Treinamento de Privacidade e LGPD: da adequação à cultura

A multa não é o maior risco da LGPD — é a perda de confiança. E a confiança raramente se perde num ataque sofisticado: perde-se na planilha de clientes enviada para o e-mail pessoal, na base compartilhada com fornecedor sem contrato, no pedido de exclusão que ficou parado numa caixa de entrada. Nenhuma dessas falhas é jurídica. Todas são de comportamento — e comportamento se forma com treinamento, não com política publicada na intranet.

Fundamentos e bases legais

O curso começa pelos princípios do art. 6º da LGPD, com atenção ao inciso X — responsabilização e prestação de contas. Ele exige que o agente demonstre a adoção de medidas eficazes e comprove não só o cumprimento da lei, mas a eficácia dessas medidas. É a diferença entre afirmar que a empresa é adequada e conseguir mostrar por quê.

Em seguida vêm as hipóteses de tratamento. O art. 7º traz dez bases legais para dados pessoais; o art. 11 traz um rol mais estreito para dados sensíveis. O erro mais comum em auditoria é usar o consentimento como base padrão, inclusive quando o tratamento decorre de obrigação legal ou de execução de contrato — o que fragiliza a operação, porque consentimento pode ser revogado. A base se escolhe antes do tratamento, se registra e se justifica.

Mapeamento, registro e direitos dos titulares

O art. 37 obriga controlador e operador a manter registro das operações de tratamento que realizarem, especialmente quando baseadas no legítimo interesse. Na prática, isso significa inventário vivo: qual dado, de quem, para quê, com que base, por quanto tempo, com quem é compartilhado.

Sobre esse inventário se apoia o atendimento aos nove direitos do art. 18. O treinamento trabalha o fluxo completo — recebimento, identificação do titular, prazo e resposta —, incluindo o prazo do art. 19, II: até 15 dias para a declaração clara e completa sobre o tratamento.

• Indicação e formalização do encarregado (art. 41), com as regras trazidas pela Resolução CD/ANPD nº 18/2024, inclusive conflito de interesses;
• Regime simplificado dos agentes de pequeno porte (Resolução CD/ANPD nº 2/2022), que dispensa a indicação do encarregado mas exige canal de comunicação com o titular;
• Relatório de impacto à proteção de dados pessoais (art. 38), que a autoridade nacional pode determinar ao controlador.

Resposta a incidentes

O art. 48 determina a comunicação à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante. O prazo saiu do texto da lei e veio no regulamento: três dias úteis, contados do conhecimento pelo controlador, conforme a Resolução CD/ANPD nº 15/2024. Três dias úteis não sobram para descobrir quem decide se comunica.

Por isso o módulo é operacional: quem detecta, quem classifica a relevância, quem aciona o encarregado, o que precisa estar na comunicação e como registrar a decisão de não comunicar quando for o caso. Uma simulação vale mais do que a leitura do artigo.

Onde a ISO entra — e onde não entra

A ABNT NBR ISO/IEC 27001 estrutura a gestão de segurança da informação. A ISO/IEC 27701 trata de privacidade: nasceu em 2019 como extensão da 27001 e ganhou, na edição de 2025, o formato de norma independente, com período de transição de três anos para os certificados existentes. É ela que organiza os papéis de controlador e de operador de dados pessoais, que espelham os conceitos da LGPD.

A separação precisa ficar clara para a equipe: encarregado, bases legais, prazos e comunicação de incidentes são exigência da lei brasileira, não da 27001. As normas dão o método de gestão e a evidência auditável; a obrigação continua sendo legal, e quem fiscaliza é a ANPD.