Adequação à LGPD passo a passo

19 de setembro de 2026LGPD de Todos18 min de leitura

Começa por descobrir o que você já faz com dado pessoal, e não pelo primeiro documento. A adequação tem seis fases, e a ordem entre elas não é de importância, é de dependência: cada uma só pode ser feita direito com a resposta da anterior na mão. Quem começa escrevendo a política de privacidade produz um texto bonito sobre uma empresa que não existe, e depois refaz tudo.

Vale avisar de uma confusão de palavra logo no começo, porque ela aparece em quase toda busca sobre o assunto. "Adequação" é o nome do processo inteiro, que é o que este texto descreve, e é também o nome de um princípio específico da lei, no Art. 6º, II. São coisas diferentes, e a primeira seção separa as duas em três parágrafos.

1. Duas coisas chamadas adequação

A mesma palavra nomeia o processo inteiro e um princípio específico da lei. Quem procura "adequação à LGPD" na internet cai nas duas respostas misturadas, e elas não respondem a mesma pergunta.

O sentido do dia a dia é o de projeto: adequar a empresa é pôr as rotinas dela em conformidade com a lei, do cadastro do cliente à câmera do corredor. É nesse sentido que se fala em consultoria de adequação, em prazo de adequação e em custo de adequação. Este texto trata desse sentido, do começo ao fim.

O outro sentido é técnico e está no Art. 6º, II. Ali, adequação é um dos dez princípios, ao lado de finalidade, necessidade e transparência.

Repare no tamanho da régua: ela se aplica a um uso específico de um dado específico, e não à empresa. O telefone pedido para avisar que o pedido chegou à loja pode ser usado para avisar que o pedido chegou à loja. Usar o mesmo telefone para mandar promoção é outro tratamento, com outra finalidade, e esse segundo uso precisa passar pela régua de novo. Os dez princípios estão explicados um a um em os princípios da LGPD, e daqui para frente a palavra aparece só no primeiro sentido.

2. As seis fases, e por que a ordem é de dependência

A ordem não é uma preferência de método: é o que a fase seguinte precisa ter em mãos para ser feita. Não dá para escolher base legal sem saber quais dados existem. Não dá para escrever um aviso honesto sem ter escolhido as bases. Não dá para treinar a equipe no que ainda não foi decidido.

Por isso a adequação anda melhor descrita como fase do que como tarefa. Tarefa é uma linha para marcar, e é isso que um checklist entrega. Fase é um estado da empresa: ou você sabe por onde entram os dados, ou você não sabe, e nenhuma quantidade de documento resolve isso.

Duas observações sobre essa tabela, e as duas valem mais do que as seis linhas juntas. A primeira é que só a fase 4 produz o documento que todo mundo associa à LGPD, que é a política publicada no site. As outras cinco produzem decisão, e decisão escrita é o que a lei cobra quando cobra prestação de contas. A segunda é que as fases não são etapas de um projeto com data de entrega: elas descrevem um estado que a empresa mantém, e a fase 6 existe justamente para isso.

3. Fase 1: descobrir, que é onde o prazo mora

Comece pelas portas de entrada, e não pelos sistemas. A pergunta que abre a adequação não é "quais softwares nós temos", é "por onde um dado de pessoa entra aqui". As duas perguntas parecem a mesma e dão listas diferentes, porque metade das entradas não passa por software nenhum.

Em uma empresa comum, as portas costumam ser estas: o cadastro do cliente, o formulário do site, o WhatsApp do comércio, a ficha preenchida à mão no balcão, o caderno da recepção, a folha de pagamento, os currículos que chegam por e-mail, a lista de disparo do marketing, a câmera do corredor e a planilha que alguém mantém no computador próprio. Nenhuma empresa tem todas, e quase nenhuma tem só duas.

