Treinamento de LGPD para funcionários é obrigatório? Depende de uma escolha sua

2 de setembro de 2026LGPD de Todos10 min de leitura

A LGPD não tem um artigo que mande treinar a equipe. Mas ela tem um que transforma isso em dever de alguém, e o gatilho é você ter indicado um Encarregado. O Art. 41, § 2º, III diz que cabe ao Encarregado orientar os funcionários e os contratados a respeito das práticas de proteção de dados. Não é sugestão, é atribuição escrita.

O mercado vende treinamento como recomendação simpática, daquelas que ficam no fim da lista e nunca acontecem. A leitura dos dispositivos conta outra história: a lei cita ações educativas pelo nome, transforma orientação em dever quando existe Encarregado indicado, e trata o que você consegue demonstrar como critério de dosagem de sanção. Este texto separa as três coisas, e termina no ponto que quase todo mundo erra, que não é fazer o treinamento, é conseguir provar que ele aconteceu.

1. O dispositivo que muda o dono da obrigação

Não existe artigo dizendo "treine a sua equipe". Existe um dizendo que orientar as pessoas é atribuição do Encarregado. A diferença importa porque muda quem responde quando a pergunta chegar.

Duas palavras dessa frase costumam passar batidas. A primeira é contratados: a atribuição não para na folha de pagamento, ela alcança quem presta serviço e mexe nos seus dados. A segunda é práticas, no plural e no concreto. Não é aula sobre a lei, é orientação sobre o que fazer e o que não fazer na rotina.

E aqui está a virada que dá título a este texto. O regime de agente de tratamento de pequeno porte dispensa a indicação do Encarregado, então muita empresa que poderia indicar não indica. Só que quem indica, por escolha ou por não caber na dispensa, ganha junto essa atribuição. Ou seja: o dever de orientar não nasce do tamanho da empresa nem do tipo de dado, nasce de uma decisão que você mesmo tomou.

Sem Encarregado indicado, ninguém fica com o dever escrito no nome. A orientação continua sendo o que a próxima seção mostra: parte do que a lei chama de boas práticas, e parte do que conta a seu favor quando alguém for medir a sua conduta.

2. A lei escreve "ações educativas" com todas as letras

A expressão aparece no caput do Art. 50, na lista do que as regras de boas práticas e de governança estabelecem. Não é interpretação de consultor, está no texto.

O caput desse artigo enumera o que essas regras podem organizar, e no meio da lista, entre as normas de segurança e os mecanismos internos de supervisão, estão as ações educativas. É o único ponto da lei em que educação de equipe aparece nomeada.

Isso liga o assunto a dois lugares que já pesam no seu bolso. O primeiro é o Art. 6º, X, o princípio da responsabilização e prestação de contas, que exige demonstrar a adoção de medidas eficazes. O segundo é o Art. 52, § 1º, que lista os critérios de dosagem de sanção: o inciso VIII valoriza a adoção reiterada e demonstrada de mecanismos e procedimentos internos, e o inciso IX valoriza a política de boas práticas e governança.

3. Fazer não é o problema. Provar é.

A maior parte das empresas que treina a equipe não consegue provar que treinou. O que existe é uma declaração de quem organizou, e declaração de quem organizou não é evidência de que alguém participou.

A diferença é simples de enxergar com um exemplo. "Nós orientamos a equipe sobre proteção de dados" é uma frase que qualquer um escreve depois do fato. "Em 12 de março, estas seis pessoas receberam este conteúdo, e cada uma confirmou que leu" é outra coisa: tem data, tem nome, tem conteúdo e tem confirmação de quem recebeu.

Quatro elementos transformam o primeiro no segundo:

Quem participou. Nome a nome, e não "a equipe". Se alguém entrou depois, aparece que entrou depois.

Quando. Data, não mês. É o que permite dizer se a pessoa que causou o incidente já tinha sido orientada naquele dia.

O quê. O conteúdo que foi passado, guardado como foi passado. Se o material mudou no ano seguinte, guarde as duas versões.

A confirmação de quem recebeu. É o elemento que quase sempre falta, e o que separa declaração de evidência. Pode ser uma resposta, uma assinatura ou um clique registrado. O que importa é a marca ser da pessoa, e não de quem organizou.

Esse conjunto é o mesmo tipo de material que comprova adequação em qualquer frente: coisa datada, com autor, que existia antes de alguém perguntar.

4. Quem entra na lista, e ela é maior que a folha de pagamento

O dispositivo fala em funcionários e contratados, então a lista inclui quem não é registrado. Estagiário, prestador de serviço, quem faz a contabilidade, quem cuida do sistema, quem atende o seu WhatsApp em fim de semana.

O critério útil não é o vínculo, é o acesso. Quem consegue ver, copiar ou apagar dado de cliente precisa saber o que pode e o que não pode. Um contador que recebe a planilha de funcionários por e-mail está mexendo nos seus dados, e o papel de cada um nessa relação tem regra própria.

E existem dois momentos que quase ninguém cobre, e os dois são de risco alto.

A entrada. Pessoa nova recebe acesso no primeiro dia e orientação no treinamento anual, que pode estar a onze meses de distância. Nesse intervalo ela já atendeu cliente, já mandou planilha por e-mail e já salvou contato no celular pessoal.

