Proteção de dados
LGPD para empresas: o que a lei exige na prática e 8 passos para se adequar
Funcionários, clientes, fornecedores, site e cookies: o que a Lei Geral de Proteção de Dados pede de uma empresa comum, sem burocracia desnecessária.
Por Dra. Elizabeth LeiteDireção do Império Lex · OAB/DF 67.590
Resposta rápida
Na prática, a LGPD para empresas exige saber quais dados pessoais a empresa trata, ter uma base legal para cada uso, proteger esses dados, atender aos pedidos dos titulares e comunicar incidentes graves. Vale para dados de funcionários, clientes e fornecedores, em qualquer porte. A Império Lex Advocacia Empresarial, com sede em Brasília, conduz essa adequação de forma proporcional ao tamanho e ao risco de cada negócio.
Muita gente ainda pensa que a Lei Geral de Proteção de Dados é assunto de banco, rede social ou grande varejista. Não é. Uma clínica com fichas de pacientes, uma loja com cadastro de clientes, uma indústria com cinquenta funcionários: todas tratam dados pessoais todos os dias.
Este guia mostra o que a LGPD para empresas pede de um negócio comum, sem jargão e sem burocracia desnecessária. Você vai ver as bases legais, os cuidados com cada público, o papel do encarregado, o que fazer em um vazamento, as sanções e um roteiro de adequação em oito passos.
LGPD para empresas: o que a lei exige na prática
A Lei nº 13.709/2018 (LGPD) regula o tratamento de dados pessoais, ou seja, qualquer informação que identifique ou possa identificar uma pessoa física (art. 5º, I). Nome, CPF, e-mail, telefone, endereço, foto e histórico de compras entram nessa conta.
Alguns dados merecem cuidado redobrado. São os dados sensíveis (art. 5º, II): saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual e dados genéticos. Um atestado médico ou a digital usada no ponto eletrônico já são dados sensíveis.
A lei também define papéis. O controlador é quem decide como e por que os dados são tratados, normalmente a própria empresa. O operador trata dados em nome do controlador, como a empresa de folha de pagamento ou o sistema de gestão. O encarregado é o canal de comunicação com os titulares e com a ANPD.
As bases legais: consentimento não é a única
Toda forma de uso de dados pessoais precisa de uma base legal. O art. 7º da LGPD traz dez, e o consentimento é só uma delas. Na rotina de uma empresa, as outras costumam ser mais adequadas:
| Situação na empresa | Base legal mais comum |
|---|---|
| Folha de pagamento, eSocial e obrigações fiscais | Cumprimento de obrigação legal ou regulatória (art. 7º, II) |
| Cadastro para vender, entregar e emitir nota | Execução de contrato ou procedimentos preliminares (art. 7º, V) |
| Guardar documentos para uma eventual defesa | Exercício regular de direitos em processo (art. 7º, VI) |
| Análise de crédito e cobrança | Proteção do crédito (art. 7º, X) |
| Contato comercial com clientes atuais | Legítimo interesse, com avaliação e registro (art. 7º, IX) |
| Newsletter para quem não é cliente | Consentimento livre, informado e inequívoco (art. 7º, I) |
Para dados sensíveis, as regras são mais estreitas e estão no art. 11. Na LGPD para empresas, o ponto central é simples: cada uso precisa de um motivo legítimo, definido antes, e a empresa deve conseguir explicar esse motivo se for perguntada.
LGPD para empresas: funcionários, clientes e fornecedores
Dados de funcionários
O RH é, muitas vezes, onde estão os dados mais delicados da empresa. Currículos, documentos pessoais, dados de dependentes, exames ocupacionais, atestados e biometria do ponto. Restrinja o acesso a quem precisa, guarde exames e atestados em local separado e defina por quanto tempo cada documento fica arquivado. Alguns precisam ser mantidos por anos, por exigência legal ou para a defesa da empresa; outros, como currículos de quem não foi contratado, não têm motivo para ficar indefinidamente. No desligamento, o cuidado continua: o guia sobre demissão de funcionário ajuda a organizar essa etapa.