Papel é a entrada mais esquecida, e ela conta igual. A lei diz que trata do tratamento de dados pessoais "inclusive nos meios digitais", e a palavra é inclusive, não apenas. O texto sobre de quem são os dados que a LGPD protege percorre essa e outras fronteiras que costumam ficar de fora do levantamento.

Para cada porta encontrada, cinco perguntas resolvem a fase inteira:

• Quais dados entram ali, campo a campo. Nome e telefone, ou também CPF, endereço e data de nascimento?
• Para que servem, na prática, e não na intenção. Se ninguém nunca usou o campo, a resposta é "para nada", e ela é uma resposta legítima que muda a fase 3.
• Quem tem acesso, incluindo quem saiu da empresa e continua com a senha.
• Onde ficam guardados, e por quanto tempo.
• Quem é a pessoa da casa que conhece aquela rotina, porque é com ela que a conversa acontece.

Essa lista tem nome na lei. O Art. 37 obriga controlador e operador a manter registro das operações de tratamento, e é exatamente o documento que nasce daqui. O mercado costuma chamá-lo de RoPA e o questionário do seu cliente costuma chamá-lo de registro de atividades de tratamento. São três nomes para a mesma coisa, e a ANPD publicou um modelo simplificado para agente de pequeno porte, percorrido em como fazer o RoPA no modelo da ANPD.

É aqui que o prazo da adequação é decidido, e quase nunca é a escrita que demora. Descobrir depende da agenda de outras pessoas: o responsável pelo financeiro tem meia hora na terça, quem cuida do marketing responde na quinta. Uma empresa de vinte pessoas costuma resolver isso em algumas conversas curtas espalhadas por duas ou três semanas, e quem tenta fazer tudo em uma tarde volta com a lista incompleta.

Dois casos merecem atenção especial já nesta fase, porque mudam o que vem depois. A câmera, que quase toda empresa tem e quase nenhuma inclui na lista, tem regras próprias explicadas em câmera de segurança e LGPD. E os dados da própria equipe, que existem mesmo em empresa que não tem cliente pessoa física, estão em LGPD e os dados dos funcionários.

4. Fases 2 e 3: decidir e cortar

Cada operação da lista precisa de uma base legal, e o que sobrar sem base não vira pendência: vira corte. Essas duas fases andam juntas porque a segunda é o resultado natural da primeira. Quando você tenta justificar um tratamento e não encontra justificativa, a resposta certa é parar de tratar.

A lei traz dez bases legais para dados comuns, no Art. 7º, e uma lista menor e mais fechada para dados sensíveis, no Art. 11. A escolha não é livre: ela depende da finalidade que você escreveu na fase 1. As dez estão comparadas em as bases legais da LGPD, e duas armadilhas aparecem em quase todo projeto. A primeira é achar que consentimento é a base padrão, quando ele é a exceção, e o texto sobre quando é preciso pedir consentimento mostra por que pedir consentimento onde ele não cabe piora a situação da empresa. A segunda é usar legítimo interesse como base curinga, sem o teste que ela exige, percorrido em quando dá para usar legítimo interesse.

O que fica escrito nesta fase é curto: uma linha por operação, com a base escolhida e o motivo. O motivo é a parte que importa, porque é ele que alguém vai ler daqui a dois anos, quando ninguém lembrar da conversa. Base legal decidida de cabeça e não escrita não existe para efeito de prestação de contas.

E então vem a fase que não aparece em proposta comercial nenhuma, porque ela não produz entregável.

Três cortes cabem em quase toda empresa, e os três costumam ser feitos na mesma semana:

• Campo que ninguém usa. Se o formulário pede CPF e data de nascimento porque o modelo do site já vinha assim, tire os campos. O princípio da necessidade, no Art. 6º, III, limita o tratamento ao mínimo necessário para a finalidade, e campo sem finalidade não tem como passar nessa régua.
• Acesso que sobrou. A senha de quem saiu da empresa, a planilha compartilhada com a equipe inteira, o login que todo mundo usa. Fechar acesso é medida de segurança pelo Art. 46 e não custa dinheiro, e o texto sobre segurança sem ter TI lista o que dá para fazer sem contratar ninguém.
• Dado fora do prazo. Currículo de processo seletivo encerrado há três anos, cadastro de cliente que nunca mais comprou, gravação de câmera de meses atrás. O Art. 16 trata do término do tratamento, e o texto sobre por quanto tempo guardar os dados separa o que tem prazo legal do que ficou por costume.

