Respostas para as principais dúvidas.

Sim. A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais, de qualquer porte e setor, no ambiente digital ou fora dele. Dados de clientes, colaboradores, candidatos e fornecedores entram na conta.

Microempresas, empresas de pequeno porte e startups têm regras simplificadas, previstas na Resolução CD/ANPD nº 2/2022, mas continuam sujeitas à lei.

O ponto de partida costuma ser o mapeamento de dados: quais dados a empresa coleta, para que finalidade, onde ficam guardados, quem acessa e com quem são compartilhados. Esse registro é a base do RoPA (art. 37 da LGPD).

Depois vêm a definição das bases legais, a revisão de políticas e contratos, a criação de um canal para os titulares, o treinamento das equipes e um plano de resposta a incidentes.

RoPA é o registro das operações de tratamento de dados pessoais, previsto no art. 37 da LGPD. LIA é o teste de balanceamento do legítimo interesse, que demonstra que o interesse da empresa não afeta de forma desproporcional os direitos do titular. RIPD é o relatório de impacto à proteção de dados, que descreve tratamentos capazes de gerar riscos às liberdades e aos direitos das pessoas e as medidas para reduzi-los.

A ANPD pode solicitar o relatório de impacto em determinadas situações.

O art. 52 prevê, entre outras, advertência, multa simples de até 2% do faturamento da pessoa jurídica no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração e bloqueio ou eliminação dos dados envolvidos.

Além da atuação da ANPD, a empresa pode responder civilmente por danos causados aos titulares. Órgãos de proteção ao consumidor – como Procon e Senacon – e até o Ministério Público, podem realizar fiscalizações.

Conter o incidente, avaliar o risco para os titulares e registrar tudo o que aconteceu. Quando o incidente puder causar risco ou dano relevante, a empresa deve comunicar a ANPD e os titulares afetados em até três dias úteis a partir do momento em que toma conhecimento, conforme a Resolução CD/ANPD nº 15/2024.

Todos os incidentes, comunicados ou não, devem ficar registrados.

O art. 18 da LGPD garante direitos como confirmação do tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. A empresa precisa de um canal claro para receber esses pedidos e de um fluxo interno para responder.

No caso de confirmação de tratamento e acesso, a resposta pode ser imediata, em formato simplificado, ou por declaração completa em até 15 dias (art. 19).

O encarregado é o canal de comunicação entre a empresa, os titulares dos dados e a ANPD (art. 41 da LGPD). Cabe a ele aceitar reclamações e pedidos dos titulares, receber comunicações da ANPD, orientar colaboradores e contratados sobre boas práticas de proteção de dados e executar as demais atribuições definidas pela empresa ou por normas complementares.

A regra geral é que o controlador indique um encarregado. A Resolução CD/ANPD nº 2/2022 dispensa essa indicação para agentes de tratamento de pequeno porte, que mesmo assim devem manter um canal de comunicação com os titulares. Há exceções, por exemplo, quando o tratamento envolve alto risco.

O enquadramento depende de cada caso e vale a pena confirmá-lo antes de decidir.

Sim. A Resolução CD/ANPD nº 18/2024 permite que o encarregado seja uma pessoa natural ou jurídica, interna ou externa à empresa. A indicação deve ser formalizada em documento escrito, datado e assinado, e a identidade e o contato do encarregado devem ser divulgados publicamente.

É importante garantir ao encarregado acesso às informações necessárias e evitar conflito de interesses.

O serviço assume as responsabilidades do encarregado, entre elas: gestão de incidentes de segurança com dados pessoais, composição e funcionamento do comitê de privacidade, interlocução com a ANPD e com os titulares, criação e manutenção do canal de atendimento ao titular, relatórios com métricas de privacidade para a diretoria e suporte às equipes no desenvolvimento de produtos e atividades que envolvam dados pessoais.

Não. A responsabilidade legal pelo tratamento de dados continua sendo da empresa, como controladora. O encarregado orienta, centraliza a comunicação e apoia a governança, mas não substitui as decisões e as obrigações da empresa.

É a análise prévia de quem vai integrar a cadeia de fornecedores, parceiros ou clientes de uma empresa. Ela reúne verificação documental e reputacional para avaliar riscos legais, reputacionais e de integridade antes da contratação, e resulta em um relatório que apoia a decisão da diretoria.

