Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
LGPD · LEI GERAL DE PROTEÇÃO DE DADOS
O diagnóstico inicial é a parte fácil, e é onde a maioria dos projetos começa e acaba. O que decide se a sua empresa consegue responder a um cliente ou à ANPD dois anos depois é quem mantém o inventário atualizado, quem revisa as bases legais quando o negócio muda e quem responde o titular dentro do prazo. É disso que esta página trata.
A LGPD é lei, e a interpretação dela é trabalho jurídico. A DM11 conduz a adequação com especialista em direito digital ao lado do especialista em gestão, porque separar as duas coisas é o que produz projeto bonito que não se sustenta numa fiscalização. Quando o objetivo também inclui um documento emitido por terceiro, a página da ISO 27701 explica esse caminho.
Quem conduz a adequação
Especialistas em proteção de dados certificados pela EXIN (DPO, PDPP e PDPF)
Consultoria jurídica em privacidade e direito digital
ISO/IEC 27001 Lead Auditor certificado pela BSI
17 anos de governança, riscos e conformidades
O QUE A LEI EXIGE
A Lei 13.709/2018 alcança qualquer empresa que trate dado pessoal no Brasil, e trata de dado pessoal quem tem funcionário, cliente ou fornecedor pessoa física. Ela não lista tecnologia nem controle: lista princípios, direitos do titular e responsabilidades. Na prática isso significa que a empresa escolhe como cumprir, e precisa conseguir demonstrar o que escolheu, quando decidiu e por quê.
Não existe faturamento mínimo nem número de funcionários abaixo do qual a lei não alcança. O que existe é um regime simplificado da ANPD para agentes de tratamento de pequeno porte, que reduz formalidade em algumas obrigações sem retirar nenhuma delas. Empresa pequena tem menos papel a produzir, não menos dever.
O erro mais comum e mais caro é tratar consentimento como padrão. A lei traz dez bases legais, e o consentimento é uma delas, quase sempre a mais frágil para processo de negócio, porque pode ser retirado a qualquer momento e derruba o tratamento junto. Escolher a base certa por tratamento é a decisão que mais muda o projeto, e é decisão jurídica.
A lei exige indicar um encarregado pelo tratamento de dados pessoais e divulgar publicamente a identidade e o contato dele. Pode ser alguém de dentro, com o papel formalizado, ou um serviço externo. O que não funciona é o nome no rodapé do site sem processo por trás, porque o titular escreve e o relógio começa a correr.
Vale alinhar isso cedo, porque muda o que a empresa deve produzir. A lei não é certificável, e o que demonstra conformidade é evidência datada: inventário de tratamentos, base legal registrada, relatório de impacto onde a lei pede, registro de pedidos de titular atendidos e prova de que a governança funciona. Quando o cliente quer um documento emitido por terceiro, e cliente europeu costuma querer, o caminho é a ISO 27701, e o material construído aqui entra inteiro nesse projeto.
QUEM COSTUMA PROCURAR
Raramente a LGPD entra na pauta por convicção. Entra porque alguém de fora perguntou, ou porque algo aconteceu.
Cliente grande, banco, seguradora ou empresa estrangeira mandou um formulário com dezenas de perguntas e prazo curto. Responder sem base produz duas coisas ruins: resposta otimista que não se sustenta na próxima auditoria, e ausência de resposta que trava o contrato.
Vazamento, ransomware ou um e-mail que saiu para a lista errada. A pergunta que aparece na hora é se precisa comunicar à ANPD e aos titulares, e essa decisão é péssima de tomar às pressas, sem inventário e sem plano definido antes.
Venda da empresa, captação ou entrada de sócio. Privacidade virou item de checklist em due diligence, e passivo de dado pessoal apareceu como desconto de preço em transação. Aqui o prazo é dado por outro calendário, e ele não negocia.
