LGPD na prática: o que uma empresa de porte médio precisa ter em ordem

A Lei Geral de Proteção de Dados está em vigor desde 2020 e já não é novidade para ninguém. Ainda assim, boa parte das empresas de porte médio vive num limbo: sabe que precisa fazer alguma coisa, contratou um documento de política em algum momento, e não tem clareza se aquilo mudou alguma coisa na prática.

A boa notícia é que o essencial cabe em cinco frentes, elas têm ordem lógica, e a primeira — que é a mais importante — não custa nada além de tempo.

O que a LGPD não é

Três mal-entendidos atrapalham mais do que a lei em si:

• Não é proibição de usar dado. A lei regula o uso, não o veta. Empresa nenhuma precisa parar de fazer cadastro, cobrança ou marketing — precisa saber com que fundamento faz cada coisa.
• Não se resolve com um documento. Política de privacidade no rodapé do site é consequência do trabalho, não substituto dele. Documento que descreve uma prática inexistente piora a situação: vira prova de que a empresa sabia.
• Não exige consentimento para tudo. Consentimento é uma das bases legais, e frequentemente a pior escolha — porque pode ser revogado a qualquer momento. Executar contrato, cumprir obrigação legal e legítimo interesse cobrem a maior parte do dia a dia.

Comece pelo inventário

Não existe atalho para esta etapa, e ela sozinha já reduz risco: descobrir onde os dados pessoais estão hoje. Não a versão idealizada — a real, com as planilhas no drive pessoal, o grupo de WhatsApp com foto de documento e a caixa de e-mail de dez anos.

Para cada lugar onde há dado pessoal, registre cinco coisas:

1. Que dados são (nome e telefone é uma coisa; CPF, dado de saúde ou biometria é outra, bem mais séria).
2. De quem são (cliente, funcionário, candidato, fornecedor).
3. Para que servem, em uma frase honesta.
4. Quem tem acesso hoje.
5. Há quanto tempo estão lá e por quanto tempo ainda precisam ficar.

Uma planilha resolve. O valor não está no formato: está em ter a lista completa e em mantê-la viva quando entra um sistema novo.

Base legal, em português claro

Para cada uso de dado, a lei pede um fundamento. Na prática, quatro cobrem quase tudo numa empresa de porte médio:

Duas regras práticas evitam a maior parte dos problemas. Primeira: se o titular pode dizer não sem perder o serviço, é consentimento — e precisa ser pedido de forma separada, específica e revogável. Segunda: consentimento no meio dos termos de uso, marcado por padrão, não vale.

Quem vê o quê

O controle de acesso é a medida de segurança com melhor relação entre esforço e proteção. O princípio é simples: cada pessoa enxerga o mínimo necessário para fazer o próprio trabalho.

Na prática, isso significa quatro hábitos:

• Conta individual, sempre. Login compartilhado destrói qualquer rastreabilidade: se todos são "admin", ninguém é responsável.
• Revisão periódica. Duas vezes por ano, olhar a lista de quem tem acesso a quê. Ex-funcionário com acesso ativo é a falha mais comum e a mais fácil de corrigir.
• Segundo fator no que é crítico. E-mail corporativo, sistema financeiro e painel de administração. É a medida de maior efeito por menos dinheiro.
• Registro de acesso a dado sensível. Saber quem consultou o quê e quando não previne o acesso indevido, mas permite descobri-lo — e sem isso não há investigação possível.

Guardar menos é a melhor defesa

Dado que não existe não vaza, não precisa de proteção e não gera obrigação. Ainda assim, quase toda empresa guarda tudo para sempre, por precaução.

Defina prazo por tipo de dado, respeitando o que outras leis exigem — documento fiscal e trabalhista tem prazo próprio, e ele prevalece. Fora desses casos, currículo de processo encerrado há três anos, base de e-mail de campanha antiga e exportação feita para uma reunião específica são passivo puro. Apagar é trabalho de uma tarde e reduz risco de forma permanente.

O plano para o dia ruim

Incidente acontece nas empresas organizadas também. O que separa um susto de uma crise é existir um plano escrito antes — porque no dia do incidente ninguém pensa bem.

O mínimo viável cabe em uma página:

1. Quem é avisado, com telefone. Uma pessoa decide, uma responde tecnicamente, uma fala com o cliente.
2. Como se contém: revogar acesso, trocar senha, tirar o serviço do ar se necessário. Conter vem antes de investigar.
3. Como se registra: o que aconteceu, quando, quais dados e quantas pessoas foram afetadas. Sem esse registro não há comunicação possível.
4. Quem comunica os titulares e a autoridade nacional, quando houver risco relevante, e em que prazo.
5. O que muda depois, para o mesmo incidente não se repetir.

Lista de conferência

Na ordem em que faz diferença. Marque o que já está pronto — fica guardado neste navegador.

Comece pelo inventário, hoje

Se você fizer uma única coisa depois de ler este texto, faça o inventário. Ele custa tempo, não dinheiro; revela os riscos reais em vez dos imaginados; e transforma um assunto que parece jurídico e abstrato numa lista de tarefas concretas.

O resto vem em ordem natural a partir dele — porque só dá para proteger, justificar e apagar aquilo que você sabe que tem.