LGPD na prática: a diferença entre adequação real e adequação de papel

Desde que a Lei Geral de Proteção de Dados entrou em vigor, criou-se um mercado inteiro de adequação. Consultorias, escritórios, plataformas e pacotes de documentos prometem colocar empresas em conformidade rapidamente, muitas vezes em prazos que não permitem nenhuma análise real do ambiente operacional.

O resultado é um fenômeno que auditores, fiscais e advogados especializados reconhecem com facilidade: a adequação de papel.

Documentos corretos, políticas redigidas, termos publicados, e uma operação que continua funcionando exatamente como antes, sem nenhuma mudança real nas práticas de tratamento de dados.

O problema não é estético. É jurídico. Adequação de papel não protege a organização em uma fiscalização da ANPD. Não responde a uma solicitação de titular. Não funciona quando um incidente acontece. E, o que é mais grave, dá ao gestor a falsa sensação de que o problema está resolvido, quando ele continua intacto.

A adequação de papel surge quando o processo de conformidade é tratado como um projeto de documentação, não como uma mudança real nas práticas da organização.

O roteiro é sempre parecido: uma consultoria ou escritório entrega um pacote de documentos, política de privacidade, aviso de cookies, termos de uso, contratos com operadores, registro de operações de tratamento.

Os documentos são publicados ou arquivados. O projeto é declarado concluído.

O que esse processo raramente faz:

Quando esses elementos estão ausentes, os documentos existem, mas a conformidade não. E a diferença aparece exatamente nos momentos em que ela mais importa.

A Autoridade Nacional de Proteção de Dados tem ampliado progressivamente sua capacidade de fiscalização.

Os processos administrativos instaurados pela ANPD não avaliam apenas se a organização tem uma política de privacidade publicada, avaliam se as práticas descritas nos documentos correspondem ao que efetivamente acontece.

Uma fiscalização pode incluir requisição de evidências de como solicitações de titulares foram tratadas, documentação de incidentes anteriores e como foram gerenciados, contratos com fornecedores e terceiros que acessam dados pessoais, e registros de treinamentos realizados com as equipes.

Documentos que descrevem processos que não existem na prática não apenas deixam de proteger a organização, podem agravar a situação, caracterizando omissão ou falsidade nas informações prestadas ao órgão fiscalizador.

A ANPD não pergunta se você tem uma política de privacidade. Pergunta se ela funciona.

A LGPD garante aos titulares de dados, clientes, colaboradores, fornecedores, pacientes, uma série de direitos: acesso aos dados, correção de informações incorretas, exclusão em determinadas circunstâncias, portabilidade e informação sobre compartilhamento.

Quando um titular exerce esses direitos formalmente, a organização tem prazos legais para responder.

Uma adequação real tem um canal definido para receber essas solicitações, um responsável para tratá-las e um processo para dar a resposta adequada no prazo correto.

Uma adequação de papel tem uma política de privacidade que menciona esses direitos, mas nenhuma estrutura para exercê-los na prática. Quando a solicitação chega, ninguém sabe o que fazer. O prazo passa. A exposição se concretiza.

Incidentes com dados pessoais, vazamentos, acessos não autorizados, perda de dados, estão entre os eventos que mais testam a qualidade de uma adequação à LGPD.

A lei estabelece obrigações claras: em casos de risco relevante para os titulares, a ANPD deve ser comunicada em até 72 horas.

Uma adequação real tem um plano de resposta a incidentes: quem é comunicado internamente, como o incidente é contido, como é avaliada a necessidade de notificação à ANPD, como os titulares afetados são informados e como o evento é documentado.

Uma adequação de papel não tem nada disso. Quando o incidente acontece, a organização está essencialmente improvisando, com prazo de 72 horas correndo e as consequências se acumulando a cada hora de atraso.

Um incidente de segurança gerenciado com plano estruturado é uma crise controlável. O mesmo incidente sem plano é uma crise que se multiplica.

Cada vez mais, contratos entre empresas incluem cláusulas de conformidade à LGPD, especialmente quando uma parte acessa dados da outra.

Empresas de maior porte exigem comprovação de adequação de seus fornecedores e parceiros como condição de contratação ou renovação.

Uma adequação real responde a esse tipo de auditoria com evidências concretas: registros de treinamento, contratos revisados, procedimentos documentados, relatórios de impacto quando aplicável.

Uma adequação de papel entrega os documentos, e torce para que a auditoria não vá além deles. Quando vai, o contrato não é renovado.

Adequação real não é perfeição. É coerência entre o que os documentos dizem e o que a organização efetivamente faz. Essa coerência se constrói em camadas:

Algumas perguntas práticas que revelam a diferença:

• Se um cliente ligar pedindo para saber quais dados sua organização tem sobre ele, quem atende essa solicitação e em qual prazo?
• Se amanhã um servidor for roubado ou um sistema for invadido, quem é comunicado primeiro e o que acontece nas próximas duas horas?
• Os funcionários que acessam dados de clientes sabem quais dados podem compartilhar com terceiros e quais não podem
• Os contratos com sua plataforma de e-mail marketing, seu sistema de gestão e seu provedor de nuvem têm cláusulas de operador de dados?
• Quando foi a última vez que alguém revisou se as práticas reais da organização correspondem ao que a política de privacidade descreve?

Se a maioria dessas perguntas não tem resposta imediata e precisa, a adequação existente é provavelmente de papel.

A LGPD prevê sanções administrativas que chegam a 2% do faturamento bruto da organização no último exercício, limitadas a R$ 50 milhões por infração. Mas o custo financeiro direto raramente é o mais impactante para organizações de menor porte.

O custo mais real é reputacional, especialmente em setores onde a confiança é o ativo central. Uma clínica que vaza dados de pacientes, uma escola que expõe informações de alunos menores de idade, um escritório que perde dados confidenciais de clientes.

Nesses casos, o dano à reputação pode ser irreversível, independentemente do valor da multa.

E existe ainda o custo de remediar tarde. Estruturar uma adequação real após um incidente, sob pressão regulatória e com prazo imposto por fiscalização, custa significativamente mais, em tempo, em honorários e em interrupção da operação, do que estruturar preventivamente.

Adequação preventiva é um investimento. Adequação sob pressão regulatória é uma crise com prazo.

Sua organização tem adequação real, ou adequação de papel?

A diferença entre as duas não aparece no dia a dia. Aparece quando a ANPD fiscaliza, quando um titular faz uma solicitação formal, quando um incidente acontece e alguém precisa saber exatamente o que fazer nas próximas horas.

Um diagnóstico estruturado de conformidade à LGPD identifica onde sua organização está de fato, não onde os documentos dizem que está. É o ponto de partida para uma adequação que funciona quando testada.