Meta Description
Conheça os erros mais recorrentes na aplicação da LGPD, suas consequências jurídicas e como corrigi-los antes que se tornem incidentes ou sanções.
Slug
lgpd-erros-comuns-incidentes-sancoes
Palavra-chave principal
erros comuns LGPD
Palavras-chave secundárias
- LGPD na prática
- sanções da LGPD
- ANPD
- Encarregado de Proteção de Dados
- base legal para tratamento de dados
- incidente de segurança e LGPD
- direitos dos titulares
- governança de dados pessoais
- relatório de impacto à proteção de dados
- conformidade com a LGPD
Introdução
Nenhuma lei se cumpre por sua simples existência. Um império que promulga um código sem fazer cumpri-lo em cada província não tem lei — tem apenas a ilusão de ordem. O mesmo ocorre com a LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018): muitas organizações a tratam como um documento a ser arquivado após uma auditoria pontual, não como uma disciplina de governança contínua.
Este artigo apresenta os erros mais recorrentes cometidos por organizações na aplicação prática da LGPD — erros que, com frequência, não decorrem de má-fé, mas de negligência estrutural, e que abrem caminho tanto para incidentes de segurança quanto para sanções da ANPD (Autoridade Nacional de Proteção de Dados).
Sumário
- A LGPD como disciplina contínua, não como projeto pontual
- Os erros mais comuns na aplicação da LGPD
- As sanções previstas na lei
- Exemplos práticos
- Estudos de caso
- Erros comuns adicionais na governança
- Melhores práticas
- Checklist de conformidade
- Perguntas frequentes
- Conclusão
A LGPD Como Disciplina Contínua, Não Como Projeto Pontual
A LGPD estabelece princípios que devem orientar todo o ciclo de vida do dado pessoal, listados em seu artigo 6º: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas (accountability).
Organizações que tratam a conformidade como um projeto com data de conclusão — uma auditoria única, um documento assinado, um treinamento pontual — inevitavelmente regridem ao estado anterior de negligência assim que a atenção diminui. A verdadeira conformidade exige governança contínua, com responsáveis claros e processos vivos.
Os Erros Mais Comuns na Aplicação da LGPD
1. Ausência de Base Legal Clara Para o Tratamento de Dados
Todo tratamento de dados pessoais precisa se apoiar em uma das hipóteses previstas no artigo 7º da LGPD (para dados pessoais em geral) ou no artigo 11 (para dados pessoais sensíveis). Um erro recorrente é tratar dados sem identificar formalmente qual base legal ampara aquela operação — muitas vezes presumindo que o "consentimento" é sempre necessário, quando outras hipóteses, como execução de contrato ou cumprimento de obrigação legal, podem ser mais adequadas e estáveis.
2. Coleta Excessiva de Dados (Violação do Princípio da Necessidade)
Formulários e sistemas que coletam mais dados do que o necessário para a finalidade declarada violam diretamente o princípio da necessidade (art. 6º, III). Quanto mais dados desnecessários uma organização acumula, maior sua superfície de risco em caso de incidente.
3. Ausência ou Formalização Inadequada do Encarregado (DPO)
O artigo 41 da LGPD exige a indicação de um Encarregado de Proteção de Dados (também referido pela sigla em inglês DPO, Data Protection Officer), responsável por atuar como canal de comunicação entre controlador, titulares dos dados e ANPD. Muitas organizações indicam formalmente um encarregado sem atribuir a ele autoridade real, recursos ou acesso às decisões que impactam o tratamento de dados.
4. Falta de Registro das Operações de Tratamento
A ausência de um inventário estruturado de quais dados são coletados, com qual finalidade, por quanto tempo são retidos e com quem são compartilhados, impede qualquer resposta rápida e precisa a solicitações de titulares ou a fiscalizações da ANPD.
5. Não Atendimento aos Direitos dos Titulares
O artigo 18 da LGPD assegura aos titulares direitos como confirmação da existência de tratamento, acesso aos dados, correção, anonimização, portabilidade e eliminação, entre outros. Organizações sem processos estruturados para atender essas solicitações dentro de prazos razoáveis expõem-se tanto a reclamações quanto a ações da autoridade.
