LGPD além do aviso de cookies: as evidências que sua empresa precisa ter guardadas

Banner de cookies e política de privacidade no site não provam adequação à LGPD. Adequação é conseguir demonstrar, com documento e registro técnico, o que a empresa faz com dado pessoal. São dez evidências.

Resumo rápido

• As dez evidências que sustentam a adequação à LGPD para empresas.
• O papel da TI em cada evidência: controle de acesso, logs, criptografia, backup, segregação de ambientes e MFA.
• Uma tabela com evidência → quem responde → como comprovar, dividindo jurídico, TI e RH.
• Checklist de autoavaliação e a fronteira entre decisão jurídica e controle técnico.

A cena: o pedido chega e ninguém tem o papel

Quinta-feira, 16h. Chega o questionário de segurança e privacidade de um cliente grande: dezoito perguntas, prazo de cinco dias. Quem acessa a base, como os dados são criptografados, quem é o encarregado.

O jurídico manda para a TI. A TI responde que contrato é com o jurídico. O RH lembra que o sistema de ponto também tem dado pessoal e nunca ninguém perguntou.

Alguém abre o site, vê o banner de cookies e a política publicada em 2021 e conclui que “estamos adequados”. Mas a política cita um encarregado que já saiu, um e-mail que ninguém lê e um processo de exclusão nunca executado.

Na sexta o questionário volta pela metade, com três “sim” que ninguém comprova. Discurso de conformidade sem prova.

O custo de não conseguir provar

A LGPD (Lei 13.709/2018), no art. 52, prevê multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Multiplique seu faturamento anual por 0,02.

A sanção costuma ser o menor dos custos. O relatório Cost of a Data Breach Report 2025, da IBM, aponta custo médio de R$ 7,19 milhões por violação de dados no Brasil.

Situação	Conta que você faz com os seus números
Questionário de cliente respondido sem evidência	Valor anual do contrato em risco × probabilidade de perder a renovação.
Pedido de titular sem processo definido	Horas do jurídico + TI para atender um pedido no improviso × pedidos por trimestre.
Incidente sem registro nem plano	Custo da hora parada (faturamento mensal ÷ horas úteis) × horas de indisponibilidade + horas de perícia.
Ex-funcionário com acesso ativo à base	Nº de desligamentos no ano × acessos não revogados = superfície de exposição que você não sabe medir.
Sanção administrativa	Faturamento no Brasil × 2%, limitado a R$ 50 milhões por infração (LGPD, art. 52).

Nenhuma linha acima é estatística de mercado. São contas suas — e costumam superar o custo de organizar as evidências.

Por que a empresa acha que está adequada e não está

Confunde comunicação com controle. Banner e política comunicam ao titular o que a empresa promete. Não provam que ela cumpre.

Trata LGPD como projeto de jurídico. O escritório entrega os documentos, o dono assina, encerra. Mas a maior parte das evidências nasce no ambiente de TI, todo dia, e envelhece rápido.

Faz uma foto, não um processo. O mapeamento foi feito uma vez. Depois entraram dois sistemas e uma planilha compartilhada com fornecedor. Em três meses a foto estava velha — e, sem responsável nomeado, ninguém atualiza.

As dez evidências que sustentam a adequação

Adequação se demonstra. São dez evidências que um cliente, um auditor ou a ANPD pedem — e o que a TI entrega.

1. Inventário de dados pessoais e registro das operações de tratamento

Qual dado a empresa coleta, de quem, em qual sistema, quem acessa, para onde vai e por quanto tempo fica.

Papel da TI: só a TI sabe onde o dado mora — arquivos, ERP, banco, nuvem, backup, e-mail, planilha na estação. Sem inventário de ativos e mapa de integrações, o registro descreve uma empresa que não existe.

2. Base legal declarada por finalidade

Cada tratamento precisa de finalidade escrita e base legal que a sustente. Folha de pagamento não usa a mesma base de e-mail marketing nem de câmera de portaria.

Papel da TI: nenhum na definição — isso é jurídico. Cabe à TI garantir que o sistema registre e revogue consentimento quando for essa a base.

3. Política de privacidade e avisos coerentes com a prática

O texto externo (site, contrato) e o interno (aviso a funcionário e candidato) precisam descrever o que acontece de fato. Política que promete o que a operação não faz é prova contra a empresa.

