Quase toda empresa, hoje, é uma empresa de dados, mesmo sem se dar conta. Ela tem cadastro de clientes, ficha de funcionários, contatos de fornecedores, histórico de compras. Cada um desses registros guarda informações sobre pessoas, e é exatamente isso que a Lei Geral de Proteção de Dados regula. A LGPD para empresas não é um tema restrito a gigantes de tecnologia, ela alcança o comércio de bairro, o escritório de serviços, a indústria de médio porte. Ignorar isso ficou arriscado, porque a lei prevê fiscalização, multas e, talvez o mais relevante, porque clientes e parceiros passaram a cobrar cuidado com seus dados.
O básico da LGPD cabe em poucos conceitos, e entendê-los já coloca a empresa num caminho muito mais seguro.
O que a LGPD regula
A Lei Geral de Proteção de Dados disciplina o tratamento de dados pessoais, ou seja, qualquer informação relacionada a uma pessoa identificada ou identificável. Nome, CPF, e-mail, telefone, endereço, dados de pagamento, tudo isso é dado pessoal. Algumas categorias recebem proteção reforçada, os chamados dados sensíveis, que incluem informações sobre saúde, origem racial, opinião política, religião, vida sexual e dados biométricos.
Tratar dados, na linguagem da lei, é praticamente qualquer coisa que se faça com eles: coletar, armazenar, usar, compartilhar, transferir, excluir. Quando uma empresa pega o e-mail de um cliente para enviar uma nota fiscal, ela está tratando dados. Quando guarda a ficha de um funcionário, está tratando dados. A LGPD se aplica a praticamente toda atividade empresarial, e é por isso que ninguém pode simplesmente ignorá-la.
Os princípios que orientam tudo
A LGPD para empresas se organiza em torno de alguns princípios que valem como bússola. O primeiro é a finalidade: dados devem ser coletados para um propósito específico e legítimo, informado à pessoa, e não usados para qualquer fim que a empresa bem entender depois. O segundo é a necessidade: coleta-se o mínimo de dados necessário para aquela finalidade, sem acumular informação que não serve a nada.
O terceiro é a transparência: a pessoa tem direito de saber quais dados seus a empresa tem, para que os usa e com quem os compartilha. E o quarto é a segurança: a empresa precisa proteger os dados que guarda contra acessos indevidos, vazamentos e perdas. Esses princípios não exigem aparato sofisticado para serem respeitados, exigem antes uma mudança de postura, de tratar dado alheio como algo que pertence à pessoa, não à empresa.
Dado de cliente não é ativo livre da empresa, é informação que pertence à pessoa e está sob a guarda do negócio. Essa mudança de mentalidade é o coração da LGPD.
As bases legais para tratar dados
Um ponto que costuma gerar dúvida é quando a empresa pode tratar dados. A LGPD não exige consentimento para tudo, ao contrário do que muita gente pensa. Ela prevê várias bases legais que autorizam o tratamento, e o consentimento é apenas uma delas.
Em muitos casos do dia a dia empresarial, o tratamento se apoia em outras bases. O cumprimento de obrigação legal autoriza guardar dados de funcionários para fins trabalhistas e fiscais. A execução de contrato autoriza usar dados do cliente para entregar o produto ou serviço contratado. O legítimo interesse autoriza certos usos razoáveis e esperados, desde que respeitados os direitos da pessoa. Saber em qual base cada tratamento se apoia é parte essencial da adequação, porque organiza o que a empresa pode e não pode fazer com cada dado.
Por onde começar a adequação
Adequar uma empresa à LGPD parece tarefa enorme, mas começa por passos concretos e ordenados. O primeiro é o mapeamento de dados: entender quais dados a empresa coleta, onde os guarda, como os usa e com quem os compartilha. É impossível proteger o que não se conhece, e esse inventário é a base de todo o resto.
A partir do mapa, alguns passos estruturam a adequação:
- Revisar as bases legais: identificar em que fundamento cada tratamento se apoia e eliminar usos sem amparo.
- Ajustar contratos e avisos: atualizar a política de privacidade, os termos com clientes e os contratos com fornecedores que tratam dados.
- Implementar segurança: adotar medidas técnicas e organizacionais para proteger os dados, proporcionais ao risco.
- Definir um responsável: designar quem cuida do tema, o encarregado, e estabelecer um canal para os titulares exercerem seus direitos.
- Preparar resposta a incidentes: ter um plano para agir caso ocorra um vazamento, incluindo a comunicação à autoridade quando exigida.
A LGPD como parte da governança
Vale enxergar a LGPD não como uma obrigação isolada, mas como parte da governança da empresa. Proteção de dados conversa diretamente com gestão de riscos, com integridade e com a relação de confiança que o negócio constrói com seus públicos. Empresas que tratam dados com cuidado transmitem seriedade, e isso pesa para clientes, parceiros e investidores.
Em operações de M&A, inclusive, a conformidade com a LGPD virou item de due diligence. Comprador nenhum quer adquirir um passivo de proteção de dados escondido, e empresas adequadas negociam de posição mais confortável. Tratar a lei como parte da governança, e não como um custo a empurrar com a barriga, é a postura que protege o negócio e agrega valor a ele. No BBM, a adequação à LGPD costuma ser pensada junto com a estrutura de governança e de riscos da empresa, porque os temas se entrelaçam.
O que levar disso
A LGPD para empresas alcança praticamente todo negócio, porque quase toda empresa trata dados pessoais de clientes, funcionários e fornecedores. O básico da lei se resume a princípios claros: coletar dados para uma finalidade legítima, na medida do necessário, com transparência e segurança. O consentimento é apenas uma das bases legais, e muitos tratamentos do dia a dia se apoiam em obrigação legal ou execução de contrato. A adequação começa pelo mapeamento dos dados e segue por bases legais, contratos, segurança, um responsável e um plano para incidentes. Acima de tudo, a LGPD pede uma mudança de mentalidade: dado de pessoa pertence à pessoa, e a empresa é apenas sua guardiã.