LGPD para empresas: cuidados com dados de clientes e colaboradores
Toda empresa que lida com dados de clientes, fornecedores ou colaboradores — o que, na prática, é praticamente qualquer empresa, de pequenos negócios a grandes companhias — está sujeita à Lei Geral de Proteção de Dados Pessoais (LGPD). Ainda assim, é comum a ideia equivocada de que a lei se aplica apenas a empresas de tecnologia ou que lidam com grandes volumes de dados.
A LGPD dispõe sobre o tratamento de dados pessoais por pessoa natural ou jurídica, de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade. A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por fiscalizar o cumprimento da lei.
Este texto tem caráter informativo e educacional. Ele não esgota o assunto e não substitui a análise individual do caso concreto por um profissional habilitado — cada empresa tem um cenário próprio de tratamento de dados.
O que conta como dado pessoal e tratamento
A LGPD define dado pessoal como qualquer informação relacionada a pessoa natural identificada ou identificável. Já o tratamento de dados abrange praticamente qualquer operação realizada com esses dados: coleta, produção, recepção, classificação, uso, armazenamento, compartilhamento, e mesmo a eliminação. Isso significa que uma empresa trata dados pessoais mesmo em atividades simples, como manter uma planilha de contatos de clientes ou uma folha de pagamento de colaboradores.
Mapeamento de dados: o primeiro passo
Antes de qualquer outra medida, costuma-se recomendar que a empresa mapeie quais dados pessoais trata, de quem (clientes, colaboradores, fornecedores), com qual finalidade, onde ficam armazenados e quem tem acesso a eles. Sem esse mapeamento, é difícil saber exatamente o que precisa ser ajustado para adequação à lei.
Esse mapeamento costuma revelar situações que passam despercebidas no dia a dia, como planilhas com dados de clientes compartilhadas por e-mail sem controle de acesso, ou currículos de candidatos armazenados indefinidamente após um processo seletivo já encerrado.
Bases legais para o tratamento de dados
A LGPD prevê diferentes hipóteses que autorizam o tratamento de dados pessoais, entre elas o consentimento do titular, o cumprimento de obrigação legal, a execução de contrato do qual o titular é parte, e o legítimo interesse do controlador, observados os limites e as garantias previstas na lei. Qual base legal se aplica a cada situação depende da finalidade específica do tratamento realizado.
Direitos dos titulares de dados
A lei garante aos titulares — clientes, colaboradores, qualquer pessoa cujos dados a empresa trate — direitos como o acesso aos próprios dados, a correção de dados incompletos ou desatualizados, e a eliminação de dados tratados com base no consentimento, exceto nas hipóteses previstas em lei. Empresas costumam precisar estruturar um canal para que esses direitos possam ser exercidos na prática, com prazos e responsáveis definidos internamente para responder a essas solicitações.
Cuidados com armazenamento e compartilhamento
Definir quem, dentro da empresa, tem acesso a quais dados, adotar medidas técnicas de segurança da informação, e formalizar, por contrato, obrigações de proteção de dados ao compartilhar informações com fornecedores ou parceiros são cuidados que costumam integrar um programa básico de adequação à LGPD. Ter um plano de resposta para eventuais incidentes de segurança — como vazamentos de dados — também é uma medida recomendável, já que a lei prevê comunicação à ANPD e aos titulares afetados em determinadas hipóteses. O tratamento de dados de colaboradores merece a mesma atenção dedicada aos dados de clientes: informações como exames admissionais, dados bancários e avaliações de desempenho também são dados pessoais, e políticas de monitoramento de e-mail corporativo ou de câmeras no ambiente de trabalho costumam precisar de base legal e transparência com os colaboradores envolvidos.
Quando buscar orientação especializada
Empresas que ainda não mapearam seus dados, que compartilham informações com terceiros sem cláusulas específicas sobre proteção de dados, ou que sofreram algum incidente de segurança envolvendo dados pessoais tendem a se beneficiar de uma análise técnica. Uma orientação especializada pode ajudar a estruturar um programa de adequação proporcional ao porte e à realidade da empresa.
Perguntas frequentes
A LGPD se aplica só a empresas de tecnologia?
Não. A lei se aplica a qualquer empresa que trate dados pessoais, independentemente do setor de atuação ou do porte do negócio — a lei prevê apenas tratamento diferenciado em determinados aspectos para microempresas e empresas de pequeno porte.
Ter uma política de privacidade é suficiente para cumprir a LGPD?
Não isoladamente. A conformidade costuma envolver processos internos de mapeamento, segurança e resposta a incidentes, e não apenas um documento publicado no site.
É possível garantir um resultado específico?
Não. Nenhum profissional pode garantir que uma empresa nunca sofrerá um questionamento sobre proteção de dados ou uma fiscalização da ANPD. O que se pode oferecer é a estruturação técnica de um programa de conformidade proporcional à realidade da empresa.
Conclusão
A adequação à LGPD depende do mapeamento dos dados tratados, da identificação da base legal aplicável a cada situação e da adoção de cuidados concretos de segurança e governança. Este conteúdo tem caráter exclusivamente informativo e não substitui a análise individual de cada situação por um profissional habilitado. Para conhecer a atuação do escritório nessa área, veja Direito Empresarial ou os demais conteúdos sobre o tema.
Entre em contato para mais informações sobre a atuação do escritório.