Antes de firmar a contratação e, nos casos de maior risco, de forma periódica enquanto a relação durar. Ela também é comum em operações societárias, como fusões e aquisições, e na seleção de intermediários, representantes e prestadores que atuam em nome da empresa.

São siglas em inglês para "conheça o seu cliente" (Know Your Customer), "conheça o seu fornecedor" (Know Your Supplier) e "conheça o seu colaborador" (Know Your Employee). Existe ainda o KYP, "conheça o seu parceiro".

Todos têm a mesma finalidade: conhecer bem a contraparte, com critérios documentados e acompanhamento ao longo da relação.

A due diligence é a análise feita antes de contratar. O KYC, o KYS e o KYE são o acompanhamento contínuo depois: monitoram mudanças no perfil de risco de clientes, fornecedores e colaboradores ao longo do tempo.

Situação cadastral, estrutura societária e corpo diretivo, histórico de sanções e de envolvimento em ilícitos, vínculos com a administração pública, consulta a listas sancionadoras públicas e existência de programa de integridade.

O tratamento desses dados deve seguir a LGPD, com finalidade definida e apenas as informações necessárias.

Para a maioria das empresas não há uma obrigação geral, mas ela é exigida em setores regulados, como o financeiro e o de mercado de capitais, e é um dos critérios de avaliação de efetividade do programa de integridade previsto no Decreto 11.129/2022, que regulamenta a Lei Anticorrupção.

É o conjunto de políticas, controles, treinamentos e canais que ajudam a empresa a cumprir leis, normas e regras internas, além de prevenir e corrigir desvios. Vai além dos documentos: depende de uma cultura de ética que o dia a dia da empresa sustente.

Para a maioria das empresas, não há obrigação geral. Ele é exigido em setores regulados e pode ser requisito em contratações públicas, como prevê a Nova Lei de Licitações (Lei 14.133/2021) para contratações de grande vulto. Além disso, a existência de um programa efetivo é considerada na aplicação de penalidades pela Lei Anticorrupção.

A Lei 12.846/2013 responsabiliza as empresas, de forma objetiva, por atos lesivos contra a administração pública. A multa varia de 0,1% a 20% do faturamento bruto, e a existência de um programa de integridade efetivo pode reduzir a penalidade, nos termos do Decreto 11.129/2022.

É a prevenção à lavagem de dinheiro e ao financiamento do terrorismo, regulada pela Lei 9.613/1998. As obrigações variam conforme o setor de atuação e incluem, entre outras, políticas, identificação de clientes, monitoramento de operações e comunicação às autoridades quando cabível.

Pela avaliação de riscos da empresa, que orienta quais políticas e controles são prioridade. Em seguida entram o código de ética e conduta, as políticas de PLD/FT, antissuborno e anticorrupção, os treinamentos, um canal de denúncias e o monitoramento. O apoio da alta direção é decisivo para o programa funcionar.

Quando há tratamento de dados pessoais, vale definir os papéis de cada parte (controlador e operador), a finalidade, as medidas de segurança, o aviso de incidentes, a subcontratação, a auditoria, a devolução ou eliminação dos dados ao fim do contrato e, se for o caso, a transferência internacional.

Sim. A análise identifica cláusulas de risco, como responsabilidade, rescisão, confidencialidade e proteção de dados, e propõe ajustes para equilibrar as obrigações entre as partes.

Quando a operação muda, quando entram novos fornecedores ou tipos de dado, perto da renovação e depois de incidentes ou mudanças na legislação. A gestão de contratos com controle de vigência, obrigações e pontos de atenção evita surpresas.

O atendimento é online e atende empresas de todo o Brasil, por videoconferência, mensagens e documentos compartilhados.

Pelo botão de WhatsApp do site ou pelo formulário de contato. A disponibilidade é de segunda a sexta, em horário comercial (8h às 18h), e, fora do horário, o formulário recebe a sua mensagem.

A conversa inicial serve para entender a operação, os riscos e as prioridades da empresa. A partir dela, o escopo do trabalho é desenhado para a necessidade de cada cliente e uma proposta é apresentada para análise e aprovação.