6. Contratos com Operadores Sem Cláusulas Adequadas de Proteção de Dados
Quando uma organização (controladora) compartilha dados com fornecedores ou parceiros (operadores), a ausência de cláusulas contratuais claras sobre segurança, finalidade e responsabilidade no tratamento desses dados cria um vácuo de responsabilidade que a lei não tolera — o controlador permanece responsável pela adequação do tratamento realizado por seus operadores.
7. Ausência de Relatório de Impacto à Proteção de Dados (RIPD) em Operações de Alto Risco
Para tratamentos que possam gerar riscos elevados às liberdades civis e aos direitos fundamentais, a ANPD pode exigir a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsto no artigo 5º, XVII, e no artigo 38 da LGPD. Muitas organizações nunca avaliam formalmente se suas operações exigem esse documento.
8. Falta de Plano de Resposta a Incidentes Envolvendo Dados Pessoais
O artigo 48 da LGPD estabelece a obrigação de comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável. Organizações sem plano estruturado de resposta a incidentes frequentemente demoram a identificar, avaliar e comunicar incidentes, agravando sua exposição legal.
9. Confiar Exclusivamente em Cláusulas Contratuais e Ignorar Controles Técnicos
A LGPD exige, em seu artigo 46, a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais. Contratos bem redigidos não substituem controles técnicos reais, como DLP (Data Loss Prevention), criptografia e controle de acesso.
10. Ausência de Cultura de Privacidade Além do Departamento Jurídico
Tratar a LGPD como responsabilidade exclusiva do jurídico, sem envolvimento de TI, segurança da informação e áreas de negócio, cria uma conformidade apenas documental, desconectada da prática operacional real da organização.
As Sanções Previstas na Lei
O artigo 52 da LGPD prevê um rol de sanções administrativas aplicáveis pela ANPD em caso de infração, entre elas:
| Sanção | Descrição |
|---|---|
| Advertência | Indicação de prazo para adoção de medidas corretivas |
| Multa simples | Até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitada, no total, a R$ 50 milhões por infração |
| Multa diária | Também observado o limite total da multa simples |
| Publicização da infração | Após devidamente apurada e confirmada sua ocorrência |
| Bloqueio ou eliminação dos dados pessoais | Relacionados à infração cometida |
| Suspensão parcial do funcionamento do banco de dados | Pelo período máximo de seis meses, prorrogável por igual período |
| Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados | Nas hipóteses previstas em lei |
Caixa de Destaque — Princípio Estratégico A sanção mais severa raramente é a primeira consequência de um incidente. A perda de confiança do mercado e dos titulares, muitas vezes, custa mais caro e dura mais tempo do que qualquer multa administrativa.
Exemplos Práticos
Exemplo 1 — Coleta Excessiva em Formulário de Cadastro Uma empresa de e-commerce solicita, em seu formulário de cadastro, dados como estado civil e renda familiar, sem qualquer relação com a finalidade de venda de produtos. Uma revisão de conformidade identifica a violação ao princípio da necessidade e remove os campos desnecessários.
Exemplo 2 — Ausência de Processo Para Solicitação de Exclusão de Dados Um titular solicita a exclusão de seus dados pessoais de uma base de marketing, mas a empresa não possui processo formal para atender a solicitação, resultando em atraso significativo e reclamação formal à ANPD.
Exemplo 3 — Contrato com Operador Sem Cláusulas de Segurança Uma organização contrata um fornecedor de processamento de folha de pagamento sem incluir, no contrato, exigências claras sobre medidas de segurança e notificação de incidentes, expondo-se a responsabilização em caso de vazamento causado pelo fornecedor.
Estudos de Caso
Caso 1 — Incidente Agravado por Ausência de Plano de Resposta
Casos amplamente noticiados de incidentes envolvendo dados pessoais no Brasil frequentemente revelam um padrão comum: a demora entre a detecção técnica do incidente e sua comunicação formal, muitas vezes agravada pela ausência de um plano de resposta previamente estruturado, o que amplia tanto o dano reputacional quanto o risco de sanção.
Caso 2 — Fragilidade na Gestão de Operadores
Investigações sobre incidentes envolvendo terceiros frequentemente revelam contratos de prestação de serviço sem exigências claras de segurança da informação, evidenciando que a responsabilidade do controlador pela adequação do tratamento realizado por operadores é, na prática, um dos pontos mais negligenciados da conformidade com a LGPD.