Papel da TI: validar cada afirmação. Se o texto diz “dados criptografados”, mostrar a criptografia em repouso e em trânsito. Se diz “retemos 5 anos”, mostrar a rotina que apaga no sexto.

4. Contratos com fornecedores que tratam dados

Contabilidade, folha, ponto, nuvem, empresa de TI, plataforma de e-mail. Todo terceiro que trata dado pessoal em nome da empresa é operador, e o contrato precisa de cláusula de proteção, sigilo e comunicação de incidente.

Papel da TI: produzir a lista real de fornecedores com acesso — inclusive acessos remotos e integrações que o jurídico não enxerga — e revogar o acesso encerrado, com data registrada.

5. Encarregado designado e canal do titular funcionando

A empresa precisa nomear um encarregado (DPO, quem faz a ponte com titulares e com a ANPD) e divulgar o contato. O erro clássico é publicar e-mail que cai em caixa sem dono.

Papel da TI: fazer o canal funcionar e deixar rastro: formulário que abre chamado com número, responsável e data — a lógica de um service desk com registro. Sem protocolo, não há prova de resposta.

6. Processo e prazo para atender pedidos de titular

O titular pode pedir confirmação, acesso, correção, portabilidade, anonimização ou exclusão. Precisa haver fluxo escrito: quem recebe, quem confere identidade, quem executa e em quanto tempo.

Papel da TI: executar. Localizar o dado em todos os sistemas, exportar em formato legível, corrigir ou apagar — inclusive no backup, sempre esquecido.

7. Controle de acesso por necessidade e registro de quem acessa o quê

Cada pessoa acessa apenas o que precisa. Acesso por perfil, aprovado, revisado, revogado no desligamento. E registrado.

Papel da TI: aqui a TI responde quase sozinha. Usuário nomeado (nada de login compartilhado), perfis por função, MFA nos acessos administrativos e remotos, logs preservados, revisão trimestral com evidência. O básico de MFA e gestão de senhas é pré-requisito.

8. Política de retenção e descarte

Dado pessoal tem prazo: currículo não aprovado, ficha de ex-funcionário, cadastro inativo, gravação de câmera. Guardar para sempre não é cautela — é aumentar o estrago.

Papel da TI: transformar o prazo definido pelo jurídico em rotina automática, com log do que foi eliminado. Inclui descarte seguro de mídia e expurgo no backup.

9. Plano e registro de resposta a incidentes

A LGPD obriga a comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. Isso exige plano antes: quem aciona, quem decide, quem comunica, o que se registra.

Papel da TI: detectar, conter e documentar. Alerta de monitoramento, logs íntegros, backup testado e ambientes segregados. Sem log, a empresa não sabe nem quantos titulares foram afetados.

10. Evidência de treinamento das equipes

A maior parte dos incidentes começa em um clique. Treinar RH, comercial, financeiro e atendimento precisa deixar rastro: data, conteúdo, lista de presença.

Papel da TI: fornecer o conteúdo técnico (phishing, senha, dispositivo, envio de arquivo) e o registro de conclusão. O RH guarda a evidência.

Quem responde por cada evidência

Evidência	Quem responde	Como comprovar
Inventário e registro de operações	Jurídico (forma) + TI (conteúdo)	Planilha ou sistema com sistemas, bases, finalidades e data da última revisão.
Base legal por finalidade	Jurídico	Documento que liga cada finalidade à base legal, assinado e datado.
Política de privacidade e avisos	Jurídico + TI (validação)	Versões publicadas com histórico e evidência técnica de cada afirmação.
Contratos com operadores	Jurídico	Contratos com cláusula de proteção de dados e lista de acessos concedidos.
Encarregado e canal do titular	Direção + TI (canal)	Ato de nomeação, contato publicado e fila de atendimento com protocolo.
Atendimento a pedidos de titular	Jurídico (fluxo) + TI (execução)	Chamados com data de entrada, ação executada e data de resposta.
Controle de acesso e logs	TI	Matriz de perfis, MFA ativo, relatório de revisão de acessos, logs preservados.
Retenção e descarte	Jurídico (prazo) + TI (execução)	Política com prazos e log das rotinas de expurgo, inclusive no backup.
Resposta a incidentes	Direção + TI	Plano escrito, registro dos incidentes e comprovante de comunicação.
Treinamento	RH + TI (conteúdo)	Lista de presença ou relatório de conclusão, com data e ementa.

