Quais são os entregáveis básicos de um projeto de adequação à LGPD?

Quando uma empresa contrata um projeto de adequação à LGPD, uma das primeiras perguntas deveria ser: o que efetivamente receberemos ao final do trabalho?

A resposta não é uma pasta cheia de políticas e modelos.

Um bom projeto de adequação à Lei Geral de Proteção de Dados deve transformar requisitos de privacidade e proteção de dados em processos, controles, responsabilidades, evidências e um plano de governança que possa continuar funcionando depois que o projeto terminar. E talvez o mais importante: Provocar uma mudança no “mindset” de colaboradores de todos os níveis.

A própria Autoridade Nacional de Proteção de Dados (ANPD) resume alguns dos pilares dessa jornada: mapear e registrar operações de tratamento (ROPA), identificar finalidades e bases legais, adotar medidas técnicas e administrativas, estabelecer políticas internas e manter um canal de comunicação com os titulares.

Isso significa que não existe um “kit LGPD” universal. Os entregáveis dependem do porte da organização, setor, tipos de dados tratados, sistemas, fornecedores, exposição regulatória e nível de maturidade já existente.

Ainda assim, alguns componentes aparecem com frequência em projetos bem estruturados.

1. Diagnóstico inicial e Gap Analysis para a LGPD

O primeiro entregável deve responder uma pergunta simples: onde a organização está hoje em relação à LGPD?

O diagnóstico inicial avalia processos, políticas, contratos, sistemas, práticas de segurança, relacionamento com fornecedores, atendimento aos titulares e estrutura de governança existente.

A partir dessa avaliação é possível identificar gaps entre a situação atual e o nível de conformidade desejado.

Mais do que simplesmente apontar problemas, o Gap Analysis deve ajudar a classificá-los por impacto, risco e prioridade.

Esse diagnóstico funciona como ponto de partida para todo o restante do projeto.

2. Mapeamento das operações de tratamento e ROPA

Uma empresa dificilmente consegue proteger adequadamente dados que não sabe que possui, onde estão armazenados ou como são utilizados.

Por isso, o Data Mapping é um dos principais componentes de um projeto de adequação.

O trabalho identifica como dados pessoais entram na organização, quais áreas os utilizam, quais sistemas participam do processamento, com quem são compartilhados, por quanto tempo são mantidos e quando devem ser eliminados.

Essas informações alimentam o ROPA – Record of Processing Activities, ou Registro das Operações de Tratamento.

A ANPD inclui expressamente o mapeamento e o registro das operações de tratamento entre as providências necessárias à adequação à LGPD.

Na Macher Tecnologia, esse trabalho pode também ser apoiado pelo DPO Helper, ferramenta utilizada para estruturar e manter inventários de dados, processos e sistemas.

3. Definição de finalidades, bases legais e papéis

Mapear os dados é apenas o inicio dos trabalhos. Cada operação de tratamento precisa ser analisada em relação à sua finalidade e à hipótese legal que autoriza um determinado tratamento.

Dependendo do caso, a organização pode utilizar bases como execução de contrato, obrigação legal, legítimo interesse, consentimento, exercício regular de direitos ou outras hipóteses previstas pela LGPD.

Para dados pessoais sensíveis, devem ser consideradas as hipóteses específicas previstas no artigo 11 da lei. A ANPD mantém orientações sobre essas bases legais e diferencia as hipóteses aplicáveis aos dados pessoais e aos dados sensíveis. Dados de menores também exigem cuidados especiais tendo seu próprio artigo e legislação específica (ECA Digital).

O projeto também deve ajudar a identificar quando a organização atua como controlador, operador ou em outros arranjos envolvendo terceiros.

4. Matriz de riscos e plano de ação

Um projeto de adequação não deve tratar todos os gaps da mesma maneira, nem precisa solucionar todos os problemas de imediato. Um aviso de privacidade desatualizado e uma base de dados sensíveis exposta sem controles adequados possuem níveis de risco muito diferentes.

