas (3–5 páginas), canal do titular publicado, registro de treinamentos.
4) Segurança proporcional ao risco
Objetivo: reduzir probabilidade e impacto de incidentes.
Como fazer (selecionar por criticidade):
- Controles de acesso (privilégios mínimos, 2FA) e gestão de senhas.
- Backups testados e plano de continuidade.
- Criptografia em repouso e em trânsito, quando aplicável.
- Gestão de terceiros: due diligence básica, cláusulas contratuais, notificação de incidentes.
Entregáveis mínimos: checklist técnico-prático alinhado ao porte, plano de resposta a incidentes e matriz RACI.
5) Ciclo de melhoria e evidências
Objetivo: manter conformidade viva e demonstrável.
Como fazer:
- KPIs de privacidade (ex.: % de solicitações atendidas no prazo, incidentes reportados, status de treinamentos).
- Revisões trimestrais de documentos e bases legais quando processos mudarem.
- Registro de decisões (por que usamos LI aqui? qual avaliação?) e log de mudanças.
Entregáveis mínimos: painel simples de indicadores, calendário de revisão, repositório de evidências.
Erros comuns que atrapalham PMEs
- Começar pelo documento, não pelo processo. Políticas sem aderência real perdem valor.
- Consentimento para tudo. Muitas vezes a base legal correta é contrato ou obrigação legal; pedir consentimento inadequado cria risco.
- Ignorar terceiros. Fornecedores sem cláusulas e sem due diligence viram ponto cego de segurança.
- Banner de cookies “decorativo”. Sem registro de consentimento e granularidade, não comprova conformidade.
- Não treinar o time. Um clique em phishing derruba qualquer política.
Checklist inicial
Use como guia, e adapte ao seu contexto.
Inventário e mapeamento
- Planilha com processos, dados, finalidades, sistemas e terceiros
- Diagrama simples de fluxo de dados
- Classificação de risco por processo
Bases legais e transparência
- Matriz de base legal por tratamento
- Política de Privacidade e Cookies atualizadas
- Banner de cookies configurado + logs de consentimento
Governança e direitos
- Papel responsável por privacidade definido (e contato do titular publicado)
- Procedimentos: direitos dos titulares, retenção/descarte, incidentes
- Registros de solicitações de titulares
Segurança e terceiros
- Controles de acesso + 2FA + política de senhas
- Backups testados e plano de resposta a incidentes
- Contratos com operadores revisados (cláusulas mínimas)
Evidências e melhoria
- KPIs e calendário de revisão trimestral
- Repositório de evidências (decisões, logs, treinamentos)
Perguntas frequentes (FAQ)
Preciso nomear um Encarregado/DPO?
A figura do Encarregado é prevista na LGPD. Para PMEs, é comum designar internamente alguém com visão de processos; em alguns casos, avaliar DPO terceirizado. A decisão depende do risco e da estrutura.
Consentimento é sempre necessário?
Não. Consentimento é uma das bases; outras comuns em PMEs: execução de contrato (ex.: faturamento) e legítimo interesse (mediante avaliação). Escolha base caso a caso.
Quanto tempo leva a adequação?
Varia conforme complexidade. O que funciona para PMEs é fasear: diagnóstico rápido, “mínimos viáveis” (políticas, avisos, contratos), depois amadurecimento contínuo.
Preciso alterar todos os contratos?
Recomenda-se revisar contratos com operadores (terceiros que tratam dados) para incluir obrigações de segurança, notificação de incidentes, sub operadores e auditoria proporcionais.
Próximos passos
- Faça o diagnóstico rápido com o checklist.
- Atualize Política de Privacidade/Cookies e matriz de bases legais.
- Publique o canal do titular e rode treinamento curto com o time.
- Ajuste contratos com operadores prioritários.
- Marque uma revisão em 90 dias para medir avanços.
Autora: Gisele Truzzi
