Adequação à LGPD: Checklist Prático para Empresas

Adequação à LGPD é o processo de alinhar como sua empresa coleta, usa, armazena e descarta dados pessoais às regras da Lei nº 13.709/2018. Na prática, isso se resume a quatro movimentos: saber quais dados você tem, justificar cada tratamento com uma base legal, nomear quem responde pelo tema e estar pronto para reagir a incidentes e a pedidos de titulares.

O problema é que muitas organizações ainda tratam isso como um projeto de prazo fechado, com planilhas espalhadas entre jurídico, TI e segurança. Quando um incidente acontece ou a ANPD bate à porta, falta rastreabilidade. Este checklist traduz as obrigações da lei em passos concretos, do mapeamento de dados à notificação de incidentes, e mostra onde a privacidade se conecta ao seu programa de risco.

Cadeado digital sobre teclado simbolizando segurança de dados e proteção cibernética

Panorama das obrigações da LGPD para empresas brasileiras

A LGPD se aplica a qualquer organização, pública ou privada e de qualquer porte ou setor, que trate dados pessoais no Brasil, ofereça bens ou serviços a pessoas localizadas no país ou trate dados coletados aqui (Art. 3), com exceções pontuais previstas no Art. 4. Ela define papéis (controlador, operador e encarregado), exige base legal para todo tratamento e garante direitos aos titulares, como acesso, correção e eliminação dos dados (Art. 18).

O custo de ignorar essas obrigações cresceu. Segundo o relatório Cost of a Data Breach da IBM, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, alta de 6,5% em relação aos R$ 6,75 milhões de 2024, conforme divulgado pela IBM. O mesmo estudo aponta que o setor de saúde registrou o maior custo médio, R$ 11,43 milhões, seguido por finanças (R$ 8,92 milhões) e serviços (R$ 8,51 milhões). Para o board, essa é a tradução direta de risco técnico em impacto financeiro.

As principais obrigações que uma empresa precisa demonstrar são:

Base legal para cada tratamento, entre as dez hipóteses do Art. 7.
Transparência sobre finalidades e compartilhamentos de dados.
Atendimento aos direitos dos titulares nos prazos da lei — a declaração completa de acesso aos dados, por exemplo, deve sair em até 15 dias (Art. 19).
Registro das operações de tratamento (Art. 37).
Nomeação de um encarregado e divulgação do contato (Art. 41).
Resposta a incidentes, com comunicação à ANPD e aos titulares quando houver risco ou dano relevante (Art. 48).

Checklist de adequação LGPD: mapeamento de dados, bases legais e DPO

O caminho da adequação LGPD começa com visibilidade e termina com governança. Use este checklist como sequência de trabalho, não como lista para marcar uma vez e esquecer.

1. Mapeie os dados (data mapping)

Levante todos os fluxos de dados pessoais: o que você coleta, de quem, para qual finalidade, onde armazena, com quem compartilha e por quanto tempo mantém. Esse inventário alimenta o registro das operações de tratamento exigido pelo Art. 37 e é a base para o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), que a ANPD pode exigir (Art. 38).

2. Defina a base legal de cada tratamento

Nenhum dado pessoal pode ser tratado sem uma das dez bases legais do Art. 7; para dados sensíveis, valem as hipóteses mais restritas do Art. 11. No contexto corporativo, as mais frequentes são consentimento, execução de contrato, cumprimento de obrigação legal e legítimo interesse. Documente a base escolhida para cada finalidade: essa justificativa é o que você apresentará em uma fiscalização.

3. Nomeie o encarregado (DPO)

A lei determina que o controlador indique um encarregado pelo tratamento de dados, com identidade e contato divulgados publicamente (Art. 41). Ele atende titulares, dialoga com a ANPD e orienta a organização. A ANPD já abriu fiscalizações contra grandes empresas que não informavam o contato do encarregado ou mantinham canais de atendimento ineficazes, então essa não é uma formalidade opcional.

4. Ajuste contratos e terceiros

Operadores e fornecedores que acessam dados pessoais precisam de cláusulas contratuais que distribuam responsabilidades e exijam padrões mínimos de segurança. A gestão de risco de terceiros é parte da conformidade, não um anexo.

5. Implemente controles de segurança e governança

Criptografia, controle de acesso, registro de logs e políticas internas sustentam o princípio de segurança da LGPD. O lado econômico reforça a prioridade: o mesmo relatório da IBM citado acima mostra que apenas 29% das organizações estudadas no Brasil usam tecnologia de governança de IA, e que as que adotaram amplamente IA e automação de segurança tiveram custo médio de violação de R$ 6,48 milhões, cerca de 26% abaixo das que não usam essas tecnologias (R$ 8,78 milhões).

Circuito digital com ícone de cadeado representando criptografia e conformidade de dados

Como tratar incidentes e notificar a ANPD dentro do prazo

Quando um incidente de segurança com dados pessoais acontece, o relógio começa a correr. Pela Resolução CD/ANPD nº 15/2024, a comunicação à ANPD e aos titulares afetados deve ser feita em até 3 dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais (Arts. 6º e 9º), ressalvado prazo diferente previsto em legislação específica, segundo a orientação oficial publicada pela ANPD. Agentes de tratamento de pequeno porte têm prazo em dobro, (Resolução CD/ANPD nº 2/2022, Art. 14, II, com a redação dada pela Resolução CD/ANPD nº 15/2024). A redação original desse inciso trazia uma exceção para casos com potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional; a Resolução 15/2024 a retirou.

