Resposta rápida
Adequação à LGPD não é apenas publicar política de privacidade. Um programa consistente identifica quais dados são tratados, por que são necessários, qual base legal sustenta cada operação, com quem são compartilhados, por quanto tempo permanecem, quais riscos existem, como titulares exercem direitos e como a empresa responde a incidentes. A estrutura deve ser proporcional ao porte, setor, volume de dados, uso de dados sensíveis, crianças, biometria, geolocalização, IA e outras operações de maior risco.
Mapeamento antes da documentação
Políticas copiadas de outros sites não revelam como a empresa realmente usa dados. O primeiro passo é mapear coleta, armazenamento, acesso, compartilhamento, decisões automatizadas, fornecedores e descarte.
O inventário deve apontar finalidade e base jurídica por fluxo, evitando classificar todas as operações como consentimento.
Contratos e fornecedores
SaaS, CRM, nuvem, biometria, marketing, analytics e IA criam cadeias de tratamento. É preciso definir papéis, instruções, segurança, subcontratação, transferência internacional, incidentes e eliminação.
Contratos devem ser compatíveis com a operação real e não apenas repetir conceitos abstratos da LGPD.
Direitos dos titulares e encarregado
A empresa precisa conseguir localizar dados e responder a solicitações sem paralisar o negócio. Fluxos de confirmação, acesso, correção, eliminação quando cabível e informação sobre compartilhamento devem ser documentados.
O papel do encarregado deve estar integrado à governança e ao canal de atendimento.
Risco e documentação
Relatório de impacto é instrumento relevante para tratamentos que possam gerar alto risco e pode ser exigido pela ANPD em hipóteses legais. Não é correto apresentar RIPD como documento automaticamente obrigatório em qualquer operação de alto risco.
A maturidade do programa deve ser demonstrável por decisões, registros, treinamento e monitoramento.
Exemplo prático
Exemplo: uma clínica usa CRM, WhatsApp, prontuário em nuvem, câmera, anúncios e ferramenta de IA para resumo de atendimento. A adequação não pode se limitar ao site. É necessário mapear fornecedores, dados de saúde, transferências, permissões, retenção e usos secundários de IA.
Documentos e provas que normalmente devem ser preservados
- Mapa de sistemas
- Contratos com fornecedores
- Políticas existentes
- Formulários e termos
- Matriz de acessos
- Plano de segurança
- Histórico de incidentes
Perguntas frequentes
Toda empresa precisa de consentimento para tratar dados?
Não. A LGPD prevê diversas bases legais; consentimento é apenas uma delas.
RIPD é sempre obrigatório?
Não. É instrumento ligado a risco e pode ser exigido pela ANPD em situações previstas; a necessidade deve ser avaliada.
Preciso ter DPO?
A necessidade e forma de indicação do encarregado dependem das regras aplicáveis, inclusive tratamento diferenciado para agentes de pequeno porte.
Política de privacidade basta?
Não. Ela deve refletir uma governança real.
Uso de IA está fora da LGPD?
Não. Se houver tratamento de dados pessoais, a LGPD pode incidir independentemente da tecnologia.
Base jurídica e jurisprudencial
- Lei nº 13.709/2018 – LGPD
- Regulamentos e guias da ANPD
- Lei nº 12.965/2014 – Marco Civil da Internet
Atuação jurídica especializada
Max Kolbe atua em Direito Digital na interface entre tecnologia, direitos da personalidade, proteção de dados, responsabilidade civil e regulação de plataformas. Em 2026, sua atuação pública passou a incluir análises sobre o ECA Digital, deepfakes, inteligência artificial, exposição de crianças e adolescentes e riscos jurídicos de novos modelos digitais. No Kolbe Advogados, a abordagem parte da preservação de prova digital, identificação do agente responsável, definição da medida mais eficiente e coordenação entre providências extrajudiciais, regulatórias, civis e, quando cabível, criminais.
Veja também
- Incidente de segurança e vazamento de dados pessoais
- LGPD e ECA Digital para escolas e EdTechs
- Compliance do ECA Digital para plataformas, apps e redes sociais
- Contrato de licenciamento de imagem, voz e identidade para IA
- Direito Digital
Precisa analisar um problema digital concreto?
Organize links, prints, e-mails, contratos, registros técnicos e datas. A estratégia depende do conteúdo, da plataforma, do tipo de dado ou direito afetado e da urgência da medida.