Quando o dado não pode simplesmente sumir, porque alimenta relatório ou estatística, existe a saída de tirar dele o que identifica a pessoa. Ela tem regra e tem teste, e quase tudo o que o mercado chama de anonimizar não passa no teste, como mostra anonimizar tira o dado da LGPD?.

5. Fases 4 e 5: contar e combinar

Agora, e só agora, começam os documentos. As fases anteriores produziram as respostas. Esta fase escreve as respostas em um lugar onde a pessoa dona do dado consegue ler, e combina o assunto com quem mais encosta nesses dados.

O aviso de privacidade, que a maior parte das empresas chama de política de privacidade, é a tradução pública da lista da fase 1. O Art. 9º diz o que a pessoa precisa saber, e a lista é mais curta do que os modelos de dez páginas sugerem: finalidade, forma e duração do tratamento, identificação do controlador, contato, com quem os dados são compartilhados e quais são os direitos dela. O que entra em cada item está em o que precisa ter na política de privacidade, e a régua para conferir um texto baixado pronto está em modelo de política de privacidade.

Junto com o aviso vem o canal do titular, e ele é a parte que costuma ser tratada como detalhe. O Art. 18 dá à pessoa um conjunto de direitos, e o canal é como ela exerce: um endereço que alguém lê de verdade, com responsável definido e prazo combinado internamente. Os direitos estão em os direitos do titular, e os dois pedidos mais frequentes têm textos próprios, sobre o que entregar em um pedido de acesso e sobre quando a exclusão é obrigatória.

A fase 5 fecha o círculo por fora e por dentro. Por fora estão os fornecedores que tocam nos seus dados, que vão do sistema de gestão ao contador, e a responsabilidade não sai da sua empresa por estar terceirizada, como explica a responsabilidade do fornecedor que acessa dados. Quando esse fornecedor guarda dados fora do Brasil, o que é comum em serviço de nuvem, entra a regra de transferência internacional. Por dentro está a equipe, porque o documento só vira prática quando quem atende o balcão sabe o que fazer, e o caminho curto está em treinamento de LGPD para a equipe.

Uma pergunta aparece sempre nesta altura: quem assina isso tudo. A LGPD pede a indicação de um encarregado no Art. 41, e a Resolução CD/ANPD nº 2/2022 dispensa o agente de pequeno porte dessa indicação como obrigação, sem tirar dele a necessidade de ter um canal de atendimento funcionando. Os dois lados dessa conta estão em preciso ter encarregado ou DPO.

6. Fase 6: o que continua depois

A lei cobra o estado de hoje, e não o projeto que foi feito em 2026. Por isso a última fase não tem entrega: ela tem rotina. Três coisas precisam continuar funcionando depois que os documentos existem.

A primeira é o atendimento ao titular, que é o único compromisso com prazo visível para fora. Quando alguém pede acesso, correção ou exclusão, a empresa responde, e a qualidade dessa resposta é o que a pessoa guarda a respeito de quem cuidou dos dados dela.

A segunda é o incidente. O Art. 48 obriga a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, e o procedimento precisa estar decidido antes, porque no dia do vazamento ninguém decide bem. O que comunicar e quando está em quando comunicar um incidente, e o passo a passo da resposta está em plano de resposta a incidentes. Se um dia a autoridade entrar em contato por outro motivo, o caminho está em a ANPD entrou em contato.