Por isso, outro entregável importante é uma matriz de riscos, combinada com um plano de tratamento. O objetivo é permitir que a organização priorize recursos e decisões nas iniciativas que trarão os melhores (e maiores) resultados inicialmente, reduzindo as possibilidades de incidentes ao longo do tempo.

Um plano de ação pode organizar iniciativas por criticidade e por horizontes de 30, 90, 180 ou 365 dias, dependendo da complexidade do ambiente.

Esse roadmap também ajuda a liderança a acompanhar a evolução do programa.

Importante lembrar que o roadmap é um ‘documento vivo’, ou seja, deve ser sempre revisado e atualizado com novos riscos, tecnologias e lições aprendidas – próprias e via terceiros, potencialmente gerando novos to-do’s ou revisitando, inclusive, aquilo que já foi executado.

5. Políticas, procedimentos e avisos de privacidade

Documentos fazem parte da adequação mas devem refletir práticas reais da organização. Não podem ser documentos de ‘prateleira’, apenas para o caso de uma auditoria da ANPD ou um processo de due dilligence.

Dependendo do contexto da organização, podem ser necessários desenvolver documentos relacionados a privacidade, retenção e descarte, transferências internacionais de dados, plano de resposta a incidentes e de continuidade de negócios.

Avisos de privacidade externos também precisam explicar de maneira transparente como a organização trata dados pessoais.

O ponto fundamental é evitar políticas genéricas desconectadas da realidade operacional.

6. Processo para exercício dos direitos dos titulares

O projeto deve estabelecer como a empresa receberá e responderá solicitações de titulares. Isso envolve mais do que criar um endereço de e-mail.

É necessário definir quem recebe a demanda, como a identidade do solicitante será validada, quais áreas precisam participar da resposta, como os dados serão localizados e como os prazos serão acompanhados.

A ANPD destaca o estabelecimento de um canal de contato com titulares como uma das providências da adequação.

O resultado deve ser um processo que possa ser executado repetidamente e deixe evidências das solicitações e decisões tomadas.

7. Revisão de contratos e fornecedores

Grande parte das organizações compartilha dados pessoais com terceiros, seja via sistemas e APIs ou até mesmo em papel.

Provedores e serviços em Cloud, sistemas de RH, CRM, plataformas de marketing, empresas de suporte, contabilidade, benefícios e diferentes soluções SaaS podem participar do tratamento de dados de clientes, prospects, leads e colaboradores. Por isso, o projeto precisa avaliar todos os fornecedores existentes e seus contratos que envolvem dados pessoais, e revisar os controles técnicos e administrativos de cada fornecedor para garantir de que não são elos fracos no ecossistema empresarial.

Isso pode resultar em cláusulas adicionais, como o Data Processing Agreements (DPAs), definição de processos de avaliação de fornecedores e mecanismos para acompanhamento de terceiros críticos.

Para organizações que vendem para grandes empresas, essa estrutura também ajuda a responder processos de Vendor Security Assessment e Due Diligence.

8. Medidas de segurança e resposta a incidentes

LGPD não é apenas documentação jurídica.

A ANPD destaca a necessidade de medidas técnicas e administrativas para proteção dos dados pessoais.

O projeto deve avaliar aspectos como controle de acesso, autenticação, privilégios, segurança de endpoints, backups, gestão de vulnerabilidades, geração e monitoramento de logs de aplicações, metodologias e políticas de desenvolvimento de software, dentro da proporcionalidade aplicável à organização.

Também é importante estabelecer um Plano de Resposta a Incidentes que defina responsáveis, fluxos de escalonamento, análise de impacto, preservação de evidências e processo para avaliar eventual comunicação à ANPD e aos titulares.

9. RIPD, LIA e avaliações específicas de risco

Nem todo tratamento exige os mesmos artefatos.

Processos de maior risco podem demandar análises adicionais, como um RIPD – Relatório de Impacto à Proteção de Dados Pessoais, equivalente em muitos contextos ao conceito internacional de DPIA.

Tratamentos baseados em legítimo interesse também podem justificar uma análise estruturada, frequentemente chamada de LIA – Legitimate Interest Assessment.

