A LGPD não é um documento que se assina — é um conjunto de coisas que o seu sistema precisa saber fazer. A maior parte das empresas trata a lei como questão jurídica, contrata uma política de privacidade e para por aí. A política é a parte fácil; a parte que dá trabalho é o software conseguir cumprir o que ela promete.
Este texto é sobre a segunda parte: o que precisa existir dentro do sistema para a empresa conseguir responder quando alguém cobrar.
O que a lei chama de dado pessoal
É mais amplo do que parece. Dado pessoal é qualquer informação que identifique alguém ou permita identificar: nome, e-mail, telefone, CPF, endereço de IP, localização, identificador de dispositivo, histórico de compra vinculado a uma pessoa.
Existe ainda uma categoria mais restrita, o dado pessoal sensível — saúde, biometria, origem racial, convicção religiosa, opinião política, vida sexual, filiação sindical. Tratar dado sensível exige base legal mais estrita e cuidado maior de segurança. Clínica, laboratório e operadora lidam com isso o tempo todo, muitas vezes sem perceber que a régua é outra.
O que o sistema precisa conseguir fazer
Os direitos do titular estão no artigo 18 da lei. Cada um deles é, na prática, uma funcionalidade:
| Direito do titular | O que o sistema precisa ter |
|---|---|
| Saber se você tem dados dele | Busca por titular, não só por pedido ou nota |
| Acessar os dados | Exportação legível de tudo que se refere àquela pessoa |
| Corrigir dado errado | Edição com registro de quem alterou e quando |
| Pedir exclusão | Apagar de verdade — inclusive de backup e de relatório |
| Portabilidade | Exportar em formato que outro sistema consiga ler |
| Revogar consentimento | Registro de qual consentimento foi dado, quando, e como foi retirado |
O prazo importa: o artigo 19 dá até 15 dias para a resposta completa. Quem depende de alguém rodar consulta manual em três bancos diferentes não cumpre esse prazo de forma sustentável — cumpre uma vez, no susto.
O direito de exclusão é o que mais quebra sistema mal projetado. Se o cadastro do cliente é chave de dez tabelas, apagar quebra o histórico financeiro. A solução correta é anonimizar: manter o registro da transação, remover o que identifica a pessoa. Isso se resolve no desenho do banco, e refazer depois custa caro.
Base legal: consentimento não é a única, nem a melhor
Todo tratamento de dado precisa de uma base legal, e existem dez. O erro mais comum é achar que tudo depende de consentimento — quando consentimento é justamente a base mais frágil, porque pode ser retirado a qualquer momento.
- Execução de contrato. Você precisa do endereço para entregar o produto. Não é preciso pedir permissão para isso.
- Obrigação legal. Guardar nota fiscal pelo prazo que a legislação fiscal exige.
- Legítimo interesse. Base útil, mas exige avaliação documentada de que o seu interesse não atropela o direito do titular.
- Consentimento. Necessário para marketing e para dado sensível. Precisa ser livre, informado e específico — caixa pré-marcada não vale.
Na prática isso significa que o sistema deve registrar por que cada dado está ali, não só que ele está.
Segurança: o mínimo verificável
- Senha individual. Login compartilhado inviabiliza qualquer rastreio de quem acessou o quê.
- Perfil de acesso por função. O estagiário do faturamento não precisa ver a ficha clínica.
- Registro de acesso. Quem viu, alterou e exportou, com data.
- Criptografia em trânsito (HTTPS) e no armazenamento do que é sensível.
- Backup testado. Backup que nunca foi restaurado é hipótese, não backup.
- Contrato com quem processa por você. Hospedagem, e-mail, CRM, ferramenta de nota: todos são operadores, e a responsabilidade continua sendo sua.
O site também conta
É a parte mais visível e a mais malfeita. Três pontos concretos:
- Formulário. Todo campo pedido precisa ter finalidade. Pedir CPF para enviar um orçamento é coleta sem base legal — e o campo que não existe não precisa ser protegido.
- Cookies e rastreadores. Ferramenta de análise e pixel de anúncio tratam dado pessoal. O aviso precisa permitir recusar, não só aceitar, e a recusa tem que efetivamente impedir o carregamento do rastreador — banner que aceita sozinho enquanto o script já rodou não cumpre nada.
- Canal de contato do titular. Precisa estar publicado e alguém precisa responder dentro do prazo.
O erro típico é instalar um banner bonito que registra o consentimento mas não bloqueia nada. Vale testar: recuse tudo e confira, nas ferramentas do navegador, se os rastreadores pararam mesmo de carregar.
Quando acontece um incidente
Vazamento não é hipótese remota, e a lei cobra reação rápida: é preciso comunicar a ANPD e os titulares afetados em prazo razoável quando houver risco relevante. Ter isso escrito antes muda tudo — quem descobre o vazamento e só então começa a pensar no que fazer perde os primeiros dias, que são os que importam.
O plano mínimo cabe em uma página: quem é avisado internamente, quem decide, como se mede o alcance do vazamento, quem fala com os titulares e o que se registra.
As sanções são reais
O artigo 52 prevê advertência, publicização da infração, bloqueio ou eliminação dos dados e multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Mas o custo que costuma doer primeiro é outro: cliente corporativo grande exige comprovação de conformidade dos fornecedores, e não conseguir responder a esse questionário elimina você da concorrência antes de qualquer multa.
Por onde começar
- Mapeie onde estão os dados. Quase sempre há mais lugares que o esperado: sistema, planilha, e-mail, WhatsApp, papel na gaveta.
- Defina a base legal de cada tratamento e registre.
- Verifique se o sistema faz o que a tabela acima pede. Se não faz, é projeto de desenvolvimento, não de jurídico.
- Ajuste acesso e registro — costuma ser a correção mais barata e a de maior efeito.
- Escreva o plano de incidente antes de precisar dele.
Sistema sob medida tem uma vantagem concreta aqui: os controles entram no desenho, em vez de virar remendo. A Devuptime desenvolve sistemas de gestão e integrações com esses requisitos considerados desde o início, e o código-fonte é sempre entregue ao cliente. Fale com a gente.
Perguntas frequentes
Empresa pequena precisa se adequar? Precisa. A lei não tem piso de faturamento. O que muda é a proporcionalidade do que se espera — de uma empresa de cinco pessoas ninguém cobra a estrutura de um banco.
Preciso de um encarregado (DPO)? A figura é exigida, mas pode ser acumulada por alguém da empresa ou contratada externamente. O essencial é haver um canal divulgado para o titular procurar.
Basta ter política de privacidade no site? Não. A política descreve o que você faz com os dados; se o sistema não consegue cumprir o que ela descreve, a política vira prova contra você, não a favor.
Meu sistema antigo dá conta? Muitos não dão, principalmente em exclusão e registro de acesso. Vale um levantamento antes de assumir que sim.
Posso guardar dados para sempre? Não. A lei exige que o dado seja eliminado quando a finalidade acabar, salvo quando outra norma obrigue a guardar — o caso mais comum é o prazo fiscal. Na prática, isso significa ter política de retenção por tipo de dado, e o sistema precisa conseguir aplicá-la sem alguém apagar registro à mão.
