O que a LGPD exige de uma empresa que coleta dados de clientes

A Lei Geral de Proteção de Dados (LGPD) se aplica a qualquer empresa que colete, armazene, processe ou compartilhe dados pessoais de pessoas no Brasil — independentemente do tamanho da empresa ou do setor. Um formulário de contato, um cadastro de cliente, uma lista de e-mail marketing: todos esses pontos já colocam a empresa dentro do escopo da lei.

Base legal para tratar dados

A LGPD exige que exista uma base legal válida para cada tratamento de dado pessoal. Consentimento é a mais conhecida, mas não é a única — execução de contrato, cumprimento de obrigação legal e legítimo interesse também são bases válidas, dependendo do caso. O erro comum é assumir que "ter um checkbox de aceite" resolve tudo, quando na verdade a base legal precisa ser coerente com a finalidade real do uso do dado.

Segurança técnica não é opcional

A lei não define uma lista fechada de controles técnicos obrigatórios, mas exige, no artigo 46, que a empresa adote "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais". Na prática, isso é interpretado junto com o restante do arcabouço de segurança da informação: controle de acesso, criptografia onde apropriado, gestão de vulnerabilidades e um processo de resposta a incidente.

Direitos do titular dos dados

• Confirmar se a empresa trata seus dados e para qual finalidade
• Acessar os dados que a empresa tem sobre ele
• Corrigir dados incompletos ou desatualizados
• Solicitar a exclusão de dados tratados com base em consentimento
• Solicitar a portabilidade dos dados para outro fornecedor

Cada um desses direitos precisa de um processo real por trás — não adianta estar escrito na política de privacidade se, na prática, ninguém na empresa sabe como atender esse pedido em tempo hábil.

O que acontece em caso de incidente

Se houver um vazamento de dados que possa acarretar risco relevante aos titulares, a empresa tem obrigação de comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e, dependendo do risco, os próprios titulares afetados. Não existe prazo fixo em lei para essa comunicação, mas a orientação da ANPD é que seja feita em tempo razoável — o que reforça por que ter um plano de resposta a incidente pronto antes de precisar dele faz toda a diferença.