O importante é evitar transformar RIPD, LIA ou DPIA em documentos produzidos indiscriminadamente.

Eles devem ser utilizados quando o contexto do tratamento e o risco justificarem a análise.

10. Estrutura de governança e atuação do DPO

Privacidade precisa ter responsáveis depois que o projeto terminar.

A organização deve definir quem acompanha o programa, quem toma decisões, como riscos são escalados e qual será o papel do Encarregado pelo Tratamento de Dados Pessoais.

A indicação do encarregado deve observar as regras aplicáveis à organização. A ANPD prevê hipóteses de dispensa para determinados agentes de tratamento de pequeno porte, embora essas organizações continuem sujeitas às demais obrigações da LGPD.

Quando aplicável, a empresa pode manter um profissional interno ou contratar um modelo de DPO-as-a-Service.

11. Treinamento e cultura de privacidade

Grande parte dos incidentes e problemas de privacidade nasce de decisões cotidianas.

Um colaborador pode enviar dados para a pessoa errada, compartilhar informações através de uma ferramenta não autorizada ou utilizar uma solução de Inteligência Artificial sem compreender as consequências.

Por isso, treinamentos e ações de conscientização precisam fazer parte da implantação.

Mais do que um treinamento único no final do projeto, o ideal é estabelecer um programa recorrente de educação.

12. Evidências e plano de manutenção da conformidade

Talvez este seja um dos entregáveis mais importantes e, frequentemente, menos discutidos.

Um programa de privacidade precisa gerar evidências.

Registros de treinamentos, avaliações de fornecedores, ROPAs revisados, análises de risco atualizadas, solicitações de titulares com resultados e prazos efetivos, revisões contratuais feitas, decisões sobre novos projetos e tratamento de incidentes ajudam a demonstrar que a governança existe de fato.

Pode incluir também, iniciativas para a governança de IA e seu uso seguro.

Por isso, o encerramento do projeto também deve definir como a organização manterá os controles atualizados e a frequência ideal.

LGPD não deve ser tratada como um projeto com data definitiva para “terminar”. É cíclico e recorrente. O projeto tira uma “fotografia” do momento da empresa e dos riscos de mercado num determinando momento.

E lembre-se: Cada empresa tem um cenário diferente. Documentos copiados ou templatizados não garantem a conformidade e nem um ambiente seguro.

Documentos sozinhos não significam adequação à LGPD

Uma organização pode possuir dezenas de políticas e ainda apresentar riscos relevantes.

Se ninguém conhece as políticas, o inventário está desatualizado, fornecedores não são avaliados, solicitações de titulares não possuem fluxo definido ou sistemas apresentam vulnerabilidades conhecidas, existe uma diferença significativa entre documentação e implementação.

Por isso, um bom projeto precisa combinar jurídico, tecnologia, privacidade e negócio.

É justamente essa execução multidisciplinar que transforma LGPD de uma iniciativa documental em um programa de governança.

É necessário contratar um DPO depois do projeto de adequação à LGPD?

Depende do enquadramento da organização e das regras aplicáveis. Mesmo nos casos em que há dispensa de indicação do encarregado, permanecem outras obrigações relacionadas à LGPD.

Como a Macher Tecnologia pode ajudar

A Macher Tecnologia atua em projetos de adequação à LGPD com uma abordagem multidisciplinar e hands-on, conectando Privacidade, Tecnologia, Segurança da Informação, Gestão de Projetos e suporte regulatório especializado.

Podemos apoiar desde o diagnóstico inicial e Data Mapping até ROPA, RIPD/DPIA, revisão de contratos, gestão de riscos, treinamentos, segurança, Governança de IA e estruturação da operação contínua de privacidade.

Depois da implantação, a organização também pode manter a governança através do DPO-as-a-Service da Macher Tecnologia ou de uma operação assistida para o DPO interno.

O objetivo é que o projeto não termine com uma pasta de documentos.

Ele deve deixar para a organização processos, responsabilidades, controles e uma estrutura capaz de continuar evoluindo.

Se sua organização precisa de apoio com a LGPD, IA ou cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!