A LGPD gerou dois extremos igualmente ruins: a empresa que ignora completamente e a que compra um pacote de conformidade caro sem entender o que está resolvendo. Para a maioria das empresas pequenas e médias, o caminho útil está no meio — e começa por entender que a lei é baseada em princípios, não em checklist.
Este texto é orientação técnica de quem implementa sistemas, não parecer jurídico. Decisão sobre base legal, contrato e risco regulatório deve passar por advogado.
Primeiro: você trata dado pessoal?
Provavelmente sim, e mais do que imagina. Nome e e-mail de cliente é dado pessoal. Currículo recebido por e-mail é dado pessoal. Foto de crachá, registro de ponto, gravação de câmera e IP em log de acesso também. A pergunta não é se você trata — é se você sabe onde está tudo.
O passo que ninguém pula: saber o que você tem
Não existe conformidade sem inventário. É o trabalho mais chato e o mais valioso, e pode ser feito numa planilha. Para cada conjunto de dados pessoais, registre:
- Que dado é coletado (nome, CPF, telefone, histórico de compra);
- Para quê — a finalidade específica, não "para melhorar o atendimento";
- Onde fica — qual sistema, planilha, e-mail ou pasta;
- Quem acessa — quais pessoas e fornecedores;
- Por quanto tempo — e o que acontece depois;
- Com que base legal — consentimento, contrato, obrigação legal ou legítimo interesse.
Esse inventário costuma revelar surpresas maiores que qualquer risco jurídico: currículos de 2019 numa caixa de entrada, backup de banco antigo em um pen drive, planilha de clientes no drive pessoal de um ex-funcionário.
Consentimento não é a base legal padrão
O erro mais comum é achar que tudo precisa de consentimento. A LGPD tem dez bases legais, e consentimento é frequentemente a pior escolha — porque pode ser revogado a qualquer momento, e aí você precisa parar de tratar.
Para dado de cliente necessário à entrega do serviço, a base natural é execução de contrato. Para emissão de nota e guarda fiscal, é obrigação legal. Consentimento faz sentido para o que é genuinamente opcional — marketing por e-mail, principalmente. Escolher a base certa reduz trabalho em vez de aumentar.
O mínimo técnico que faz diferença real
Da perspectiva de quem constrói sistema, cinco medidas entregam a maior parte da proteção:
- Acesso por perfil. Ninguém deveria ver dado que não usa. É a medida mais eficaz e a mais ignorada — é comum todo mundo ter acesso de administrador "porque é mais prático";
- Senha individual e segundo fator. Login compartilhado inviabiliza qualquer rastreabilidade: sem saber quem fez, não há como responder a incidente;
- Registro de acesso. Log de quem consultou ou alterou dado pessoal, com data. É o que permite responder "seus dados foram acessados indevidamente?";
- Criptografia em trânsito e em repouso. HTTPS no site é o básico; banco de dados e backup também precisam;
- Backup testado. Disponibilidade é requisito da LGPD, e backup que nunca foi restaurado é hipótese, não backup.
Retenção: apagar também é obrigação
A parte que quase toda empresa ignora. A lei exige eliminar o dado quando a finalidade termina — guardar tudo para sempre é descumprimento, além de aumentar o tamanho do prejuízo em caso de vazamento.
Na prática: defina prazo por tipo de dado, respeitando as guardas legais (fiscal e trabalhista têm prazos próprios), e automatize a eliminação. Rotina de expurgo agendada resolve o que política escrita não resolve.
Direitos do titular: tenha um caminho, mesmo simples
A pessoa pode pedir confirmação de tratamento, acesso, correção, portabilidade e eliminação. Empresa pequena não precisa de portal de autoatendimento — precisa de um canal claro, alguém responsável por responder e um prazo razoável. Um endereço de e-mail publicado na política de privacidade e um procedimento interno de duas páginas atendem.
O que quase ninguém faz e deveria
Olhar para os fornecedores. Se você usa um sistema de terceiro que guarda dado dos seus clientes, esse fornecedor é operador e você continua responsável perante o titular. Vale verificar onde os dados ficam hospedados, o que o contrato diz sobre segurança e incidente, e o que acontece com os dados se você encerrar o contrato.
É um exercício de meia hora que costuma revelar mais risco que qualquer auditoria de código.