Adequação à LGPD para empresas clientes: o que o advogado entrega
Segurança · · 5 min de leitura · Equipe Adv3
A adequação à LGPD que o advogado entrega a uma empresa cliente tem núcleo definido na Lei 13.709/2018: inventário das operações de tratamento, base legal de cada uma, aviso de privacidade, contratos com operadores, indicação do encarregado, rotina para pedidos de titulares e plano de resposta a incidentes. Segurança técnica é obrigação da empresa, mas o advogado não a executa: ele define o que precisa existir e coordena com quem implementa.
A empresa pede "um projeto de LGPD" e espera receber uma política de privacidade para pôr no site. O documento é a parte menor do trabalho. A adequação à LGPD é um conjunto de entregas que precisam conversar entre si, e o escopo mal definido é o que transforma o projeto em consultoria sem fim.
O que a lei pede, em resumo
A Lei Geral de Proteção de Dados exige que todo tratamento de dados pessoais tenha uma base legal (art. 7º, e art. 11 para dados sensíveis), respeite princípios como finalidade, necessidade e transparência (art. 6º), seja registrado (art. 37), tenha medidas de segurança (art. 46) e permita ao titular exercer seus direitos (art. 18). As sanções do art. 52 vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Nada disso se resolve com um documento só. Cada exigência vira uma entrega.
As entregas de um projeto de adequação à LGPD
| Entrega | O que é | Base na LGPD |
|---|---|---|
| Inventário de dados | Quais dados, de quem, para quê, onde ficam, com quem são compartilhados | Art. 37 |
| Matriz de bases legais | A justificativa legal de cada tratamento | Arts. 7º e 11 |
| Aviso de privacidade | O que o titular precisa saber, em linguagem clara | Arts. 6º, VI, e 9º |
| Contratos com operadores | Cláusulas com fornecedores que tratam dados em nome da empresa | Art. 39 |
| Encarregado | Indicação e canal de contato publicado | Art. 41 |
| Rotina de titulares | Como receber, conferir e responder pedidos de acesso, correção e exclusão | Art. 18 |
| Plano de resposta a incidentes | Quem decide, quem comunica, em que prazo | Art. 48 |
| Relatório de impacto | Exigível em tratamentos de risco, quando a ANPD solicitar | Art. 38 |
O mapeamento vem primeiro, e é o que mais demora
Sem saber quais dados a empresa trata, todo o resto é chute. O mapeamento é feito por área (RH, comercial, atendimento, financeiro, TI), com entrevistas e leitura de sistemas. Ele costuma revelar dados guardados sem motivo, planilhas paralelas e fornecedores que ninguém lembrava. Parte do valor do projeto está em descartar o que não precisa existir.
Base legal: o consentimento não é a regra
É erro comum fundamentar tudo no consentimento. Ele é uma das bases do art. 7º, e talvez a mais frágil, porque pode ser revogado. Execução de contrato, cumprimento de obrigação legal, legítimo interesse e exercício regular de direitos costumam sustentar a maior parte dos tratamentos de uma empresa. O legítimo interesse exige avaliação documentada do equilíbrio com os direitos do titular.
Contratos com fornecedores
Cada fornecedor que acessa dados pessoais (folha de pagamento, CRM, nuvem, contabilidade, marketing) é operador ou, às vezes, controlador conjunto. O contrato precisa definir finalidade, segurança, subcontratação, prazo de aviso de incidente e devolução ou eliminação dos dados ao fim. A lógica é a mesma que o escritório aplica a si próprio, descrita em LGPD no escritório de advocacia.
Encarregado e agentes de pequeno porte
O art. 41 exige a indicação do encarregado, com identidade e contato divulgados publicamente. A ANPD editou regulamento com tratamento diferenciado para agentes de pequeno porte, que alcança, entre outros pontos, a indicação do encarregado. Antes de dispensar, confira se a empresa se enquadra e se não realiza tratamento de alto risco, que afasta o benefício.
Incidentes: o plano antes do problema
O art. 48 obriga o controlador a comunicar à ANPD e aos titulares incidente de segurança que possa acarretar risco ou dano relevante. A ANPD regulamentou prazo e formulário. O plano de resposta define quem avalia o incidente, quem decide comunicar, quem fala com a imprensa e como guardar o registro. A mecânica da comunicação está em comunicação à ANPD.
O que o advogado não entrega
Deixar isso claro no contrato de honorários evita frustração:
- Segurança técnica: criptografia, controle de acesso, backup e testes são da equipe de TI ou de fornecedor especializado. O advogado define o que precisa existir.
- Treinamento contínuo sem previsão de escopo e valor.
- Garantia de não haver incidente nem de não haver sanção.
Projeto ou assessoria recorrente
A adequação tem duas fases: o projeto, com começo e fim, e a manutenção, porque sistemas, fornecedores e leis mudam. Muitos escritórios cobram a primeira como valor fechado e a segunda como mensalidade, modelo tratado em honorários recorrentes na advocacia. Para quem quer fazer disso uma área, há o artigo sobre software para advogado de LGPD.
Perguntas frequentes
Política de privacidade basta para a empresa estar adequada à LGPD?
Não. O aviso de privacidade é uma das entregas. Sem inventário, bases legais, contratos e rotinas, ele descreve algo que não existe.
Toda empresa precisa de encarregado?
A regra do art. 41 é indicar. A ANPD prevê tratamento diferenciado para agentes de pequeno porte, com condições; confira o enquadramento antes de dispensar.
O consentimento resolve todos os tratamentos?
Não. É uma das bases legais, e outras, como execução de contrato e obrigação legal, costumam ser mais adequadas.
Quanto tempo dura a adequação à LGPD?
Depende do tamanho da empresa e da quantidade de sistemas. O mapeamento é a etapa mais longa, e a manutenção é contínua.
Como o Adv3 trata isso
No Adv3, o projeto de cada empresa cliente pode ser organizado em Tarefas com responsável, prazo e checklist, e os entregáveis ficam no Armazenamento com versões. O Financeiro registra a mensalidade da manutenção como lançamento recorrente. O sistema não faz mapeamento de dados nem gera documentos de LGPD: isso é trabalho do advogado.
Todos os artigos · Adv3: software jurídico para escritórios de advocacia · Criar uma conta