LGPD na prática: primeiros passos

LGPD assusta quando parece projeto jurídico infinito. Na prática, o primeiro ciclo de conformidade combina três movimentos: saber o que você trata, justificar por que trata e responder titulares com processo claro — tudo documentado.

O que a ANPD espera ver primeiro

Não é certificação nem DPO famoso no site. É governança mínima: encarregado indicado (interno ou terceiro), registro das operações de tratamento, base legal definida por finalidade e canal para direitos do titular funcionando.

• Inventário / ROPA — o quê, para quê, por quanto tempo, com quem compartilha.

• Bases legais — consentimento quando necessário; legítimo interesse só com análise documentada.

• Segurança proporcional — acesso, backup, incidentes com plano de resposta.

• Titulares — pedidos de acesso, correção e eliminação com prazo e registro.

Inventário: comece pelo que dói

Priorize sistemas e planilhas críticas

RH, comercial, marketing, financeiro e ferramentas SaaS costumam concentrar dados pessoais sensíveis ou em volume. Liste fluxos, não só “temos CRM”. Quem insere? Quem exporta? Onde fica backup?

Documente a base legal de cada finalidade

“Legítimo interesse” e “execução de contrato” são bases válidas — mas exigem registro do raciocínio. Evite usar consentimento genérico em tudo; isso cria obrigação de revogação desnecessária e confunde o titular.

Canal do titular sem burocracia

E-mail dedicado ou formulário simples bastam, desde que alguém monitore, registre prazos (em geral 15 dias, prorrogáveis) e responda com evidência. O pior cenário é titular reclamar na ANPD porque ninguém viu a mensagem no info@ genérico.

RIPD e incidentes: quando entrar

Relatório de Impacto (RIPD) entra quando o tratamento pode gerar risco relevante — marketing massivo com perfilamento, dados sensíveis em escala, monitoramento sistemático. Incidente com risco ao titular exige comunicação à ANPD e, em casos graves, aos titulares. Tenha playbook antes do incidente, não depois.

Checklist de 30 dias

• Nomear encarregado e publicar canal de contato.

• Completar inventário das cinco principais operações de tratamento.

• Revisar política de privacidade e avisos no site.

• Testar um pedido simulado de titular do início ao fim.

• Agendar revisão trimestral do inventário.