A palavra "adequação" aparece em todo projeto de LGPD — mas o que significa, na prática, estar adequado? Não existe certificação oficial de conformidade no Brasil (diferente do ISO 27701, que é voluntário). O que existe é uma operação que demonstra boas práticas: documentos atualizados, processos funcionando e evidências de que os direitos dos titulares são atendidos.
Este guia apresenta um passo a passo de adequação com LGPD testado em empresas de diferentes portes. Não é teoria — é o roteiro que funciona.
Etapa 1: Diagnóstico de conformidade
Antes de qualquer ação, é preciso saber onde a empresa está. O diagnóstico responde:
- Quais dados pessoais a empresa coleta e onde eles ficam armazenados?
- Existe base legal documentada para cada atividade de tratamento?
- Como as solicitações de titulares chegam e como são respondidas?
- Os contratos com fornecedores que acessam dados pessoais têm cláusula de proteção de dados?
- O site tem Política de Privacidade atualizada e banner de cookies funcional?
- Há processo definido para resposta a incidentes de dados?
O resultado é um mapa de lacunas — cada "não" vira uma tarefa de adequação.
Etapa 2: Inventário de dados (mapeamento)
O inventário de dados — ou Relatório de Impacto à Proteção de Dados (RIPD) — documenta cada atividade de tratamento da empresa. Para cada atividade, registre:
- Qual dado é coletado e de quem;
- Para qual finalidade;
- Qual base legal justifica o tratamento (consentimento, contrato, obrigação legal, legítimo interesse, etc.);
- Quem tem acesso (interno e externo);
- Por quanto tempo o dado é retido;
- Quais medidas de segurança protegem o dado.
Comece pelos processos de maior risco: RH (dados de colaboradores), CRM (dados de clientes), marketing (dados de leads), atendimento ao cliente e fornecedores com acesso a dados sensíveis.
Etapa 3: Indicação do DPO (Encarregado)
Toda empresa controladora de dados precisa indicar um Encarregado de Proteção de Dados. Ele pode ser funcionário interno, profissional externo ou empresa especializada. Após a indicação, é obrigatório publicar o nome e canal de contato do DPO em local de fácil acesso — normalmente na Política de Privacidade ou no rodapé do site.
Saiba mais sobre quem pode ser DPO e como formalizar a indicação em nosso artigo específico.
Etapa 4: Atualização de documentos
Com o inventário em mãos, é hora de revisar ou criar os documentos obrigatórios:
- Política de Privacidade: deve refletir o que a empresa realmente faz com os dados — não um texto genérico copiado da internet. Precisa informar: quais dados são coletados, para quê, com quem são compartilhados, por quanto tempo ficam armazenados, como o titular pode exercer seus direitos e quem é o DPO.
- Termos de Uso: contrato entre empresa e usuário/cliente; precisa de cláusula de proteção de dados e referência à Política de Privacidade.
- DPA (Data Processing Agreement): aditivo contratual com todos os fornecedores que processam dados pessoais em nome da empresa (nuvem, RH, CRM, folha de pagamento, marketing).
- Política de Cookies: descreve quais cookies são usados, para quê e como o titular pode gerenciá-los.
Etapa 5: Portal de titulares e gestão de solicitações
A LGPD garante ao titular 9 direitos (Art. 18) e a empresa tem 15 dias para responder a qualquer solicitação. Sem um processo estruturado, esse prazo é fácil de perder.
O ideal é ter um canal centralizado — preferencialmente um portal público onde o titular abre o pedido, recebe protocolo e pode acompanhar o andamento. Isso elimina a dependência de e-mails dispersos e gera evidência de atendimento.
Etapa 6: Banner de consentimento e cookies
Sites que usam cookies de rastreamento, analytics ou publicidade precisam do consentimento prévio do visitante. Isso exige um banner funcional que:
- Apareça antes de qualquer cookie não essencial ser carregado;
- Ofereça opções reais (aceitar todos, rejeitar não essenciais, personalizar);
- Registre a decisão com timestamp e versão do documento.
Saiba mais em como adequar seu site à LGPD com cookies.
Etapa 7: Treinamento das equipes
LGPD é, em grande parte, um problema de processo e cultura. De nada adianta ter os documentos certos se o time de vendas compartilha listas de leads por WhatsApp sem base legal ou se o RH envia currículos por e-mail sem criptografia.
O treinamento mínimo cobre: o que são dados pessoais, como identificar e responder pedidos de titulares, o que fazer em caso de incidente, e as responsabilidades do cargo.
Etapa 8: Governança contínua
Adequação não é um projeto com data de término — é uma operação contínua. Estabeleça:
- Revisão anual do inventário de dados e dos documentos;
- Processo de gestão de incidentes (quem aciona, como notificar a ANPD em até 72 horas);
- Análise de impacto (RIPD) para novos produtos ou atividades de tratamento;
- Monitoramento de novas orientações da ANPD.
Quanto tempo leva a adequação?
Depende do porte e da complexidade. Uma empresa de 10 pessoas com operação digital simples consegue atingir conformidade operacional em 4 a 8 semanas com o apoio de uma ferramenta especializada. Empresas maiores com múltiplos sistemas e fornecedores levam de 3 a 6 meses para a primeira rodada completa.
O mhslgpd acelera o processo: templates de documentos prontos para revisar, portal de titulares configurado em minutos, inventário de dados com campos estruturados e relatórios de conformidade exportáveis.
Conclusão
A adequação com LGPD é um investimento, não um custo. Empresas que demonstram governança de dados vencem licitações, fecham parcerias mais rápido e evitam as multas que a ANPD está progressivamente aumentando. Comece pelo diagnóstico, priorize o atendimento a titulares e avance pelas etapas — uma de cada vez.