LGPD em 17 respostas diretas

É a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018). Ela define regras para coletar, usar, guardar e compartilhar dados pessoais, valendo para empresas, órgãos públicos e profissionais, no meio digital e no papel.

Sim, se a empresa trata dados pessoais no Brasil, o que inclui dados de clientes, fornecedores e colaboradores. As exceções são poucas, como o uso para fins exclusivamente particulares, jornalísticos ou de segurança pública (art. 4º).

Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa, como nome, CPF, e-mail ou placa do carro. Dado sensível tem proteção maior: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos (art. 5º, II).

Advertência, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão das atividades de tratamento, entre outras (art. 52).

Sim. A primeira multa da Autoridade Nacional de Proteção de Dados foi aplicada em julho de 2023, contra uma empresa de pequeno porte. Desde então a ANPD aplica advertências e multas a empresas e órgãos públicos.

Em regra, sim (art. 41). A dispensa vale para agentes de pequeno porte que não fazem tratamento de alto risco, e mesmo eles precisam manter um canal de comunicação com os titulares.

Não. A Resolução CD/ANPD 18/2024 permite encarregado interno ou externo, pessoa física ou jurídica, desde que atue sem conflito de interesse. É isso que o DPO as a Service da AGEPD entrega.

No site, em local de fácil acesso, com a identidade do encarregado e os meios de contato para titulares e para a ANPD. A indicação também precisa ser formalizada em documento escrito, datado e assinado (Resolução CD/ANPD 18/2024).

São microempresas, empresas de pequeno porte, startups e entidades sem fins lucrativos que podem ter obrigações simplificadas pela Resolução CD/ANPD 2/2022, desde que não façam tratamento de alto risco.

Pelo diagnóstico de maturidade, que mostra a situação atual e as prioridades. Em seguida vem o mapeamento dos processos que usam dados pessoais. O Diagnóstico AGEPD gratuito, aqui no site, dá a primeira leitura em 2 minutos.

O escritório cuida da base legal e dos contratos. A AGEPD cuida de processos, sistemas, segurança e pessoas, que é onde a adequação costuma parar. Os dois trabalhos se completam, e a AGEPD trabalha junto com o jurídico da empresa.

Registro das operações de tratamento, matriz de riscos, políticas e procedimentos, aviso de privacidade, plano de ação priorizado e equipe treinada, além dos relatórios de impacto quando necessários.

Os documentos sim, mas a conformidade precisa de manutenção: processos, sistemas e fornecedores mudam. Por isso a AGEPD oferece a sustentação com DPO as a Service e acompanhamento na plataforma GRC/AGEPD.

Conter o incidente e avaliar o risco. Se ele puder causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e os titulares em até 3 dias úteis. Todo incidente, comunicado ou não, deve ser registrado e o registro guardado por 5 anos (Resolução CD/ANPD 15/2024).

Não. A LGPD exige medidas de segurança técnicas e administrativas (art. 46), mas não uma certificação. A ISO/IEC 27001 é uma boa referência para escolher controles proporcionais ao risco.

Sim. A AGEPD atende todo o Brasil, de forma remota e presencial, e tem atestados de capacidade técnica de municípios e autarquias do RS.

É uma conversa de 30 minutos com o Marcelo, pelo WhatsApp, por vídeo ou presencialmente em Novo Hamburgo, para entender o cenário da empresa e indicar o melhor primeiro passo.