A saída. Ninguém pensa em saída como treinamento, e é onde mora o problema mais concreto. A pessoa vai embora com dado de cliente no celular, no e-mail pessoal e no grupo de WhatsApp. O Art. 46 fala em proteger os dados contra acesso não autorizado, e acesso de ex-funcionário é exatamente isso. Vale combinar antes, por escrito, o que acontece na saída.

5. Como fazer sem departamento de treinamento

Uma vez por ano, meia hora, mais uma conversa curta a cada entrada. Esse é o formato que cabe em quem não tem estrutura, e ele é suficiente porque o que a lei pede é orientação, e não certificação.

O conteúdo mínimo, e ele é curto. Quais dados a empresa trata e por quê. O que não se faz: mandar planilha de cliente para o WhatsApp pessoal, compartilhar login, deixar ficha em cima do balcão. O que fazer quando alguém pedir os dados dele. E o que fazer quando algo der errado, que é avisar quem decide, na hora. Esse último item vale mais que todos os outros juntos, porque o relógio da comunicação de incidente começa a correr do conhecimento, e conhecimento tardio não devolve o prazo perdido.

O que a ANPD sugere dizer está no guia de segurança dela para agentes de pequeno porte, e a lista é concreta a ponto de falar em não deixar documento com dado pessoal sobre a mesa. O guia inteiro está resumido em segurança sem TI, que serve como roteiro pronto do que passar.

O registro, que é a parte que dá trabalho e é a que vale. Data, lista de nomes, o material usado e a confirmação de cada um. Uma página. Guardada junto com o resto das evidências, e não em uma pasta que só você acha.

Quando repetir. Uma vez por ano dá o ritmo, mas o gatilho melhor é o fato: entrou gente, mudou processo, trocou sistema, aconteceu um incidente. Treinamento por calendário sem fato no meio vira carimbo, e a mesma crítica que vale para o registro de operações vale aqui.

6. Perguntas frequentes

Treinamento de LGPD é obrigatório por lei?

Não existe artigo da LGPD que ordene treinar a equipe. O que existe é o Art. 41, § 2º, III, que atribui ao Encarregado orientar os funcionários e os contratados a respeito das práticas de proteção de dados. Se a sua empresa indicou Encarregado, isso é atribuição dele e deixou de ser boa prática. Se não indicou, a orientação continua sendo parte do que o Art. 50 chama de ações educativas, e conta como critério de dosagem de sanção pelo Art. 52, § 1º.

Com que frequência preciso treinar a equipe?

A lei não fixa periodicidade, e por isso a resposta honesta é que o intervalo é uma decisão sua, que precisa fazer sentido. Uma vez por ano é o ritmo mais comum e defensável. O que importa mais do que o calendário são os gatilhos de fato: entrada de pessoa nova, mudança de processo, troca de sistema e incidente. Registrar a data de cada rodada e o motivo dela é o que transforma a periodicidade em evidência, em vez de intenção.

Preciso orientar estagiário e prestador de serviço?

Sim, e o texto do dispositivo é explícito: ele fala em funcionários e contratados da entidade. O critério prático não é o tipo de vínculo, é o acesso. Quem consegue ver, copiar ou apagar dado de cliente precisa saber o que pode e o que não pode. Isso inclui contabilidade, suporte de tecnologia e quem atende o cliente fora do horário.

Uma lista de presença assinada serve como prova?

Serve, e é bem melhor do que a alternativa mais comum, que é nada. Uma lista com data, nomes e assinaturas tem os quatro elementos que importam se você guardar junto o material apresentado. O que não serve é a declaração isolada de quem organizou dizendo que a equipe foi treinada: ela não mostra quem participou nem o que foi passado, e é justamente essa distância que aparece quando alguém pede a evidência.

Quem dá o treinamento se a minha empresa não tem Encarregado?

Quem decide sobre os dados, que é o controlador. A dispensa de indicar Encarregado, prevista para agentes de tratamento de pequeno porte, tira a obrigação de nomear alguém, e não a conveniência de orientar quem trabalha com você. Na prática, em empresa sem departamento jurídico, quem conduz costuma ser o dono ou a pessoa que já cuida dos processos internos. O conteúdo é o mesmo, e o registro também.

Onde encontrar treinamento gratuito de LGPD para a equipe?

Existe material bom sem custo. A ANPD publica guias orientativos gratuitos, e o guia para agentes de pequeno porte é o mais útil para a sua empresa. A Escola Virtual de Governo, da Enap, tem o curso Fundamentos da Lei Geral de Proteção de Dados, online, gratuito e com certificado, aberto a qualquer pessoa. O Sebrae também tem conteúdo sobre o assunto. O que nenhum deles resolve sozinho é a parte que a lei cobra: o treinamento precisa falar dos dados que a sua empresa trata e ficar registrado, com data, nomes e conteúdo. Uma conversa de meia hora sobre a rotina da própria empresa, com lista de presença, vale mais como prova do que um certificado genérico.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 6º, X, 41, § 2º, III, 46, 50 e 52, § 1º · Resolução CD/ANPD nº 2/2022, Arts. 11, 12 e 13 · ANPD, Guia de segurança da informação para agentes de tratamento de pequeno porte · Escola Virtual de Governo (Enap), curso Fundamentos da Lei Geral de Proteção de Dados

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.