Por alguns anos a LGPD foi tratada como risco distante: lei aprovada, fiscalização tímida, ninguém conhecia alguém que tivesse sido multado. Esse período acabou.
A ANPD passou a operar com autonomia financeira e técnica, contratou especialistas e iniciou monitoramento em escala focado em obrigações básicas — não em casos complexos de tratamento de dados, mas no feijão com arroz que boa parte das empresas nunca fez.
Há um detalhe processual que muda o cálculo de risco: ignorar uma notificação da autoridade já é suficiente para abrir processo sancionador. Não é preciso ter havido vazamento. Basta não responder.
O que está em jogo
A LGPD prevê multa de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração. Mas para a maioria das empresas o problema não é a multa: são as outras sanções — publicização da infração, bloqueio ou eliminação dos dados envolvidos, e suspensão da atividade de tratamento.
Uma empresa que perde o direito de tratar os dados dos próprios clientes por 30 dias tem um problema operacional, não jurídico.
O mínimo, para uma empresa de 30 pessoas
Não é preciso montar uma estrutura de conformidade. Quatro itens cobrem a maior parte do que a fiscalização de rotina verifica:
Um encarregado nomeado e alcançável. A LGPD exige um canal de contato para titulares de dados. Isso significa um nome, um e-mail publicado e alguém que efetivamente leia essa caixa — o prazo de resposta é de 15 dias.
Política de privacidade que corresponde à realidade. Publicar um texto genérico copiado de outro site é pior do que não publicar: você declara práticas que não segue, por escrito.
Banner de cookies que funciona de verdade. Se o site carrega analytics, mapa ou pixel de rede social antes do aceite, o banner é enfeite. Essa é uma das poucas coisas que qualquer pessoa consegue verificar de fora, abrindo o inspetor do navegador.
Registro de quem acessa o quê. Saber quais sistemas guardam dados pessoais e quem tem acesso a eles. É a base de qualquer resposta a incidente — e a primeira pergunta que a autoridade faz.
Onde a TI entra
Boa parte dessa lista é jurídica, mas a execução é técnica: quem garante que o GTM não dispara antes do consentimento, quem revoga o acesso do ex-funcionário, quem consegue dizer em que servidor está o banco com dados de clientes.
Conformidade que existe só no documento não sobrevive à primeira verificação.
Quer avaliar isso no seu ambiente?
O diagnóstico é sem custo e termina com um plano por escrito, com prioridades e prazos.