Dados de clientes
Colete só o necessário para a finalidade informada. Se o cadastro pede data de nascimento, profissão e renda para uma simples entrega, algo está sobrando. Atenção também aos clientes pessoa jurídica: o nome e o e-mail do comprador que você atende são dados pessoais.
Fornecedores que tratam dados
Contabilidade, sistema de gestão, hospedagem do site, plataforma de e-mail marketing e empresa de folha tratam dados em nome da sua empresa. Pelo art. 39, o operador deve seguir as instruções do controlador, e pelo art. 42 os dois podem responder por danos causados ao titular. Por isso, os contratos com esses fornecedores precisam de cláusulas de proteção de dados: finalidade, segurança, sigilo, subcontratação, aviso de incidente e devolução ou eliminação dos dados no fim da relação. O guia sobre contrato com fornecedor mostra como estruturar esse documento.
Encarregado de dados (DPO): quem precisa ter
O art. 41 da LGPD determina que o controlador indique um encarregado pelo tratamento de dados pessoais, o chamado DPO. A identidade e o contato dele devem ser divulgados de forma clara, de preferência no site. Ele recebe reclamações dos titulares, se comunica com a ANPD e orienta a equipe.
A própria lei permite que a ANPD crie regras simplificadas para negócios menores (art. 55-J, XVIII). Foi o que fez a Resolução CD/ANPD nº 2/2022: os agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte, ficam dispensados de indicar encarregado, mas precisam manter um canal de comunicação com os titulares. A dispensa não vale para quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala. Na LGPD para empresas menores, simplificar não significa ignorar.
Direitos do titular: o que a empresa deve atender
Na LGPD para empresas, o art. 18 assegura ao titular, entre outros, o direito de:
- Confirmar se a empresa trata dados dele e acessar esses dados.
- Corrigir dados incompletos, inexatos ou desatualizados.
- Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei.
- Saber com quem a empresa compartilhou os dados.
- Revogar o consentimento, quando essa for a base legal.
- Pedir a portabilidade, nos termos da regulamentação.
Na prática, a empresa precisa de um canal para receber esses pedidos e de alguém que saiba onde os dados estão. Sem mapeamento, responder a um simples "quais dados vocês têm sobre mim?" vira uma caça ao tesouro.
Segurança e vazamento de dados
O art. 46 exige medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. No dia a dia da LGPD para empresas, isso começa no básico: senhas fortes, autenticação em dois fatores, controle de acesso por função, cópias de segurança, atualização de sistemas e cuidado com planilhas enviadas por e-mail.
Se acontecer um incidente que possa gerar risco ou dano relevante aos titulares, o art. 48 obriga o controlador a comunicar a ANPD e os titulares. O regulamento da ANPD sobre o tema, a Resolução CD/ANPD nº 15/2024, fixa em regra o prazo de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais. Ter um plano de resposta pronto antes do problema faz toda a diferença.
Sanções: o que está em jogo na LGPD para empresas
As sanções administrativas estão no art. 52 da LGPD e podem ser aplicadas pela ANPD. Vão de advertência, com prazo para corrigir, até multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Há também multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos, entre outras.
A multa não é o único risco. Titulares podem pedir indenização na Justiça, e clientes de grande porte já exigem comprovação de adequação antes de contratar. A LGPD para empresas virou, também, um tema comercial.
Passo a passo da LGPD para empresas
- Mapeie os dados.
Quais dados entram, de onde vêm, onde ficam, quem acessa e com quem são compartilhados.
- Defina a base legal de cada uso.
E elimine o que não tem finalidade clara.
- Registre as operações.
O art. 37 exige que controlador e operador mantenham registro das operações de tratamento.
- Revise os contratos.
