marcelo fattoriSolicite uma proposta de implementação LGPD com diagnóstico, plano e governança contínua.
O mercado transformou a adequação à LGPD em uma prateleira confusa. Há quem venda política de privacidade, quem venda banner de cookies, quem venda treinamento gravado, quem venda planilha de inventário e quem diga que entrega tudo isso em poucos dias. O problema é que a empresa não precisa apenas de peças soltas. Precisa de um programa.
Um programa não é uma coleção de arquivos. É um modo de funcionamento. Ele define quem decide, quem registra, quem responde, quem aprova, quem acompanha e como a organização demonstra que adotou medidas razoáveis. Essa diferença é menos vistosa do que um pacote de documentos, mas é o que separa uma adequação aparente de uma governança defensável.
Caso prático desenvolvido
Uma rede de clínicas decide se adequar. Contrata um serviço barato que entrega política de privacidade, termo de consentimento e modelo de contrato. No primeiro mês, tudo parece resolvido. O site tem texto novo. A recepção recebe uma folha para assinatura dos pacientes. O jurídico guarda os modelos.
Três meses depois, surgem os problemas. A clínica usa prontuário eletrônico, sistema de agendamento, convênio médico, laboratório parceiro, plataforma de teleconsulta, WhatsApp para confirmação de horário e armazenamento de documentos em nuvem. Ninguém sabe quais fornecedores são operadores. Ninguém avaliou retenção de exames antigos. O termo de consentimento é usado para tudo, inclusive quando a base legal talvez não fosse consentimento. Uma paciente pede acesso aos dados e a clínica não sabe se deve enviar prontuário completo, histórico administrativo ou apenas informações cadastrais.
A clínica tinha documentos. Não tinha implementação.
O que uma implementação séria precisa conter
Um projeto sólido começa pelo diagnóstico de maturidade. Não basta perguntar se existe política. É preciso verificar práticas. Depois vem o inventário das operações de tratamento, que permite enxergar dados, finalidades, bases legais, sistemas, compartilhamentos, prazos e riscos.
Com esse mapa, a empresa deve montar plano de ação priorizado. Nem todo problema tem o mesmo peso. Dados sensíveis, crianças e adolescentes, grandes volumes, decisões automatizadas, fornecedores críticos e operações internacionais precisam de mais atenção. A maturidade vem da capacidade de priorizar.
Em seguida, entram políticas e procedimentos. Aqui vale insistir: política boa não é a mais bonita. É a que orienta comportamento. Uma política de retenção, por exemplo, precisa dizer quem elimina, quando elimina, como registra e quais exceções existem. Um procedimento de incidente precisa indicar canal, responsáveis, critérios de gravidade, preservação de evidências e comunicação.
Também entram contratos, gestão de terceiros, treinamento, canal de titulares, governança de cookies, avaliação de riscos, relatórios de impacto quando cabíveis, comitê e painel de evidências. Se isso parece muito, é porque proteção de dados toca muita coisa mesmo. A função da consultoria é organizar, priorizar e tornar executável.
Fechamento editorial
Adequação LGPD não é comprar tranquilidade. É construir capacidade de resposta. Quem procura atalho costuma descobrir, no primeiro problema real, que o documento não responde sozinho, não apura incidente, não revisa fornecedor e não orienta colaborador. Programa de privacidade é outra coisa: é método, rotina e evidência.
Referências
- BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 5 maio 2026.
- AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Regulamentações da ANPD. Brasília, DF: ANPD. Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd. Acesso em: 5 maio 2026.
- INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO/IEC 27701:2019: Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management. Geneva: ISO, 2019.