Muitas empresas chegam a um projeto de adequação à LGPD sem saber exatamente o que vai acontecer, o que será entregue e se o que estão contratando é suficiente para garantir conformidade de verdade.
Entender como uma consultoria LGPD funciona na prática é o que permite avaliar propostas com critério, acompanhar a execução com propriedade e saber, ao final, se o trabalho foi feito de forma completa.
Neste artigo você vai encontrar:
- O que diferencia uma consultoria séria de uma entrega apenas documental
- Quais são as etapas de um projeto de adequação
- O que sua empresa precisa ter ao final do processo
- Como avaliar uma proposta antes de contratar
Boa leitura.
O que uma consultoria LGPD faz, de fato
Existe uma diferença importante entre entregar documentos de conformidade e construir conformidade de verdade. Um projeto que se limita a produzir uma política de privacidade e um registro de atividades está entregando formulários, não adequação.
Conformidade exige que esses documentos reflitam o que a empresa realmente faz com os dados. E que os processos internos estejam alinhados com o que está escrito.
A função da consultoria é construir essa conexão entre a realidade da empresa e as exigências da lei, de forma que a adequação resista a uma auditoria, a uma reclamação de titular ou a uma fiscalização da ANPD.
As etapas de um projeto de adequação
Um projeto de consultoria LGPD bem estruturado percorre fases que dependem umas das outras. Suprimir qualquer uma delas compromete a solidez do que vem depois.
Diagnóstico e mapeamento de dados
A primeira etapa é entender o cenário real da empresa: quais dados pessoais são coletados, em quais sistemas ficam armazenados, quem tem acesso e com quais terceiros são compartilhados.
Esse levantamento, chamado de data mapping, é o que alimenta todos os documentos e processos que vêm a seguir.
Empresas que pulam essa etapa para chegar logo aos documentos descobrem mais tarde que a política de privacidade não reflete o produto real e que o registro de atividades está incompleto. O mapeamento é trabalhoso porque exige percorrer cada área da empresa e registrar o que acontece com os dados na prática.
Análise de lacunas e plano de ação
Com o mapa em mãos, a consultoria identifica onde o tratamento atual está em desconformidade e qual é a distância entre o estado atual e o estado adequado.
Essa análise produz um plano de ação com prioridades definidas: o que precisa ser corrigido imediatamente, o que pode ser estruturado ao longo do projeto e o que depende de mudanças técnicas mais complexas.
Esse documento transforma a LGPD, que é uma legislação extensa e às vezes abstrata, num conjunto de tarefas concretas com responsáveis e prazos definidos.
Estruturação de documentos e processos
Com base no diagnóstico, a consultoria estrutura os documentos que a lei exige: política de privacidade, registro de atividades de tratamento, contratos com operadores, nomeação do DPO, política de retenção de dados, protocolo de atendimento a titulares e protocolo de notificação de incidentes.
Esses documentos precisam refletir o funcionamento real da empresa. Uma política genérica ou um ROPA preenchido com informações aproximadas não sustenta a empresa diante de uma fiscalização.
Para empresas de e-commerce, por exemplo, os 12 pontos que compõem uma adequação completa ajudam a entender a profundidade do que precisa ser coberto em cada documento.
Adequação técnica e segurança da informação
A LGPD exige medidas técnicas de segurança adequadas para proteger os dados tratados. Isso envolve controles de acesso, criptografia onde aplicável, registros de auditoria e gestão de credenciais.
Uma consultoria que não inclui essa camada entrega conformidade parcial.
Ambientes que nunca passaram por uma avaliação técnica de exposição costumam revelar, durante o projeto de adequação, pontos onde os dados estão desprotegidos mesmo que os documentos estejam corretos.
Treinamento e cultura interna
A LGPD depende de pessoas para funcionar. A equipe que acessa dados de clientes, processa pedidos ou administra sistemas precisa entender o que pode e o que não pode fazer com essas informações.
Sem essa camada, qualquer processo bem documentado pode ser descumprido por um colaborador que simplesmente não sabia que havia uma regra.
O treinamento também estabelece a rotina de atendimento a solicitações de titulares e o fluxo de escalada quando um incidente é identificado.
O que sua empresa deve ter ao final do projeto
Um projeto de consultoria LGPD concluído adequadamente entrega documentos atualizados e coerentes com a operação real, processos internos definidos, equipe treinada, controles técnicos implementados ou mapeados e um DPO formalmente nomeado ou dispensa justificada.
Mais do que isso, a empresa precisa saber como manter a conformidade ao longo do tempo.
Novas funcionalidades, novos fornecedores e mudanças na operação podem alterar o perfil de tratamento de dados e exigir atualização de documentos e processos. Empresas que desenvolvem produtos digitais com tratamento contínuo de dados de terceiros enfrentam esse movimento com frequência especialmente alta.
Como avaliar uma proposta de consultoria
Ao receber uma proposta, algumas perguntas ajudam a entender se o escopo está adequado.
O projeto inclui mapeamento de dados ou começa direto na produção de documentos? Os documentos serão baseados no funcionamento real da empresa ou em modelos genéricos? A adequação técnica está no escopo? O projeto inclui treinamento da equipe?
Propostas que não respondem a essas perguntas com precisão tendem a entregar menos do que o necessário. E o custo de refazer um processo de adequação mal executado costuma ser maior do que o de fazer corretamente desde o início.
A STWBrasil conduz projetos de consultoria LGPD com mapeamento de dados, estruturação de documentos e processos, adequação técnica e treinamento de equipes. Se sua empresa ainda não iniciou o processo ou quer revisar o que já foi feito, converse com nossa equipe.
Perguntas frequentes sobre consultoria LGPD
Quanto tempo leva um projeto de adequação à LGPD?
Depende do tamanho da empresa e da complexidade do tratamento de dados. Organizações de pequeno porte com operações mais simples podem concluir o processo em dois a três meses. Empresas maiores, com múltiplos sistemas, fornecedores e fluxos de dados, costumam levar entre quatro e oito meses para uma adequação completa.
A consultoria LGPD precisa ser renovada ou é feita uma vez só?
A adequação inicial é um projeto com começo e fim, mas a conformidade é contínua. Sempre que a empresa adiciona novas funcionalidades, contrata novos fornecedores ou muda a forma de tratar dados, os documentos e processos precisam ser revisados. Uma revisão anual costuma ser o mínimo recomendado.
Empresa pequena também precisa de consultoria LGPD?
A LGPD não distingue pelo tamanho da operação ou pelo faturamento. Qualquer empresa que trate dados pessoais de titulares brasileiros está sujeita às mesmas obrigações. A diferença é que o escopo do projeto tende a ser menor e o custo da adequação é proporcionalmente mais acessível.
O que acontece se a empresa for auditada sem estar adequada?
A ANPD pode aplicar advertência, multa de até 2% do faturamento líquido do ano anterior limitada a R$ 50 milhões por infração, publicização da infração e bloqueio ou eliminação dos dados tratados irregularmente. Além das sanções formais, a exposição pública de uma autuação tem impacto direto na reputação da empresa junto a clientes e parceiros.
