LGPD na prática: o que sua empresa precisa demonstrar

Desde a entrada em vigor da Lei nº 13.709/2018, a pergunta das empresas mudou de “precisamos nos adequar?” para “como demonstramos que estamos adequados?”. A diferença não é retórica. Em fiscalização, em due diligence de cliente e em processo licitatório, ninguém aceita a afirmação: pedem o documento, o registro e a data. É aí que a adequação deixa de ser opinião e vira evidência.

O que precisa existir como evidência

A própria lei define o padrão. O art. 6º, X exige a demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados — e, inclusive, a eficácia dessas medidas. Não basta ter a política; é preciso mostrar que ela funciona.

• Mapeamento e registro — o art. 37 obriga controlador e operador a manter registro das operações de tratamento, especialmente as baseadas no legítimo interesse;
• Base legal por tratamento — uma das dez hipóteses do art. 7º, ou o rol mais estreito do art. 11 quando houver dado sensível, escolhida antes do tratamento e justificada;
• Atendimento aos titulares — fluxo capaz de responder aos nove direitos do art. 18, com trilha de quem pediu, quando e o que foi respondido;
• Encarregado indicado — art. 41, com identidade e contato divulgados publicamente, observadas as regras da Resolução CD/ANPD nº 18/2024, inclusive sobre conflito de interesses;
• Contratos com operadores — instruções documentadas ao operador (art. 39) e cláusulas de segurança, subcontratação e incidente;
• Medidas de segurança — técnicas e administrativas proporcionais ao risco, com registro das decisões que definiram essa proporção.

Agentes de tratamento de pequeno porte têm regime simplificado pela Resolução CD/ANPD nº 2/2022 — inclusive dispensa de indicar encarregado, desde que disponibilizem canal de comunicação com o titular. Simplificado não é dispensado: o registro continua exigido, em forma simplificada.

Os prazos que ninguém improvisa

Dois prazos separam a empresa organizada da que responde no susto. O art. 19, II dá até 15 dias para fornecer ao titular a declaração clara e completa sobre o tratamento. E a comunicação de incidente de segurança que possa acarretar risco ou dano relevante, prevista no art. 48, ganhou prazo no regulamento: três dias úteis, contados do conhecimento pelo controlador, conforme a Resolução CD/ANPD nº 15/2024.

Três dias úteis não sobram para descobrir quem classifica a gravidade e quem assina a comunicação: quem não ensaiou o fluxo perde o prazo na primeira ocorrência. A autoridade também pode determinar a elaboração do relatório de impacto (art. 38).

ISO/IEC 27001 e 27701: o caminho estruturado

A ABNT NBR ISO/IEC 27001 estrutura a gestão de segurança da informação: contexto, riscos, controles, monitoramento e melhoria. A ISO/IEC 27701 trata especificamente de privacidade e organiza os papéis de controlador e de operador de dados pessoais, que espelham os conceitos da LGPD. Nascida em 2019 como extensão da 27001, ela ganhou na edição de 2025 o formato de norma independente, com período de transição de três anos para os certificados emitidos na versão anterior.

Juntas, oferecem um sistema auditável que transforma a adequação em rotina, não em projeto pontual: alguém responde pelo controle, o controle é medido e a auditoria interna encontra a falha antes do titular. A distinção que importa é de origem: encarregado, bases legais e prazos de comunicação são exigência da lei brasileira; as normas dão o método de gestão e a evidência.

Privacidade em contratos e licitações

O efeito comercial é concreto. Grandes contratantes já incluem proteção de dados na qualificação de fornecedores, e a resposta a um questionário de segurança fica muito mais curta quando existe certificado acreditado no escopo certo. Em operações internacionais, o reconhecimento vem dos acordos multilaterais do IAF, que dão validade transfronteiriça ao certificado emitido por organismo acreditado.