LGPD para pequenas empresas: por onde começar a adequação?

Empresas de todos os portes utilizam dados pessoais em suas atividades. Informações de clientes, empregados, candidatos, fornecedores e representantes comerciais podem estar presentes em planilhas, contratos, sistemas e conversas de atendimento.

A adequação à LGPD começa pelo entendimento de como essas informações são coletadas, utilizadas, compartilhadas, armazenadas e eliminadas.

O que é considerado dado pessoal?

Dado pessoal é uma informação relacionada a uma pessoa natural identificada ou que possa ser identificada. Alguns exemplos comuns são:

• Nome;
• Número de telefone;
• Endereço de e-mail;
• CPF ou documento de identificação;
• Endereço residencial;
• Dados de localização;
• Informações relacionadas ao vínculo profissional.

Determinadas categorias de informação exigem cuidados adicionais em razão de sua natureza e do risco associado ao tratamento.

Primeiro passo: mapear os dados utilizados

Antes de elaborar políticas ou avisos, a empresa precisa compreender seus próprios processos. Um mapeamento inicial pode responder às seguintes perguntas:

1. Quais dados pessoais são coletados?
2. De quem esses dados são obtidos?
3. Para qual finalidade são utilizados?
4. Onde ficam armazenados?
5. Quem possui acesso?
6. Com quais terceiros são compartilhados?
7. Por quanto tempo são mantidos?
8. Como são eliminados?

A empresa não consegue proteger adequadamente uma informação que desconhece possuir.

Exemplos de áreas que tratam dados pessoais

Medidas práticas de adequação

1. Limitar a coleta

A empresa deve evitar solicitar informações que não sejam necessárias para a finalidade informada. Quanto maior o volume de dados armazenados, maior pode ser o impacto de um incidente.

2. Controlar os acessos

Nem todos os colaboradores precisam acessar todas as informações. As permissões devem ser definidas de acordo com as atribuições de cada função.

3. Revisar contratos

Contratos com fornecedores que tratam dados em nome da empresa devem estabelecer responsabilidades, medidas de segurança e procedimentos para incidentes.

4. Criar procedimentos internos

A organização deve definir como serão atendidas solicitações relacionadas aos dados pessoais e quem será responsável por cada etapa.

5. Treinar a equipe

Muitos incidentes ocorrem por falhas operacionais, como envio de documentos ao destinatário errado, compartilhamento indevido de senhas ou abertura de arquivos maliciosos.

---

Checklist inicial

• Identificar os bancos de dados existentes;
• Revisar formulários físicos e digitais;
• Eliminar informações duplicadas ou desnecessárias;
• Implementar senhas individuais;
• Ativar autenticação em dois fatores quando disponível;
• Revisar as permissões de pastas e sistemas;
• Criar uma rotina de backup;
• Definir um procedimento para incidentes;
• Revisar avisos de privacidade;
• Documentar as principais decisões.

É necessário pedir consentimento para tudo?

O consentimento é apenas uma das possibilidades que podem autorizar o tratamento de dados pessoais. A justificativa adequada depende da finalidade, do contexto e da relação existente entre a empresa e o titular.

Utilizar o consentimento de forma indiscriminada pode criar dificuldades, especialmente quando o tratamento é necessário para executar uma obrigação contratual ou cumprir uma exigência legal.

A adequação termina depois dos documentos?

Não. A proteção de dados deve ser incorporada à rotina da empresa. Novos sistemas, fornecedores, produtos e processos podem criar operações que ainda não foram analisadas.

Por isso, a adequação deve ser tratada como um processo contínuo de governança, revisão e melhoria.

Uma abordagem proporcional ao porte e aos riscos da organização tende a ser mais eficiente do que a simples reprodução de documentos genéricos.

Material demonstrativo destinado a testes de conteúdo e formatação.