Advogado de LGPD para empresas: adequação, DPO e incidentes

Vale para empresas e profissionais liberais, como clínicas, contadores e escritórios, que guardam dados de clientes e pacientes, às vezes sensíveis, como os de saúde (art. 5º, II). O advogado muda o rumo do caso nestas situações:

• A empresa guarda dados de clientes e nunca se adequou

  Cadastro de clientes, ficha de funcionário e formulário do site já são tratamento de dados pessoais. Sem mapeamento, política e contratos em ordem, a empresa não prova que cumpre a lei.

  • LGPD para empresas

• Chegou pedido de cliente, de funcionário ou ofício da ANPD

  Cliente e funcionário podem pedir acesso, correção ou eliminação dos próprios dados (art. 18). Responder errado, ou não responder, cria um problema novo.

  • O que os titulares podem pedir

• A empresa teve um vazamento de dados

  Se o incidente puder trazer risco ou dano relevante às pessoas, a comunicação à ANPD e aos titulares tem prazo de 3 dias úteis. Decidir se comunica, e como, é decisão jurídica e precisa ficar documentada.

  • Vazamento de dados na empresa
  • Se veio de golpe: advogado para golpes e fraudes

• A empresa vai usar IA com dados de clientes

  Colar dados de cliente numa ferramenta de IA ou usar IA para escolher candidatos exige regra escrita e contrato com o fornecedor. Quem sofre decisão tomada só por sistema pode pedir a revisão (art. 20).

  • Governança de IA
  • Recrutamento com IA

• Uma empresa maior exige adequação para fechar contrato

  Empresas maiores podem exigir dos fornecedores questionário, cláusulas de proteção de dados e prova de adequação. Sem política, registro das operações e contratos em ordem, a contratação pode travar.

  • Política de privacidade e termos

• A empresa precisa de encarregado de dados (DPO)

  O art. 41 da LGPD manda indicar um encarregado. Se ninguém na empresa pode exercer a função sem conflito de interesse, ele pode ser alguém de fora.

  • Quem pode ser o encarregado

Quatro passos que o dono ou o gestor dá sozinho.

1. 1

   Liste os dados

   Anote que dados pessoais a empresa coleta, onde ficam e quem acessa. Uma planilha simples serve. O registro das operações é obrigação da empresa (art. 37).

2. 2

   Escolha quem responde

   Defina uma pessoa de contato para clientes e funcionários e divulgue o canal no site. A empresa de pequeno porte pode não indicar encarregado, mas precisa desse canal.

3. 3

   Proteja o acesso

   Senha individual, verificação em duas etapas e cópia de segurança. Tire o acesso de quem saiu da empresa.

4. 4

   Se houver incidente, anote tudo

   Contenha o problema, guarde os registros e anote quando a empresa soube. O prazo de comunicação à ANPD, quando cabe, é de 3 dias úteis, em dobro para a empresa de pequeno porte.

Cada guia responde a uma dúvida de quem toca um negócio.

• LGPD para empresas: o que a lei exige e por onde começar.
• Vazamento de dados na empresa: como conter, avaliar o risco e comunicar a ANPD.
• Política de privacidade para site: o que o site precisa informar.
• ECA Digital para empresas: quem precisa cumprir e por onde começar.
• Governança de IA: lista dos sistemas, risco e o que a LGPD já exige.
• Treinamento de IA para empresas: política de uso de IA e orientação da equipe.
• Treinamento de IA para advogados: o que a Recomendação n. 001/2024 da OAB pede.
• Recrutamento com IA: cuidados ao triar currículos e avaliar candidatos.
• Decisão automatizada: como pedir a revisão de decisão tomada por sistema ou IA.
• Meus dados vazaram: para quem teve os próprios dados expostos.

Ver os guias de empresas, LGPD e IA ou todos os guias do site.

O escritório cuida da parte jurídica da adequação, em seis frentes. Nem toda empresa precisa de todas.

• Mapeamento, bases legais e relatório de impacto

  Levantamento dos dados e da base legal de cada uso (art. 7º). Quando cabe, relatório de impacto (RIPD), que descreve os riscos às pessoas e as medidas para reduzi-los; a ANPD pode determinar que a empresa o faça (art. 38).

• Política de privacidade, termos e canal do titular

  Aviso de privacidade e termos de uso do site ou aplicativo, política interna e o canal para responder pedidos de clientes e funcionários.

• Contratos com operadores e fornecedores

  Cláusulas de proteção de dados nos contratos com quem trata dados em nome da empresa, como sistema de gestão, contador e agência (art. 39).

• Plano de resposta a incidentes

  Plano escrito de quem faz o quê nas primeiras horas (art. 50, § 2º, I, g). No incidente real, análise do risco, comunicação à ANPD e aos titulares e resposta a ofícios.

• Governança e política de uso de IA

  Regras para a equipe usar IA sem expor dados de clientes e cuidados quando o sistema decide sobre pessoas.

• Encarregado de dados (DPO) terceirizado

  O escritório presta o serviço de encarregado, indicado pela empresa por ato formal. As regras estão abaixo.

Nem todo caso passa por todas as etapas. Cada caso depende dos dados que a empresa trata, do porte e dos documentos que já existem; não há resultado garantido.

1. Etapa 1

   Conversa inicial

   Você conta pelo WhatsApp ou por e-mail o que a empresa faz e o que motivou a procura. A equipe do escritório responde, sob a responsabilidade do advogado, e diz quais documentos enviar.

2. Etapa 2

   Diagnóstico

   Leitura dos contratos, da política e dos sistemas, com a lista do que falta e do que é urgente.

3. Etapa 3

   Documentos e contratos

   Redação ou revisão da política, dos termos, das cláusulas, do plano de incidentes e, quando cabe, do relatório de impacto.

4. Etapa 4

   Acompanhamento

   Encarregado terceirizado, resposta a titulares e a ofícios da ANPD e revisão dos documentos quando muda um sistema ou um fornecedor.

Separe o que a empresa tiver; o resto pode ser reunido depois.

• contratos com fornecedores de TI e de sistemas que guardam dados da empresa;
• a política de privacidade e os termos de uso atuais;
• a lista dos sistemas e planilhas que guardam dados de clientes e funcionários, e de quem acessa cada um;
• os modelos de consentimento que a empresa usa;
• os pedidos de titulares e os ofícios da ANPD recebidos;
• se houve incidente: quando a empresa soube, que dados foram afetados e o que já foi feito.

Não mande senhas, códigos de verificação nem planilhas com dados reais de clientes ou funcionários no primeiro contato.

Entrevistas sobre inteligência artificial, privacidade, segurança digital e regulação da internet.

• 

  TV Senado, Senado Notícias

  Robôs e ataques automatizados nas redes

• 

  RecordTV, Balanço Geral

  Inteligência artificial sabota equipe e chantageia engenheiros para não ser desativada

• 

  SBT Brasil

  Regulação das redes: julgamento do Marco Civil da Internet no STF

• 

  CNJ

  Entrevista como professor e advogado de Direito Digital

Veja todas as participações na imprensa