Em dezembro de 2024, a Autoridade Nacional de Proteção de Dados (ANPD) começou a fiscalização contra 20 empresas por um motivo que muitos subestimam: a falta de um Encarregado pelo tratamento de dados pessoais, também conhecido no mercado como DPO (Data Protection Officer), indicado publicamente e de acesso fácil por um canal adequado para que os titulares (leads, usuários, clientes, funcionários) possam exercer seus direitos relacionados aos seus dados pessoais.
O detalhe curioso nessa fiscalização é que não foi preciso um grande incidente de segurança com vazamento de dados extremamente sensíveis para que houvesse uma ação da autoridade. Foi por um ponto básico mal feito. Logo, o recado foi dado pela ANPD: o cumprimento da LGPD é exigido e começa no básico, desde que bem feito.
Geralmente a conformidade com a Lei Geral de Proteção de Dados Pessoais é associada a grandes projetos que demandam uma grande energia em tempo e investimento, com tecnologia complexa e segurança da informação. O que, ao todo, não é uma mentira. Um projeto para deixar a empresa efetivamente adequada exige esforço.
Mas a ANPD mostrou que ignorar o simples também gera fiscalização – que pode abrir margem para fiscalização de pontos mais profundos e impactantes – e que, com passos iniciais, a empresa caminha rumo à conformidade e foge de impactos reputacionais ruins por falta de um pequeno ajuste.
Na prática, as empresas podem acabar esquecendo de que o site é uma grande vitrine que pode demonstrar a conformidade, ou não, com previsões da LGPD. É por ali que começa a boa impressão que o usuário, enquanto titular de dados, busca compreender em relação a como seus dados pessoais estão sendo utilizados. E justamente por deixar de cumprir obrigações básicas, essas gigantes do mercado caíram no radar da fiscalização.
Será que sua empresa está correndo esse risco?
Aqui vai um checklist rápido para avaliar a sua situação:
- Seu site tem aviso de privacidade, mas não informa o nome e o e-mail do encarregado de dados.
- Não existe atualmente um canal exclusivo para que os titulares entrem em contato para solicitar informações sobre o tratamento de dados (exemplo: [email protected]).
- O canal disponibilizado no site é genérico, de atendimento ou contato e não teria um preparo para atender solicitações de titulares.
- O aviso de privacidade no seu site não é específico ao explicar quais direitos os usuários e clientes possuem como titulares.
Caso você tenha se familiarizado e respondido “sim” para as afirmações feitas acima, acenda um alerta. Esses descuidos levariam sua empresa para uma fiscalização.
Como resolver essa situação de forma rápida?
A boa notícia é que resolver esse problema não é uma atividade demorada e complexa. Aqui está o básico que toda empresa, enquanto agente de tratamento de dados, deveria ter – e pode ser implementado em poucos dias:
- Nomear oficialmente um Encarregado (DPO)
Pode ser alguém interno ou um prestador de serviços especializado, o importante é informar publicamente, no site, identificando o Encarregado e seu canal específico de contato.
- Criar um canal de comunicação exclusivo para atendimento de direitos dos titulares
Crie um e-mail simples, como “lgpd@empresa” ou “privacidade@empresa” ou utilize uma ferramenta externa específica para esse tipo de demanda; o importante é que seja um canal que, de fato, funcione. Ou seja, que o Encarregado de Dados (DPO) possa monitorar e tenha as respostas adequadas ao titular que solicitar informações, demonstrando comprometimento da empresa com a LGPD.
- Atualize o Aviso de Privacidade
Inclua um parágrafo para apresentar o canal de contato criado para comunicação com o Encarregado e explique quais são os direitos que o titular poderá exercer através deste canal. Além disso, identifique quem é o Encarregado nomeado. Essas previsões são obrigatórias pela Lei vigente.
- Tenha um processo interno para responder às solicitações
De nada adianta ter um canal e um Encarregado nomeado se, na prática, não existe preparo da equipe para fornecer respostas às solicitações. É essencial definir quem é o responsável por receber as solicitações, como serão as respostas e em quanto tempo elas serão fornecidas. A LGPD prevê prazos para que o titular seja respondido – e você não quer deixar esse prazo de lado.
Cumprir a LGPD não precisa ser um enorme bicho de sete cabeças. Mas ignorar o básico tem um custo. Com a fiscalização acontecendo, vemos que falta de comunicação e transparência são pontos críticos, o melhor caminho é não deixar para depois.
Aqui na L&O, apoiamos startups e empresas de tecnologia a se posicionarem no mercado de maneira segura, evitando problemas com a LGPD e construindo uma relação transparente com seus clientes e com o mercado. Contar com uma equipe de especialistas que pensam estrategicamente com você faz diferença para evitar problemas simples que podem virar uma grande dor de cabeça.