Com fornecedores que tratam dados, com funcionários e com clientes, quando for o caso.
- Reforce a segurança.
Acessos, senhas, backups e regras para o uso de dispositivos pessoais.
- Crie o canal do titular e defina o encarregado.
Ou o canal de comunicação, se a empresa for de pequeno porte.
- Prepare o plano de incidente.
Quem faz o quê nas primeiras horas, e como decidir se é preciso comunicar.
- Treine a equipe e revise todo ano.
A maior parte dos incidentes começa com um clique errado.
A adequação à LGPD costuma andar junto com outras rotinas de conformidade. O guia de compliance empresarial mostra como organizar esse conjunto.
Site, formulários e cookies
O site é a vitrine da adequação. Ele precisa de uma política de privacidade clara, que diga quais dados são coletados, para quê, com quem são compartilhados e como o titular exerce seus direitos. Formulários devem pedir só o necessário. Cookies que não são essenciais ao funcionamento, como os de publicidade e de análise de terceiros, pedem atenção especial: a ANPD publicou um guia orientativo sobre cookies que ajuda a desenhar o aviso e as opções de escolha do visitante.
Como a Império Lex conduz a adequação à LGPD para empresas
A Império Lex Advocacia Empresarial é uma advocacia empresarial com sede em Brasília que atende empresas no Brasil e em todo o mundo. Na proteção de dados, o trabalho é proporcional ao porte e ao risco de cada negócio, sem montar uma estrutura maior do que a empresa precisa. A Dra. Elizabeth Leite conduz pessoalmente cada caso.
- Diagnóstico
Mapeamento dos dados de funcionários, clientes e fornecedores e dos pontos de maior risco.
- Documentos
Política de privacidade, registros, cláusulas contratuais e normas internas.
- Rotinas
Canal do titular, plano de resposta a incidentes e orientação da equipe.
- Acompanhamento
Apoio em pedidos de titulares, incidentes e contatos com a ANPD.
Para entender como a proteção de dados se encaixa na rotina jurídica da empresa, conheça as áreas de atuação da Império Lex.
Perguntas frequentes sobre LGPD para empresas
A LGPD vale para empresa pequena?
Vale. A LGPD para empresas se aplica a qualquer porte que trate dados de pessoas físicas, inclusive de funcionários. O que muda é a intensidade: a ANPD criou regras simplificadas para agentes de tratamento de pequeno porte, como a dispensa de indicar encarregado, desde que mantenham um canal de comunicação com os titulares.
Preciso pedir consentimento para tudo?
Não. O consentimento é só uma das dez bases legais do art. 7º. A folha de pagamento, por exemplo, se apoia em obrigação legal, e o atendimento a um cliente, na execução do contrato. Pedir consentimento quando ele não é a base certa pode até criar problema.
Dados de contato de outra empresa entram na LGPD?
O CNPJ e a razão social, não. Mas o nome, o e-mail e o telefone da pessoa que trabalha no cliente ou no fornecedor são dados pessoais, porque identificam uma pessoa física. Eles entram na adequação à LGPD para empresas.
O que fazer se houver vazamento de dados?
Conter o incidente, registrar o que aconteceu e avaliar o risco aos titulares. Se houver risco ou dano relevante, a empresa deve comunicar a ANPD e os titulares, nos termos do art. 48 da LGPD e do regulamento da ANPD sobre incidentes. Ter esse roteiro pronto faz parte da LGPD para empresas.
Direção do Império Lex
Dra. Elizabeth Leite
OAB/DF 67.590 | OAB/SP 404.735
Advogada com inscrição no Distrito Federal e em São Paulo, com atuação em direito empresarial, direito trabalhista, direito civil e direito tributário. Conduz pessoalmente cada caso da Império Lex Advocacia Empresarial.
Este artigo tem caráter informativo e não substitui a análise do caso concreto. Publicado em 2 de novembro de 2026.