LGPD para empresas: como proteger os dados do seu negócio

A Lei Geral de Proteção de Dados (LGPD) impõe regras rígidas sobre a coleta, armazenamento e tratamento de dados pessoais. Empresas precisam adotar políticas de conformidade para evitar sanções e garantir a confiança de clientes e parceiros.

Medidas essenciais de adequação

Implementar um programa de compliance digital, revisar contratos e treinar funcionários são medidas fundamentais para adequação à LGPD. Além disso, manter uma equipe jurídica especializada pode auxiliar na elaboração de termos de uso e políticas de privacidade eficientes.

Vale lembrar que a LGPD alcança também os dados de empregados e candidatos. O tratamento de informações de saúde ocupacional, biometria de ponto e monitoramento corporativo precisa estar alinhado ao programa de compliance trabalhista da empresa.

O custo da não conformidade

A não conformidade com a LGPD pode resultar em penalidades severas, incluindo multas e danos à reputação da empresa. Proteger os dados significa também proteger o futuro do negócio.

Por onde começar de verdade

Programas de adequação fracassam quando começam pelo documento. A sequência que funciona é outra:

1. Mapear o que a empresa realmente trata. Antes de escrever qualquer política, é preciso saber quais dados existem, onde estão, quem acessa, por quanto tempo são guardados e com quem são compartilhados. Esse inventário costuma revelar tratamentos que ninguém sabia que existiam, planilhas paralelas, backups antigos, bases herdadas de sistemas desativados.

2. Definir a base legal de cada tratamento. Aqui está o erro conceitual mais comum: tratar consentimento como regra geral. Ele é apenas uma das dez bases do art. 7º, e frequentemente a menos adequada, porque pode ser revogado a qualquer momento. Execução de contrato, cumprimento de obrigação legal e legítimo interesse sustentam melhor a maior parte dos tratamentos empresariais.

3. Definir prazos de retenção. Dado guardado sem finalidade atual é passivo puro: aumenta a superfície de incidente sem produzir valor. Estabelecer prazo e efetivamente descartar é das medidas mais eficazes e menos adotadas.

4. Revisar contratos com operadores. Fornecedores que tratam dados em nome da empresa (folha, sistemas, marketing, nuvem) precisam de cláusula específica com obrigações de segurança, comunicação de incidente e devolução ou eliminação ao fim do contrato.

5. Treinar quem opera. Vazamento raramente decorre de ataque sofisticado. Decorre de e-mail enviado ao destinatário errado, planilha compartilhada com link público e credencial reutilizada.

A camada trabalhista da LGPD

Este é o ponto que empresas mais subestimam: o maior volume de dados pessoais de uma empresa média não está nos clientes, está nos empregados.

Exames ocupacionais e atestados são dados de saúde, categoria sensível com exigência reforçada. Biometria de ponto é dado biométrico, também sensível. Monitoramento de e-mail corporativo, de câmeras e de ferramentas de produtividade precisa de base legal, transparência e proporcionalidade. Currículos de candidatos não aprovados costumam ficar guardados indefinidamente sem qualquer finalidade.

Cada um desses pontos aparece em reclamação trabalhista com pedido de dano moral, e a defesa depende de a empresa demonstrar base legal, transparência e limite. É por isso que a adequação à LGPD e o compliance trabalhista e eSocial precisam conversar, na prática, tratam do mesmo acervo.

Incidente de segurança: o que fazer nas primeiras horas

Vale ter definido antes: quem é acionado, quem decide, em quanto tempo se comunica a ANPD e os titulares, e como se documenta a resposta. Incidente bem conduzido e documentado é atenuante expressamente previsto na lei; incidente mal conduzido transforma um problema técnico em sanção administrativa.

As sanções e o que realmente pesa

A LGPD prevê advertência, multa de até 2% do faturamento limitada a cinquenta milhões por infração, publicização da infração, bloqueio e eliminação dos dados envolvidos.

Na prática, porém, a sanção administrativa raramente é o maior custo. O que pesa mais é o conjunto: ações individuais de titulares pedindo dano moral, exposição pública do incidente, perda de contratos com clientes que exigem conformidade da cadeia e, em operações societárias, o desconto no valuation quando a due diligence encontra tratamento irregular.

Empresas que fornecem para grandes grupos ou para o setor público têm ainda um incentivo contratual direto: cláusulas de proteção de dados com direito de auditoria vêm se tornando padrão, e a não conformidade passa a ser questão comercial antes de ser questão jurídica.

Adequação proporcional

Um alerta útil: adequação à LGPD não significa comprar a estrutura de uma multinacional. A lei admite proporcionalidade, e a ANPD dispensou agentes de tratamento de pequeno porte de algumas obrigações formais.

Para a maior parte das empresas médias, um trabalho consistente cabe em inventário de dados, definição de bases legais, prazos de retenção, política de privacidade real, contratos com operadores ajustados, canal de atendimento ao titular e plano de resposta a incidente. É bem menos do que se costuma imaginar, e é infinitamente mais do que a maioria tem.