O que é jurídico e o que é técnico

Jurídico decide: base legal, prazo de retenção, texto de contrato, se um incidente é comunicável. TI implementa e comprova: acesso, log, criptografia, backup, segregação de ambientes, MFA, expurgo.

A Brazuca não faz consultoria jurídica e não substitui o advogado da sua empresa. Fazemos o outro lado: implantar e evidenciar os controles técnicos que o jurídico definiu — com redes, servidores e segurança estruturados para gerar prova.

Quem organiza esses controles em sistema é a ISO/IEC 27001:2022, norma de gestão de segurança da informação. Não é preciso certificar para usá-la como referência: ela dá a estrutura de controles, responsáveis e registros que a LGPD cobra. Se o básico ainda falta, comece pelo checklist de proteção de dados para pequenas e médias empresas.

Checklist de autoavaliação

• Não existe lista atualizada dos sistemas que guardam dado pessoal.
• Ninguém sabe dizer quem é o encarregado hoje.
• O canal do titular é um e-mail que ninguém confirma se lê.
• Não há fluxo escrito para atender pedido de exclusão de dados.
• Existem logins compartilhados em algum sistema.
• Não há MFA nos acessos administrativos, no e-mail ou no remoto.
• Acessos não são revisados e o desligamento não gera revogação.
• Não existe prazo definido de retenção nem rotina de descarte.
• Não existe plano escrito de resposta a incidentes.
• Contratos com fornecedores que acessam dados não têm cláusula de proteção.

Régua: até 2 itens, a base existe e falta polir. De 3 a 5, há documento mas não há prova. Acima de 5, a adequação é declarada e não sustentada — e o próximo questionário de cliente vai expor isso.

Quando chamar uma consultoria — e quando não chamar

Faz sentido chamar quando:

• clientes ou editais passaram a exigir questionário de segurança e privacidade;
• o jurídico entregou os documentos e ninguém implantou os controles técnicos;
• a empresa trata dado sensível: saúde, biometria, dado de menor;
• houve incidente e ninguém conseguiu reconstituir o que aconteceu;
• o time interno sabe o que falta, mas não tem folga nem respaldo para priorizar.

Não vale a pena quando:

• o básico não foi feito: backup testado, MFA e atualização vêm antes de conformidade;
• a empresa quer um documento para arquivar e não pretende mudar a operação;
• o que se busca é parecer jurídico — nesse caso o profissional certo é o advogado;
• a operação é pequena, com um sistema só e nenhum terceiro com acesso.

Perguntas frequentes

Tenho banner de cookies e política de privacidade. Não basta?

Não. Os dois cobrem a comunicação com o titular no site. A LGPD alcança todo tratamento de dado pessoal: funcionário, candidato, cliente, fornecedor, câmera, ponto. E cobra demonstração. Sem inventário, controle de acesso e registro, nada se prova.

Preciso certificar a empresa na ISO/IEC 27001:2022?

Não. Certificação é decisão comercial, puxada por exigência de cliente, edital ou matriz. Usar a norma como referência é diferente e não custa auditoria: aproveita-se a estrutura de controles, responsáveis e registros que a LGPD cobra.

Já tenho TI interna. A consultoria vai passar por cima do meu time?

O objetivo é o contrário. Em geral o time interno já sabe onde estão as falhas e não tem tempo nem respaldo para priorizar. O diagnóstico vira documento com prioridade e justificativa para a diretoria. Quem executa continua sendo o time.

Quanto custa organizar essas evidências?

Depende do número de sistemas, de fornecedores com acesso e do que já existe. Boa parte é organização, não compra: nomear responsável, escrever fluxo e revisar acesso custam tempo. O diagnóstico dimensiona isso antes de qualquer proposta.

A Brazuca faz o trabalho jurídico da adequação?

Não. Base legal, política, contrato e parecer são do advogado ou do escritório especializado. A Brazuca atua no lado técnico: controle de acesso, MFA, logs, criptografia, backup, segregação de ambientes, retenção e resposta a incidentes. Os dois lados precisam existir.

---

Adequação é o que você consegue provar

No questionário do cliente, no pedido do titular ou no incidente, ninguém pergunta pela boa intenção da empresa. Pedem o documento, o log e a data. O que não está registrado não aconteceu.

Metade das dez evidências nasce no jurídico, metade na TI, e nenhuma se sustenta sozinha. Comece pelo que dá para medir hoje — acesso, log e backup — e estruture o resto com consultoria em tecnologia.