Tradução
Adequação à LGPD é o nome que se dá a cinco trabalhos diferentes. Quem pede raramente sabe qual deles precisa, e a primeira coisa que fazemos é descobrir isso, porque o escopo errado custa caro dos dois lados: sobra trabalho que ninguém pediu, ou falta o que resolveria a pendência.
| O que chega até você | O que significa | O que muda no trabalho |
|---|---|---|
| “Precisamos estar adequados à LGPD” | Pedido sem escopo. Adequação da empresa inteira, de um produto, ou só do que toca o dado do cliente que está perguntando. | A conversa começa por qual das três. Adequar a empresa toda quando o que trava é um contrato é gastar meses no lugar errado. |
| “O cliente mandou um questionário de privacidade” | Diligência de terceiro. Ele não quer um programa: quer evidência de que o dado dele está tratado com método. | Trabalho curto e objetivo. Mapear o que aquele cliente toca, escrever o que falta e responder com evidência, não com promessa. |
| “Precisamos nomear um encarregado” | A lei exige o nome público. O que ela não diz é que a função dá trabalho todo mês. | Nomear é a parte fácil. O trabalho é o canal do titular, o prazo de resposta, o contrato novo e o sistema novo. Pode ser assumido como serviço. |
| “Tivemos um incidente e não sabemos se comunica” | Urgência real, e prazo curto. A decisão de comunicar depende do risco ao titular, e ela precisa ser tomada e registrada. | Entra primeiro a resposta ao incidente, com a decisão documentada. O programa vem depois, e nasce melhor por causa do que se aprendeu. |
| “O cliente europeu pediu garantias sobre dado pessoal” | GDPR entra na conversa. Costuma ser o caso em que um certificado responde melhor que um dossiê. | O caminho muda: a adequação vira base para a ISO 27701, e o material construído aqui entra inteiro naquele projeto. |
| “Queremos um parecer sobre a base legal que escolhemos” | Não é adequação. É consultoria jurídica, e a DM11 não presta. | Dizemos isso na primeira conversa. A DM11 tem especialistas em direito digital na equipe e ainda assim mantém os papéis separados: organizamos a operação, o jurídico decide o que é lícito. |
Nada aqui é preço. Cada uma dessas linhas é um trabalho de tamanho diferente, e por isso a conversa começa por qual delas é a sua.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Comércio eletrônico
A empresa havia colocado um aviso de consentimento em cada ponto de coleta e considerava o assunto resolvido. Quando começaram os pedidos de exclusão, descobriu que a mesma marcação sustentava a entrega do pedido, a nota fiscal e a cobrança, e que atender ao titular ao pé da letra quebraria a operação.
Refizemos a análise tratamento a tratamento, com o jurídico junto. Boa parte do que estava em consentimento tinha base legal melhor: execução de contrato para a entrega, obrigação legal para a nota, legítimo interesse documentado para prevenção a fraude. O consentimento ficou onde ele é de fato a base correta, que é a comunicação de marketing.
Os pedidos de exclusão pararam de ser crise e viraram processo. E a base de marketing encolheu bem menos do que o time temia, porque quase todo o resto nunca dependeu de consentimento para começar.
Serviços de recursos humanos
A empresa mantinha currículos, resultados de testes e anotações de entrevista de todo mundo que já se candidatou, sem prazo e sem critério. Ninguém tinha decidido guardar para sempre: simplesmente nunca houve decisão de descartar, e o volume acumulou por anos.
Definimos prazo de retenção por tipo de informação, com o jurídico avaliando o que precisa ficar por obrigação legal e o que só existia por conveniência. Implantamos o descarte, e o mais difícil não foi técnico: foi acertar o que fazer com anotação subjetiva de entrevistador, que é dado pessoal e o time não enxergava assim.
O acervo diminuiu de forma expressiva, e com ele o tamanho de qualquer incidente futuro. Dado que não existe mais não vaza, e essa foi a redução de risco mais barata do projeto inteiro.
Indústria
Dezenas de fornecedores tocavam dado pessoal da empresa, de folha a benefícios, de sistema de ponto a plataforma de treinamento. Nenhum contrato tinha cláusula de proteção de dados, e ninguém sabia dizer quais deles armazenavam informação fora do país.
Levantamos quem toca o quê e classificamos por risco, em vez de tratar os quarenta como iguais. Os poucos críticos ganharam revisão contratual completa e verificação de onde os dados ficam. O resto entrou em um aditivo padrão, com prazo, e o processo de compras passou a exigir a cláusula antes da assinatura.
O ganho não foi só jurídico. Ao mapear os fornecedores, a empresa descobriu três sistemas contratados por área, sem passar pela TI, tratando dado de funcionário. Dois foram desligados.
AUTODIAGNÓSTICO
As quatro primeiras perguntas classificam o seu caso, porque ser controlador, operador ou os dois muda quase tudo. As outras dezesseis medem o que existe e está de pé. O resultado aparece inteiro na tela, com a nota de cada área. Não pedimos e-mail para mostrar. Isto mede gestão e evidência, não é leitura jurídica da lei nem substitui a análise do seu jurídico.