A terceira é a revisão quando a empresa muda. Sistema novo, campanha nova, contratação de um fornecedor que passa a acessar a base, abertura de uma unidade: cada mudança dessas cria uma operação que não estava na lista da fase 1. Duas mudanças pedem mais do que uma linha nova no registro, e vale saber reconhecê-las: tratamento de alto risco pode exigir o relatório de impacto, tratado em quando o RIPD é obrigatório, e decisão tomada por sistema sobre a vida de alguém abre o direito de revisão, tratado em revisão humana de decisão automatizada. Uma campanha de mensagens tem regra própria, em promoção por WhatsApp e e-mail.

Esse inciso é o que transforma a fase 6 em obrigação, e não em conselho de boa gestão. Ele pede demonstração, e demonstração se faz com registro datado do que foi decidido e do que foi feito. Uma pasta com a data de cada decisão vale mais do que um documento extenso sem histórico, e a régua completa está em como comprovar a adequação. Quando quem cobra a prova é um cliente grande, o formato costuma ser o questionário de fornecedor, respondido em como responder ao questionário do cliente.

7. Se você tem um dia, uma semana ou um mês

Ninguém começa com o calendário limpo. As seis fases continuam as mesmas, e o que muda é até onde dá para ir. Esta seção é a tradução do texto inteiro para o tempo que você tem de verdade.

Com um dia. Faça a fase 3 pela metade e a fase 1 pela metade. Tire do formulário do site os campos que ninguém usa, corte o acesso de quem saiu da empresa e escreva, em uma folha só, a lista das portas por onde o dado entra. Não tente escrever documento nenhum. No fim do dia a empresa coleta menos dado, tem menos gente com acesso e sabe onde procurar, e isso é mais do que a maior parte das empresas que já publicaram política de privacidade consegue dizer.

Com uma semana. Feche a fase 1 com as conversas curtas, atribua base legal às operações mais óbvias e escreva o motivo de cada uma. Deixe os casos duvidosos marcados como duvidosos, que é uma resposta honesta e revisável. Publique o aviso de privacidade só se ele já puder descrever o que você acabou de listar, e abra o canal do titular, que é um endereço de e-mail com dono.

Com um mês. Dá para percorrer as seis fases, incluindo a conversa com os fornecedores e o treinamento da equipe, que é a parte que mais costuma ficar para depois e que é justamente a que faz o documento virar prática. No fim do mês a empresa tem o registro das operações, as bases escritas, o aviso publicado, o canal funcionando, as cláusulas combinadas e um procedimento de incidente decidido em paz.

Em qualquer um dos três cenários, o ganho maior está no começo e não no fim. A primeira semana derruba a maior parte do risco da maioria das empresas, porque esse risco é feito de coleta desnecessária e acesso aberto, e é por isso que o pior plano possível é esperar a agenda abrir para fazer tudo de uma vez. O custo desse adiamento está em quanto custa a adequação à LGPD, que compara o preço de fazer com o de não fazer, e a versão enxuta para quem é agente de pequeno porte está em LGPD para pequena empresa.

8. Perguntas frequentes

Por onde começar a adequação à LGPD?

Pela lista do que a sua empresa já faz com dado pessoal, e não pelo primeiro documento. Antes de escrever qualquer coisa é preciso saber quais dados entram, por onde entram, para que servem, quem tem acesso e há quanto tempo estão guardados. Essa lista é o que a lei chama de registro das operações de tratamento, no Art. 37, e ela é a fase que alimenta todas as outras: sem ela não dá para escolher base legal, e sem base legal escolhida o aviso de privacidade vira texto genérico que descreve uma empresa que não é a sua. Comece pelos lugares por onde o dado chega, que costumam ser o cadastro de cliente, o site, o WhatsApp, a ficha de papel do balcão, a folha de pagamento, os currículos recebidos e a câmera.

O que é o princípio da adequação na LGPD?

