Um programa de adequação à LGPD reúne os mapeamentos, documentos, processos e treinamentos que permitem a uma empresa saber quais dados pessoais trata, por que trata, com que base legal, por quanto tempo guarda, quem acessa e o que faz quando algo dá errado. O objetivo é responder, com evidência, a qualquer pergunta de um titular ou da Autoridade Nacional de Proteção de Dados.
A Lei 13.709/2018 está em vigor desde 2020, e as sanções desde 2021. Muitas empresas fizeram a adequação naquela época e não atualizaram o inventário desde então.
Privacidade e segurança no mesmo programa
A LGPD exige medidas de segurança técnicas e administrativas capazes de proteger os dados contra acessos não autorizados. Uma empresa com política de privacidade completa e um banco de dados exposto continua em desacordo com a lei.
No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, 38,1% tinham ambiente em nuvem sem autenticação multifator, um dos caminhos mais curtos para um vazamento de dados pessoais.
As etapas do programa
O planejamento e diagnóstico reúne patrocínio executivo, responsáveis por área, levantamento das políticas e controles existentes e o lugar dos riscos regulatórios na matriz de riscos. O mapeamento é a etapa mais trabalhosa: identificar os processos que tratam dados pessoais, catalogar cada dado e mapear o ciclo de vida, da coleta à eliminação, com finalidade e base legal.
A estruturação produz os documentos que a lei e a ANPD esperam, e a implantação inclui treinamento de colaboradores e terceiros e a rotina que mantém o programa atualizado. Um programa completo costuma levar alguns meses, conforme o número de processos e sistemas no escopo.
Os documentos centrais
A estruturação produz:
- ROPA: o registro das operações de tratamento, com dados envolvidos, papel da empresa e finalidade.
- RIPD: o relatório de impacto à proteção de dados para tratamentos que podem gerar risco aos titulares.
- LIA: a avaliação de legítimo interesse, quando essa é a base legal usada.
- Tabela de temporalidade: por quanto tempo cada tipo de dado é guardado e quando é eliminado.
- Políticas e planos: política de privacidade externa e planos de resposta a incidentes e de comunicação.
A tabela de temporalidade costuma ser a mais esquecida. A lei permite guardar dado pessoal apenas enquanto houver finalidade ou obrigação legal, e todo dado mantido sem necessidade amplia o que pode vazar.
Incidentes e sanções
Quando um incidente pode causar risco ou dano relevante aos titulares, a empresa precisa comunicar a ANPD e os titulares afetados. O regulamento da ANPD estabelece prazo de três dias úteis para essa comunicação.
Os números da própria autoridade mostram o volume. Em seu 3º Relatório de Ciclo de Monitoramento, a ANPD registrou 723 comunicações de incidentes de segurança entre o segundo semestre de 2023 e o primeiro semestre de 2025.
As sanções vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$50 milhões por infração, além de publicização, bloqueio ou eliminação dos dados e suspensão do tratamento. Para muitos negócios, a suspensão do tratamento pesa mais que a multa.
Programa de proteção de dados integrado à segurança
A Vultus estrutura o programa de adequação conectando privacidade, segurança da informação e gestão de terceiros, com o inventário atualizado a cada novo sistema contratado. Conheça o programa de proteção de dados da Vultus e leia sobre gestão de riscos de terceiros. Este conteúdo explica a estrutura de um programa de adequação e não é parecer jurídico.