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Abaixo de 50
Nota baixa aqui quer dizer que a empresa responde perguntas sobre dado pessoal pela memória de quem estava lá, e memória não sobrevive a troca de time nem a auditoria de cliente. O que costuma faltar não é a planilha, é a conversa com quem opera: o mapa que sai só da TI perde o formulário do RH, a lista de e-mail do marketing e a planilha de pós-venda. Comece por uma área só, a que mais toca dado pessoal, e vá até o fim dela antes de abrir a segunda. Registre origem, finalidade, quem acessa, para onde vai e por quanto tempo, mesmo que a primeira versão fique feia.
De 50 a 79
Existe um levantamento, e ele descreve parte da empresa ou uma versão antiga dela. O sintoma típico é a planilha de um projeto anterior que ninguém tocou desde que o produto novo entrou. Vale menos ampliar o mapa agora e mais datar o que já existe: marcar quem é a área dona de cada tratamento e quando ele foi conferido pela última vez. Depois disso, o buraco previsível é o que foi contratado fora da TI, e ele se acha perguntando às áreas o que elas assinaram no cartão corporativo, não olhando o inventário de sistemas.
80 ou mais
O mapa existe e acompanha a operação, e é isso que faz as outras áreas terem em que se apoiar. O que costuma escapar nesta faixa é a finalidade escrita em linguagem de sistema em vez de linguagem de negócio: quando a finalidade diz apenas o nome do módulo, ninguém consegue julgar se o dado ainda serve para aquilo. Reescreva as finalidades dos cinco tratamentos com mais gente envolvida e teste com uma pessoa da área, que precisa reconhecer o próprio processo na frase.
Abaixo de 50
Nota baixa neste domínio quase sempre significa uma de duas coisas: nada foi registrado, ou tudo foi marcado como consentimento sem análise. As duas dão o mesmo trabalho depois, porque a empresa não consegue explicar por que trata o que trata. Vale separar o que é seu do que é do jurídico: levantar a lista de tratamentos, descrever cada um em uma frase e anotar quem aprovou é trabalho de gestão, e é o insumo sem o qual nenhum advogado consegue decidir. A escolha da base em si é análise jurídica, e ela fica muito mais barata quando chega com esse material pronto.
De 50 a 79
Há registro nos tratamentos principais, e o que falta costuma ser a justificativa: a base aparece anotada e ninguém sabe dizer por que foi escolhida nem quem decidiu. Sem esse rastro, a primeira pergunta de um cliente ou de um comprador reabre a discussão inteira. Do lado do aviso publicado, o teste rápido é ler o texto ao lado do inventário e marcar toda promessa que a operação não cumpre. Corrija primeiro as divergências, e só depois pense em melhorar a redação, porque aviso bonito que descreve outra empresa pesa contra.
80 ou mais
Registro e transparência estão alinhados, e a empresa consegue explicar as próprias decisões. O ponto de atenção desta faixa é o gatilho: base legal registrada envelhece quando a finalidade muda sem ninguém avisar, e finalidade muda com produto novo, parceria nova e campanha nova. Combine com o jurídico uma revisão disparada por evento, e não por calendário. No consentimento, confira se a retirada chega mesmo a todos os sistemas, porque o ponto que costuma ficar de fora é a ferramenta de disparo contratada por marketing.
Abaixo de 50
Sem encarregado indicado e sem caminho definido, o pedido do titular chega mesmo assim, pelo atendimento comum ou por rede social, e o relógio começa a correr sem que ninguém perceba. O que costuma faltar antes do nome é a decisão sobre alçada e tempo: indicar alguém que não tem autonomia para pedir uma exclusão a uma área cria um cargo sem função. Defina quem é, formalize por escrito, publique o contato e desenhe em uma página quem faz o quê para acesso, correção e exclusão. É o domínio mais barato de sair do zero neste diagnóstico.
De 50 a 79
Existe contato publicado e o atendimento se organiza caso a caso, o que funciona enquanto o volume é pequeno e falha no primeiro mês em que chegam três pedidos juntos. O que falta é o registro: sem ele a empresa não consegue provar que respondeu, e o histórico é justamente o que um cliente pede em due diligence. Uma planilha compartilhada com data de entrada, tipo de pedido, prazo e resposta já resolve o essencial. Vale também escrever a resposta padrão dos dois ou três pedidos mais comuns, porque é o que evita que cada caso vire uma redação nova.