São duas coisas diferentes com o mesmo nome. O princípio da adequação é o Art. 6º, II, e exige compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento. É uma régua aplicada a um uso específico do dado: se o telefone foi pedido para avisar que o pedido chegou, usar esse mesmo telefone para disparar promoção não é adequado. Já a adequação à LGPD, no sentido em que o mercado usa a palavra e que este texto trata, é o processo de pôr a empresa inteira em conformidade com a lei, e o princípio do Art. 6º, II é uma das réguas que esse processo precisa respeitar.

Quanto tempo leva para se adequar à LGPD?

A lei não fixa prazo, porque ela está em vigor desde 2020 e o que ela cobra é o estado atual da empresa, não um cronograma. O tempo real depende de duas coisas, e nenhuma delas é o tamanho do faturamento: quantos lugares diferentes guardam dado pessoal e quantas pessoas precisam ser ouvidas para descrever cada um. Para uma empresa de até vinte pessoas, com um sistema de gestão e um site, o trabalho costuma caber em algumas dezenas de horas distribuídas por algumas semanas, quase sempre em blocos de uma hora com a pessoa que conhece aquela rotina. O que estica o prazo não é a escrita dos documentos: é a fase de descobrir, que depende da agenda de outras pessoas.

Existe certificação ou selo de adequação à LGPD?

Não existe certificado emitido pela ANPD, nem selo oficial de empresa adequada. O Art. 50, § 3º prevê que regras de boas práticas possam ser reconhecidas e divulgadas pela autoridade nacional, o que é diferente de certificar uma empresa. Selos privados existem e podem ter valor comercial, mas não substituem o que a lei pede, que está no Art. 6º, X: demonstração da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas. Quem cobra prova de verdade, como o cliente grande no questionário de fornecedor, pede documento e evidência, não imagem no rodapé do site.

Preciso de advogado ou de consultoria para me adequar à LGPD?

A lei não exige fornecedor externo, nem assinatura de terceiro, nem parecer. O que ela exige é que as decisões existam, sejam defensáveis e estejam escritas. Uma empresa de pequeno porte, com operações comuns, como cadastro de cliente, folha, currículos e câmera, consegue conduzir as seis fases por dentro. Três situações mudam essa resposta e pedem apoio especializado desde o começo: tratamento de dado sensível em escala, como saúde e biometria; decisão automatizada que afeta interesses da pessoa, como concessão de crédito; e transferência internacional para fora das hipóteses simples. Em qualquer caso, o trabalho de descobrir o que a empresa faz continua sendo de quem trabalha nela.

Um checklist de LGPD resolve a adequação?

Checklist serve como lembrete e não serve como diagnóstico. Ele não conhece as suas operações, então ele pergunta se você tem política de privacidade, e não se a política que você publicou descreve o que a sua empresa faz de verdade. As duas empresas que marcam as mesmas caixas podem estar em situações opostas. Some-se a isso que caixa marcada não é prova: o Art. 6º, X pede demonstração de medidas eficazes, e o que demonstra é o documento que descreve a sua operação com data, não a lista preenchida. Use checklist para não esquecer um item, e use o registro das operações para saber onde você está.

O passo a passo muda para pequena empresa?

As seis fases são as mesmas, e a ordem também. O que muda é o tamanho de cada uma e algumas formalidades: a Resolução CD/ANPD nº 2/2022 permite que o agente de pequeno porte mantenha registro simplificado das operações, dispensa a indicação de encarregado como obrigação e dobra alguns prazos de resposta, sem dispensar nenhum direito do titular nem a obrigação de segurança. Na prática, a diferença aparece mais no volume do que no método: menos sistemas, menos pessoas para ouvir e documentos mais curtos, com as mesmas perguntas respondidas.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 6º, II, III e X, 7º, 9º, 11, 16, 18, 37, 41, 46, 48 e 50, § 3º · Resolução CD/ANPD nº 2, de 27 de janeiro de 2022

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.