A obrigação de comunicar surge quando três critérios se somam: o incidente está confirmado, envolve dados pessoais sujeitos à LGPD e pode acarretar risco ou dano relevante aos titulares. A comunicação ao titular deve usar linguagem simples e informar a natureza dos dados afetados, as medidas de segurança adotadas, os riscos envolvidos e os contatos para esclarecimento.

Um fluxo de resposta enxuto costuma seguir estes passos:

Detectar e conter o incidente, preservando evidências.
Avaliar o risco aos titulares para decidir se a comunicação é obrigatória.
Comunicar ANPD e titulares dentro do prazo de 3 dias úteis.
Documentar tudo, da linha do tempo às ações de mitigação.
Complementar informações: se a comunicação inicial foi preliminar, a complementação deve ser enviada à ANPD em até 20 dias úteis.

A diferença entre uma resposta tranquila e uma crise costuma estar na preparação anterior ao incidente: papéis definidos, playbook pronto e evidências já organizadas.

Integração da privacidade ao programa de risco e compliance

A adequação LGPD rende mais quando deixa de ser um silo jurídico e passa a conversar com o programa corporativo de risco. Boa parte dos controles que você implementa para a LGPD, como gestão de acessos, criptografia e resposta a incidentes, também é cobrada pela ISO 27001, pelo SOC 2 e pelo NIST CSF. Manter inventários separados por norma gera retrabalho e lacunas de rastreabilidade.

A lógica de um inventário único de controles é justamente essa: cada controle é implementado uma vez e reaproveitado entre frameworks, com evidências ligadas ao risco que elas mitigam. É o modelo que a Futture aplica no Eagle, sua plataforma de Enterprise Risk Intelligence, conectando risco, controles, fornecedores e exposição em uma visão única, com a decisão sempre humana. Para quem está estruturando o tema com apoio de tecnologia, vale conhecer como escolher uma ferramenta de compliance com IA no Brasil.

Na prática, integrar privacidade ao risco significa:

Classificar tratamentos de dados pela criticidade do risco, não pela ordem de chegada.
Reaproveitar evidências de auditoria entre LGPD, ISO 27001 e SOC 2.
Levar ao board uma visão de exposição em linguagem de negócio, com impacto financeiro.
Monitorar continuamente, em vez de revisar a conformidade só na véspera da auditoria.

Erros comuns que geram sanções e como evitá-los

A maioria das não conformidades não vem de má-fé, mas de lacunas operacionais que se acumulam. Os erros mais frequentes são evitáveis com disciplina de processo.

Tratar a adequação como projeto pontual. A conformidade é contínua; dados, fornecedores e finalidades mudam o tempo todo.
Coletar dados sem base legal clara. Pedir consentimento quando a base correta seria contrato ou obrigação legal cria fragilidade jurídica.
Não ter encarregado efetivo. Nomear alguém apenas no papel, sem canal de atendimento ao titular, não cumpre a lei.
Ignorar o prazo de notificação. Perder os 3 dias úteis da Resolução CD/ANPD nº 15/2024 agrava a exposição diante da ANPD.
Esquecer os terceiros. Fornecedores com acesso a dados sem cláusulas adequadas transferem risco para o controlador.
Não documentar. Sem evidência de que o controle existe e funciona, a conformidade é indefensável em fiscalização.

Evitar esses erros depende menos de uma ferramenta mágica e mais de rastreabilidade: cada decisão de tratamento, cada controle e cada evidência precisa ter dono, data e justificativa.

Próximo passo

Escolha um único fluxo de dados crítico, por exemplo o cadastro de clientes ou a folha de pagamento, e rode o checklist inteiro sobre ele esta semana: mapeie os dados, confirme a base legal, verifique quem responde pelo tratamento e teste se você conseguiria notificar a ANPD em 3 dias úteis. Esse piloto revela onde estão suas lacunas reais e dá o modelo para estender a adequação ao restante da organização sem depender de planilhas isoladas.

Para aprofundar: Regulamentos da ANPD: o mapa do que sua empresa precisa cumprir.

Perguntas frequentes

O que significa adequação à LGPD na prática?

Significa estruturar processos, documentação e controles para tratar dados pessoais conforme a Lei nº 13.709/2018: mapear os dados, definir base legal para cada tratamento, nomear o encarregado e manter a capacidade de responder a incidentes e a solicitações de titulares.

Qual é o prazo para notificar a ANPD após um incidente de segurança?

Pela Resolução CD/ANPD nº 15/2024, a comunicação à ANPD e aos titulares deve ocorrer em até 3 dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, quando o incidente puder acarretar risco ou dano relevante aos titulares. Agentes de tratamento de pequeno porte têm prazo em dobro (Resolução CD/ANPD nº 2/2022, art. 14, II, com a redação dada pela Resolução CD/ANPD nº 15/2024).

Toda empresa precisa ter um encarregado (DPO)?

A LGPD exige que o controlador indique um encarregado pelo tratamento de dados e divulgue publicamente sua identidade e contato (Art. 41). A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte dessa indicação, desde que mantenham um canal de comunicação com o titular; a dispensa não vale, por exemplo, para quem realiza tratamento de alto risco ou ultrapassa os limites de receita do regulamento.

Quais são as bases legais mais usadas pelas empresas?

Entre as dez bases legais do Art. 7, as mais comuns no contexto corporativo são consentimento, execução de contrato, cumprimento de obrigação legal e legítimo interesse do controlador.