80 ou mais
O canal existe, tem dono e deixa rastro. O que diferencia nesta faixa é a identificação de quem pede: atender um pedido de exclusão sem confirmar que a pessoa é quem diz ser é o erro que transforma um processo bom em incidente. Confira se o fluxo cobre pedido feito por terceiro, por advogado e por responsável de menor, que são os que travam. E teste o caminho de fora para dentro, escrevendo para o próprio contato publicado e cronometrando a resposta.
Abaixo de 50
Este é o domínio que mais explica por que projetos de adequação envelhecem, e nota baixa aqui costuma vir junto com uma pasta de documentos bem escritos. O que falta não é intenção, é nome com data na agenda de alguém: sem responsável e sem periodicidade, a revisão só acontece quando um cliente pergunta, e aí já é tarde. Escolha uma pessoa, defina uma frequência que a empresa consiga cumprir, ainda que seja semestral, e liste os três gatilhos que disparam revisão fora do ciclo: sistema novo, fornecedor novo, produto novo. Do lado do treinamento, comece pelas áreas que mais tocam dado, com registro de quem participou.
De 50 a 79
A revisão acontece quando alguém lembra, e o treinamento foi um evento único ou um comunicado por e-mail. Na prática isso significa que a empresa depende de uma pessoa específica continuar por perto, e é o risco que ninguém enxerga até ela sair. O passo concreto é transformar a lembrança em rotina registrada e o comunicado em conteúdo por área: o que o RH pode e não pode fazer é diferente do que vale para o comercial. Registro de participação não é burocracia, é a única evidência de que a orientação chegou.
80 ou mais
A rotina existe e sobrevive à troca de pessoas, que é o que sustenta todo o resto do programa. O ponto de atenção é o gatilho por evento: revisão anual bem feita continua deixando um vão de onze meses para o fornecedor que entrou em fevereiro. Vale conferir se compras, TI e produto sabem que precisam avisar, e se avisam. E vale medir o treinamento por comportamento, não por presença: perguntar às áreas o que elas fariam num caso concreto revela mais que qualquer lista de assinaturas.
Abaixo de 50
Nota baixa aqui quase nunca vem de uma decisão de guardar tudo, e sim da ausência de qualquer decisão de apagar. O efeito é que o tamanho de um incidente futuro cresce sozinho, mês a mês, sem que ninguém tenha escolhido isso. O que costuma faltar é a conversa entre quem sabe o que precisa ficar por obrigação e quem sabe o que existe: comece por dois ou três tipos onde o acúmulo é evidente, como currículo de candidato e gravação de atendimento. Definir prazo para poucos tipos e cumprir vale mais do que uma tabela completa que ninguém aplica.
De 50 a 79
Existe regra para parte dos dados, ou existe tabela e ela não é aplicada, que é o caso mais frequente. A distância entre a regra e a execução costuma ser técnica e sem dono: ninguém foi encarregado de rodar o descarte. Nomeie o responsável, defina a periodicidade e registre o que saiu e quando, porque descarte sem registro não serve de evidência. Antes disso, confira se a regra escrita foi validada com o jurídico sobre o que precisa ficar, para não apagar o que era obrigação guardar.
80 ou mais
O ciclo de guarda e descarte está definido e acontece. O que costuma escapar nesta faixa são as cópias fora do caminho principal: extração para planilha, base de teste com dado real, anexo em e-mail e o backup com retenção maior que a política. Nenhuma delas aparece no sistema, e todas aparecem num vazamento. Mapeie por onde o dado sai do sistema oficial e trate cada saída como um destino com prazo próprio, incluindo a decisão explícita sobre o que fazer no backup.
Abaixo de 50
Sem cláusula nos contratos e sem saber onde o dado fica, a empresa responde pela decisão de escolher o fornecedor e não consegue demonstrar nada sobre ele. O que costuma faltar primeiro não é a cláusula, é a lista: quem toca dado pessoal seu, para fazer o quê. Ela se monta rápido cruzando contas a pagar com os sistemas em uso, e quase sempre revela nomes que a TI não conhecia. Com a lista na mão, classifique por criticidade em vez de tratar todos como iguais, e comece a revisão pelos poucos que concentram volume ou dado sensível.
De 50 a 79
Os contratos novos já saem com cláusula e o passado nunca foi revisado, que é o padrão de quem arrumou o processo de compras e parou ali. O risco fica concentrado justamente nos fornecedores antigos, que costumam ser os que têm mais dado. Escolha os dez mais críticos e trate um a um, com aditivo quando for o caso. Do lado de onde o dado fica, pergunte por escrito ao fornecedor em que país está a informação e quem mais acessa, incluindo os subcontratados dele, porque essa resposta é o insumo que o jurídico precisa para tratar transferência.
