A ANPD saiu do papel: o mínimo que a sua empresa precisa ter documentado

Por alguns anos a LGPD foi tratada como risco distante: lei aprovada, fiscalização tímida, ninguém conhecia alguém que tivesse sido multado. Esse período acabou.

A ANPD passou a operar com autonomia financeira e técnica, contratou especialistas e iniciou monitoramento em escala focado em obrigações básicas — não em casos complexos de tratamento de dados, mas no feijão com arroz que boa parte das empresas nunca fez.

Há um detalhe processual que muda o cálculo de risco: ignorar uma notificação da autoridade já é suficiente para abrir processo sancionador. Não é preciso ter havido vazamento. Basta não responder.

O que está em jogo

A LGPD prevê multa de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração. Mas para a maioria das empresas o problema não é a multa: são as outras sanções — publicização da infração, bloqueio ou eliminação dos dados envolvidos, e suspensão da atividade de tratamento.

Uma empresa que perde o direito de tratar os dados dos próprios clientes por 30 dias tem um problema operacional, não jurídico.

O mínimo, para uma empresa de 30 pessoas

Não é preciso montar uma estrutura de conformidade. Quatro itens cobrem a maior parte do que a fiscalização de rotina verifica:

Um encarregado nomeado e alcançável. A LGPD exige um canal de contato para titulares de dados. Isso significa um nome, um e-mail publicado e alguém que efetivamente leia essa caixa — o prazo de resposta é de 15 dias.

Política de privacidade que corresponde à realidade. Publicar um texto genérico copiado de outro site é pior do que não publicar: você declara práticas que não segue, por escrito.

Banner de cookies que funciona de verdade. Se o site carrega analytics, mapa ou pixel de rede social antes do aceite, o banner é enfeite. Essa é uma das poucas coisas que qualquer pessoa consegue verificar de fora, abrindo o inspetor do navegador.

Registro de quem acessa o quê. Saber quais sistemas guardam dados pessoais e quem tem acesso a eles. É a base de qualquer resposta a incidente — e a primeira pergunta que a autoridade faz.

Onde a TI entra

Boa parte dessa lista é jurídica, mas a execução é técnica: quem garante que o GTM não dispara antes do consentimento, quem revoga o acesso do ex-funcionário, quem consegue dizer em que servidor está o banco com dados de clientes.

Conformidade que existe só no documento não sobrevive à primeira verificação.