Erros Comuns na Governança de Privacidade
- Tratar a LGPD como checklist único, sem revisão periódica frente a mudanças de processos e sistemas.
- Não capacitar continuamente as equipes sobre princípios de proteção de dados.
- Concentrar toda a responsabilidade no encarregado, sem envolvimento das áreas de negócio.
- Ignorar a avaliação de risco em novos projetos (privacy by design), tratando a privacidade como etapa posterior ao desenvolvimento, não como requisito desde a concepção.
- Negligenciar a gestão do ciclo de vida do dado, mantendo informações por prazo indefinido sem justificativa.
Melhores Práticas
- Mapeie e documente todas as operações de tratamento de dados pessoais.
- Formalize e capacite verdadeiramente o encarregado, com autoridade e recursos reais.
- Implemente privacy by design, avaliando riscos de privacidade desde a concepção de novos produtos e processos.
- Estruture processos claros para atendimento aos direitos dos titulares, com prazos definidos.
- Revise contratos com operadores, incluindo cláusulas específicas de segurança e notificação de incidentes.
- Combine governança jurídica com controles técnicos, como DLP, criptografia e gestão de acesso.
- Elabore e teste um plano de resposta a incidentes envolvendo dados pessoais.
Checklist de Conformidade
- [ ] Inventário de operações de tratamento de dados pessoais documentado
- [ ] Base legal identificada para cada operação de tratamento
- [ ] Encarregado (DPO) formalmente indicado e com autoridade real
- [ ] Processos estruturados para atendimento aos direitos dos titulares
- [ ] Avaliação de necessidade de RIPD para operações de alto risco
- [ ] Contratos com operadores revisados com cláusulas de segurança
- [ ] Plano de resposta a incidentes envolvendo dados pessoais testado
- [ ] Controles técnicos de segurança (DLP, criptografia, controle de acesso) implementados
- [ ] Programa de capacitação contínua em proteção de dados ativo
- [ ] Revisão periódica de conformidade agendada
Perguntas Frequentes
Toda empresa precisa indicar um Encarregado de Proteção de Dados? A LGPD exige a indicação de um encarregado de forma geral, embora a ANPD possa estabelecer regras específicas de simplificação para pequenas e médias empresas e startups, conforme previsto na própria lei.
Consentimento é sempre a base legal necessária para tratar dados pessoais? Não. A LGPD prevê diversas outras hipóteses no artigo 7º, como cumprimento de obrigação legal, execução de contrato e legítimo interesse, que podem ser mais adequadas dependendo do contexto do tratamento.
Qual o prazo para notificar a ANPD sobre um incidente de segurança? A LGPD estabelece, no artigo 48, que a comunicação deve ocorrer em prazo razoável, conforme definido pela ANPD, sem fixar um número exato de dias na própria lei, cabendo à autoridade regulamentar essa definição.
Empresas pequenas também estão sujeitas às sanções da LGPD? Sim, a lei se aplica a qualquer operação de tratamento de dados pessoais realizada no Brasil, independentemente do porte da empresa, embora a ANPD possa considerar o porte e a natureza da organização na aplicação de sanções.
Ter um contrato com cláusulas de proteção de dados é suficiente para conformidade? Não. Contratos são importantes, mas a LGPD exige também medidas técnicas e administrativas efetivas de segurança, não apenas formalização jurídica.
Conclusão
A LGPD não é um adversário a ser contido por meio de documentos arquivados em uma gaveta; é uma disciplina de governança que, quando bem aplicada, protege tanto os titulares quanto a própria organização. Os erros mais recorrentes descritos neste artigo não nascem de má-fé, mas de tratar a conformidade como evento isolado, não como cultura permanente.
Organizações que integram princípios de proteção de dados à sua operação cotidiana — com controles técnicos reais, processos vivos e responsabilidade compartilhada entre jurídico, segurança e negócio — reduzem drasticamente tanto o risco de incidentes quanto a exposição a sanções.
Chamada para Ação
Revise, hoje, se sua organização trata a LGPD como um documento arquivado ou como uma prática viva. A diferença entre as duas posturas, no momento de um incidente, será medida em multas, reputação e confiança perdida — ou preservada.
Comentários
Postar um comentário