80 ou mais
Você sabe quem toca o quê, e os contratos acompanham. O que costuma faltar nesta faixa é a saída: fornecedor que encerra contrato mantendo acesso ou mantendo cópia do dado é o achado mais silencioso deste domínio. Inclua no encerramento a confirmação de devolução ou eliminação, com registro. E reavalie os críticos com periodicidade, porque o fornecedor que era pequeno há dois anos pode ter mudado de infraestrutura, de país ou de subcontratado sem avisar ninguém.
Abaixo de 50
Acesso amplo e ausência de plano são os dois fatores que mais aumentam o tamanho de qualquer incidente, e nota baixa aqui costuma coexistir com boa infraestrutura, porque o problema é de decisão e não de ferramenta. O que costuma faltar é a pergunta simples nunca feita: quantas pessoas conseguem abrir a base inteira de clientes ou a pasta do RH. Faça esse levantamento primeiro, corte o que é herança de cargo anterior e registre quem aprovou o que sobrou. Em paralelo, escreva em uma página quem avalia o risco aos titulares e quem decide sobre comunicar, mesmo que o plano completo venha depois.
De 50 a 79
Há controle de acesso e a revisão é esporádica, ou existe plano de incidente que trata da parte técnica e não da parte de dado pessoal. São lacunas diferentes com a mesma origem: a segurança foi resolvida pela TI e a privacidade não entrou na conversa. Na revisão de acesso, o que falta é registro de quem revisou e do que foi removido, sem o qual a revisão não conta como evidência. No plano, o que falta é o critério de avaliação de risco aos titulares e o jurídico dentro da decisão, porque comunicar ou não é decisão de negócio e de direito, não de infraestrutura.
80 ou mais
Acesso controlado e plano escrito colocam a empresa numa posição confortável para o pior dia. A distância que sobra é o ensaio: plano nunca exercitado costuma revelar, no primeiro teste de mesa, que ninguém sabe quem aciona quem fora do horário comercial e que o contato do fornecedor crítico está desatualizado. Marque um exercício curto com quem realmente participaria, incluindo jurídico e comunicação, e registre o que travou. O resultado desse ensaio vale mais que qualquer melhoria no texto do plano.
QUEM FAZ O QUÊ
A lei exige um encarregado, e exige que o nome dele seja público. O que ela não diz é que a função dá trabalho contínuo: pedido de titular, incidente, contrato novo, sistema novo. É onde a maioria dos programas para depois do diagnóstico.
COMO CONDUZIMOS
Jurídico e gestão andam juntos do primeiro dia, e não em sequência. Adequação conduzida só pelo jurídico produz parecer que ninguém opera, e conduzida só pela tecnologia produz controle sem base legal por trás. As duas leituras precisam se cruzar em cada tratamento.
Levantamos os tratamentos por processo de negócio, com quem opera e não só com quem coordena, porque a planilha oficial quase nunca coincide com a prática. Registramos origem, finalidade, quem acessa, para onde vai, quanto tempo fica e quais fornecedores tocam.
Inventário de tratamentos por processo de negócio
Fluxo de dado pessoal, incluindo transferência a terceiros
Lista de fornecedores com acesso, classificada por risco
Identificação do que é dado pessoal sensível
Marco de entregaInventário aprovado pelas áreas donas dos processos, e não apenas pela TI.
Com o jurídico, definimos a base legal de cada tratamento e registramos a justificativa. Avaliamos os riscos aos titulares, que não são os mesmos riscos da segurança da informação, e produzimos relatório de impacto onde a lei ou o risco pedem.
Base legal registrada e justificada por tratamento
Teste de legítimo interesse onde essa é a base escolhida
Relatório de impacto à proteção de dados, onde aplicável
Política de privacidade e avisos reescritos para o que a empresa realmente faz
Marco de entregaBase legal definida em 100% dos tratamentos inventariados, com o jurídico de acordo.
Implantamos com seu time o que sustenta a decisão no dia a dia: controle de acesso por necessidade, retenção e descarte por tipo de dado, cláusulas nos contratos com terceiros e o processo de atendimento ao titular, com canal, prazo, registro e resposta padronizada.
