Muchas empresas llegan a un proyecto de adecuación a la LGPD sin saber exactamente qué va a suceder, qué se va a entregar y si lo que están contratando es suficiente para garantizar un cumplimiento real. Entender cómo funciona una consultoría LGPD en la práctica es lo que permite evaluar las propuestas con criterio, hacer un seguimiento adecuado de la ejecución y saber, al final, si el trabajo se ha realizado de forma completa. En este artículo encontrarás: • Qué diferencia una consultoría seria de una entrega meramente documental • Cuáles son las etapas de un proyecto de adecuación • Qué debe tener tu empresa al finalizar el proceso • Cómo evaluar una propuesta antes de contratar Buena lectura.
Qué hace realmente una consultoría LGPD
Existe una diferencia importante entre entregar documentos de cumplimiento y construir un cumplimiento real. Un proyecto que se limita a elaborar una política de privacidad y un registro de actividades está entregando formularios, no una adecuación.
El cumplimiento exige que estos documentos reflejen lo que la empresa realmente hace con los datos. Y que los procesos internos estén alineados con lo que está escrito.
La función de la consultoría es construir esta conexión entre la realidad de la empresa y las exigencias de la ley, de forma que la adecuación pueda resistir una auditoría, una reclamación de un titular o una inspección de la ANPD.
Las etapas de un proyecto de adecuación
Un proyecto de consultoría LGPD bien estructurado recorre fases que dependen unas de otras. Suprimir cualquiera de ellas compromete la solidez de todo lo que viene después.
Diagnóstico y mapeo de datos
La primera etapa consiste en comprender el escenario real de la empresa: qué datos personales se recopilan, en qué sistemas se almacenan, quién tiene acceso a ellos y con qué terceros se comparten.
Este análisis, denominado data mapping, es el que alimenta todos los documentos y procesos posteriores.
Las empresas que se saltan esta etapa para llegar directamente a los documentos descubren más tarde que la política de privacidad no refleja el producto real y que el registro de actividades está incompleto. El mapeo es laborioso porque exige recorrer cada área de la empresa y registrar qué ocurre con los datos en la práctica.
Análisis de brechas y plan de acción
Con el mapa en sus manos, la consultoría identifica dónde el tratamiento actual no cumple con la normativa y cuál es la distancia entre el estado actual y el estado adecuado.
Este análisis genera un plan de acción con prioridades definidas: qué debe corregirse inmediatamente, qué puede estructurarse a lo largo del proyecto y qué depende de cambios técnicos más complejos.
Este documento convierte la LGPD, que es una legislación extensa y a veces abstracta, en un conjunto de tareas concretas con responsables y plazos definidos.
Estructuración de documentos y procesos
A partir del diagnóstico, la consultoría estructura los documentos que exige la ley: política de privacidad, registro de actividades de tratamiento, contratos con operadores, nombramiento del DPO, política de conservación de datos, protocolo de atención a los titulares y protocolo de notificación de incidentes.
Estos documentos deben reflejar el funcionamiento real de la empresa. Una política genérica o un ROPA cumplimentado con información aproximada no permite sostener la posición de la empresa ante una inspección.
Para las empresas de e-commerce, por ejemplo, los 12 puntos que componen una adecuación completa ayudan a comprender la profundidad de lo que debe cubrirse en cada documento.
Adecuación técnica y seguridad de la información
La LGPD exige medidas técnicas de seguridad adecuadas para proteger los datos tratados. Esto implica controles de acceso, cifrado cuando sea aplicable, registros de auditoría y gestión de credenciales.
Una consultoría que no incluye esta capa ofrece un cumplimiento parcial.
Los entornos que nunca han pasado por una evaluación técnica de exposición suelen revelar, durante el proyecto de adecuación, puntos en los que los datos están desprotegidos, aunque los documentos sean correctos.
Formación y cultura interna
La LGPD depende de las personas para funcionar. El equipo que accede a datos de clientes, procesa pedidos o administra sistemas debe entender qué puede y qué no puede hacer con esta información.
Sin esta capa, cualquier proceso bien documentado puede ser incumplido por un empleado que simplemente no sabía que existía una determinada norma.
La formación también establece la rutina de atención de las solicitudes de los titulares y el flujo de escalado cuando se identifica un incidente.
Qué debe tener tu empresa al finalizar el proyecto
Un proyecto de consultoría LGPD correctamente finalizado entrega documentos actualizados y coherentes con la operación real, procesos internos definidos, equipo formado, controles técnicos implementados o mapeados y un DPO formalmente nombrado o una dispensa debidamente justificada.
Más allá de esto, la empresa necesita saber cómo mantener el cumplimiento a lo largo del tiempo.
Las nuevas funcionalidades, los nuevos proveedores y los cambios en la operación pueden modificar el perfil de tratamiento de datos y exigir la actualización de documentos y procesos. Las empresas que desarrollan productos digitales con tratamiento continuo de datos de terceros afrontan este movimiento con especial frecuencia.
Cómo evaluar una propuesta de consultoría
Al recibir una propuesta, algunas preguntas ayudan a entender si el alcance es adecuado.
¿El proyecto incluye el mapeo de datos o comienza directamente con la elaboración de documentos? ¿Los documentos se basarán en el funcionamiento real de la empresa o en modelos genéricos? ¿La adecuación técnica está incluida en el alcance? ¿El proyecto incluye formación del equipo?
Las propuestas que no responden a estas preguntas con precisión tienden a entregar menos de lo necesario. Y el coste de rehacer un proceso de adecuación mal ejecutado suele ser mayor que el de hacerlo correctamente desde el principio.
STWBrasil lleva a cabo proyectos de consultoría LGPD con mapeo de datos, estructuración de documentos y procesos, adecuación técnica y formación de equipos. Si tu empresa todavía no ha iniciado el proceso o quiere revisar lo que ya se ha hecho, habla con nuestro equipo.
Preguntas frecuentes sobre consultoría LGPD
¿Cuánto tiempo lleva un proyecto de adecuación a la LGPD?
Depende del tamaño de la empresa y de la complejidad del tratamiento de datos. Las organizaciones pequeñas con operaciones más sencillas pueden completar el proceso en dos o tres meses. Las empresas más grandes, con múltiples sistemas, proveedores y flujos de datos, suelen tardar entre cuatro y ocho meses en realizar una adecuación completa.
¿La consultoría LGPD debe renovarse o se realiza una sola vez?
La adecuación inicial es un proyecto con un principio y un final, pero el cumplimiento es continuo. Cada vez que la empresa añade nuevas funcionalidades, contrata nuevos proveedores o cambia la forma de tratar los datos, es necesario revisar los documentos y procesos. Una revisión anual suele ser el mínimo recomendado.
¿Una empresa pequeña también necesita consultoría LGPD?
La LGPD no distingue en función del tamaño de la operación o de la facturación. Cualquier empresa que trate datos personales de titulares brasileños está sujeta a las mismas obligaciones. La diferencia es que el alcance del proyecto tiende a ser menor y el coste de la adecuación es proporcionalmente más accesible.
¿Qué ocurre si la empresa es auditada sin estar adecuadamente adaptada?
La ANPD puede aplicar una advertencia, una multa de hasta el 2 % de la facturación neta del año anterior, limitada a 50 millones de reales por infracción, la publicación de la infracción y el bloqueo o eliminación de los datos tratados de forma irregular. Además de las sanciones formales, la exposición pública de una sanción tiene un impacto directo en la reputación de la empresa ante clientes y socios.
