Adequação à LGPD: o que é, etapas e por onde começar

Adequação é o conjunto de mudanças jurídicas, técnicas e organizacionais que faz a empresa tratar dados pessoais dentro das regras da Lei nº 13.709/2018. Não é um carimbo nem um certificado: é um estado que precisa ser mantido, com processos vivos e evidências de que eles funcionam.

Isso vale para qualquer organização que trate dados de clientes, colaboradores ou fornecedores — independentemente do porte. O que muda de uma empresa para outra é a profundidade dos controles, definida pelo risco das operações.

• Diagnóstico de maturidade: onde a empresa está hoje e quais são as lacunas frente à lei;
• Mapeamento de dados (ROPA): quais dados existem, de onde vêm, para que servem, com quem são compartilhados e por quanto tempo ficam guardados;
• Bases legais e avaliação de risco: justificar cada tratamento e medir o impacto dos mais sensíveis (RIPD/DPIA);
• Plano de ação priorizado: o que resolver primeiro, quem executa e em que prazo;
• Documentos e políticas: aviso de privacidade, políticas internas, cláusulas contratuais, termos de consentimento;
• Medidas de segurança: controle de acesso, criptografia, backup, logs, hardening — a parte que a maioria dos projetos esquece;
• Encarregado, canal de titulares e resposta a incidentes: a operação do dia a dia;
• Treinamento e sustentação: gente treinada e indicadores para acompanhar a evolução.

Depende do porte, do número de processos e da maturidade inicial. Em empresas de médio porte, as primeiras entregas de redução de risco costumam sair nas primeiras semanas; o programa completo evolui ao longo de meses. Desconfie de quem promete adequação total em quinze dias — o que se entrega nesse prazo é papel, não conformidade.

• Comprar um pacote de documentos padrão sem mapear os dados antes;
• Tratar a LGPD como assunto exclusivo do jurídico ou exclusivo da TI;
• Nomear um encarregado que não tem tempo nem autonomia para atuar;
• Esquecer os fornecedores, que é onde boa parte dos incidentes nasce;
• Encerrar o projeto na entrega e não manter nada atualizado.