Processo de atendimento ao titular, com prazo e registro
Política de retenção e descarte, implantada e não só escrita
Cláusulas de proteção de dados revisadas nos contratos de terceiros
Encarregado formalizado e contato publicado
Marco de entregaPrimeiro ciclo de pedidos de titular atendido dentro do prazo, com registro completo.
É a fase que separa adequação de relatório. Definimos quem revisa o quê e com que frequência, treinamos quem opera e ensaiamos um incidente, para a decisão de comunicar à ANPD e aos titulares ser tomada com plano na mão e não no susto.
Rotina de revisão definida, com responsável e periodicidade
Plano de resposta a incidente com dado pessoal, ensaiado
Treinamento das áreas que mais tratam dado pessoal
Relatório para a direção, com o que ficou pendente escrito
Marco de entregaEnsaio de incidente concluído, com a decisão de comunicar tomada dentro do plano.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. A primeira conversa costuma bastar para separar os dois casos que mais aparecem: a empresa que nunca fez nada e a que fez um projeto anos atrás e não manteve. A segunda quase sempre está mais perto do que imagina, e às vezes mais longe.
Uma operação com meia dúzia de sistemas é um projeto. Uma com dezenas de fornecedores e áreas contratando ferramenta por conta própria é outro, e boa parte do tempo vai embora descobrindo o que existe antes de decidir qualquer coisa.
Com alguém de dentro disponível, o papel se formaliza rápido. Sem ninguém, a decisão entre nomear internamente e contratar o serviço precisa ser tomada cedo, porque o encarregado participa do projeto e não entra depois de pronto.
Adequar é o suficiente para responder cliente e regulador com evidência própria. Quando existe intenção de certificar privacidade depois, organizamos o material já no formato da ISO 27701 desde o começo, o que custa pouco agora e economiza um projeto inteiro depois.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
A lei em si não é certificável, e vale saber disso antes de contratar qualquer coisa, porque o termo circula bastante no mercado. O que demonstra conformidade é evidência: inventário atualizado, base legal registrada, atendimento ao titular funcionando e governança que se prova com documento datado. Se o que você precisa é um documento emitido por terceiro, para responder cliente ou regulador, a norma certificável de privacidade é a ISO 27701, e o trabalho de adequação é justamente a base dela.
Vale. Não existe porte mínimo, e qualquer empresa com funcionário já trata dado pessoal. O que existe é um regime simplificado da ANPD para agentes de tratamento de pequeno porte, que alivia formalidade em algumas obrigações. Ele reduz papel, não reduz dever: base legal, atendimento ao titular e segurança da informação continuam valendo integralmente.
Não, e apoiar tudo em consentimento é o erro que mais dá trabalho depois. A lei traz dez bases legais, e várias servem melhor a processo de negócio: execução de contrato, cumprimento de obrigação legal, legítimo interesse. O consentimento pode ser retirado a qualquer momento, e quando ele sustenta algo essencial, a retirada derruba a operação junto. Escolher a base certa por tratamento é decisão jurídica, e é a que mais muda o projeto.
A lei exige indicar um encarregado e divulgar publicamente a identidade e o contato dele. Pode ser alguém de dentro, com o papel formalizado e tempo real para exercê-lo, ou um serviço externo. O que não resolve é publicar um e-mail sem processo por trás: assim que o contato existe, o titular escreve, e a partir daí o prazo de resposta corre.
Depende do risco relevante aos titulares, e essa avaliação é péssima de fazer no dia. A comunicação à ANPD e aos titulares é obrigatória quando o incidente pode acarretar risco ou dano relevante, e o prazo e a forma seguem o regulamento da ANPD, que muda com mais frequência que a lei. Por isso a decisão precisa estar ensaiada antes: com inventário na mão, dá para dizer em horas quais dados foram atingidos, e sem ele a empresa passa dias descobrindo.
Ajuda bastante e não resolve. A ISO 27001 cobre a parte de segurança que a LGPD também exige, e essa evidência se aproveita quase inteira: controle de acesso, registro, gestão de terceiros, resposta a incidente. O que ela não cobre é o núcleo jurídico da lei, que é base legal, direito do titular, finalidade e retenção. São camadas diferentes, e empresas certificadas costumam se surpreender com o tamanho do que falta nessa segunda.
Traga o questionário ou a cláusula do contrato. Dizemos o que já existe na sua empresa que responde, o que falta de verdade e em que ordem faz sentido resolver, sem transformar isso num projeto de dois anos.
Presidência da República, texto consolidado · consultado em
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado em
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.