LGPD em empresas de médio porte: guia de implementação prático

Para implementar a LGPD em uma empresa de médio porte, o ponto de partida é mapear todos os dados pessoais tratados: de clientes, funcionários, fornecedores e parceiros. Sem esse inventário, qualquer política de privacidade vira papel sem resultado. A Simples Solução TI apoia empresas no Rio de Janeiro e em São Paulo na estrutura de segurança e adequação de TI desde 2008, com atendimento nacional remoto.

• LGPD não é só jurídico: comece pelo ROPA, o registro das operações de tratamento.
• Revise contratos com funcionários, clientes e fornecedores antes de investir em ferramentas.
• Firewall, backup, MFA e controle de acesso são os controles técnicos que sustentam a conformidade.
• DPO pode ser interno ou terceirizado; a lei não define formato, apenas exige a função.

Por onde começar a implementação da LGPD em uma empresa de médio porte?

Uma empresa de médio porte precisa começar pelo ROPA, sigla em inglês para Registro das Operações de Tratamento. O ROPA é o inventário de todas as bases de dados com informações pessoais: nome, CPF, telefone, prontuário, folha de pagamento. Ele responde o que a empresa trata, por que trata, com quem compartilha e por quanto tempo guarda.

1. Liste os processos de negócio que manipulam dados pessoais: vendas, RH, financeiro, marketing, suporte.
2. Identifique a base legal de cada tratamento: consentimento, execução de contrato, obrigação legal ou legítimo interesse.
3. Registre os sistemas e os fornecedores que armazenam ou processam esses dados.
4. Classifique o risco de cada operação para a privacidade dos titulares.
5. Defina os prazos de retenção e o descarte seguro de cada tipo de dado.

O levantamento pode começar em planilhas, mas precisa de revisão periódica. A consequência de pular essa etapa é clara: a empresa não saberá responder pedidos de titulares nem identificar um vazamento.

O que a LGPD exige de uma empresa de médio porte na prática?

A lei exige que a empresa trate dados com base legal, atenda direitos dos titulares, adote medidas de segurança, comunique incidentes e revise contratos com operadores. O porte influencia a dosimetria de sanções, mas não reduz o conjunto de obrigações. Não existe obrigatoriedade de certificação ISO, embora um sistema de gestão de segurança da informação ajude a demonstrar cuidado.

A multa simples pode alcançar 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, conforme o Art. 52 daLei nº 13.709/2018. A autoridade competente para aplicar sanções é aANPD, que também publica guias orientativos para facilitar a adequação.

Quais controles de segurança protegem os dados pessoais de verdade?

Na prática, a LGPD exige que a empresa proteja os dados por meio de controles técnicos e administrativos. Sem firewall, autenticação forte e backup testado, o risco de incidente continua alto. O objetivo é reduzir a exploração de vulnerabilidades e permitir a detecção rápida de qualquer acesso indevido.

• Firewall corporativo: segmentar a rede e bloquear tráfego não autorizado com soluções como pfSense, Mikrotik ou SonicWall.
• EDR ou antivírus gerenciado: detectar comportamento anômalo em servidores e estações corporativas.
• Backup 3-2-1: manter duas cópias em mídias diferentes e uma fora do ambiente, com testes periódicos de restauração.
• Autenticação multifator (MFA): ativar em e-mail, VPN e sistemas críticos para evitar acessos com senha roubada.
• Gestão de acessos: conceder permissão mínima conforme a função e revisar contas de ex-funcionários.

Essas medidas não transferem responsabilidade jurídica nem eliminam a obrigação de notificar incidentes. Elas reduzem o risco concreto e criam evidências que um DPO ou auditor usa para demonstrar mitigação. Para empresas no Rio de Janeiro e em São Paulo, a Simples Solução TI oferece serviços deSegurança de Dados eBackup e Recuperação, com atendimento presencial e remoto para todo o Brasil.

Como ajustar os contratos com terceiros para não herdar risco?

Uma empresa de médio porte trata dados por meio de diversos terceiros: sistema de folha, contabilidade, CRM, provedor de nuvem, e-mail corporativo. Cada um deles é um operador ou suboperador, e a LGPD exige que existam contratos específicos.

• Confidencialidade e uso restrito à finalidade contratada.
• Indicação das instruções de tratamento e das bases legais aplicáveis.
• Autorização prévia para subcontratação, com lista de suboperadores autorizados.
• Dever de notificação de incidentes em prazo razoável.
• Obrigação de devolução ou destruição dos dados ao término do contrato.

Regra prática: sempre que um terceiro acessar dados pessoais fora da sua sede, existe um contrato que precisa ser revisado. Exceção: se o fornecedor está em outro país, entram em cena cláusulas específicas para transferência internacional de dados.

DPO interno ou terceirizado: o que escolher?

A LGPD obriga a indicar um encarregado, conhecido como DPO, que pode ser funcionário ou externo. O critério central não é o vínculo, mas a capacidade de atuar com independência e acesso à alta direção.

Regra: use DPO interno se a empresa tem baixo volume de dados e uma área jurídica ativa. Exceção: prefira DPO terceirizado quando houver dados sensíveis em escala, operações complexas ou ausência de especialização. O suporte técnico da parte de segurança, como firewall e backup, pode ser executado por parceiros de TI, inclusive com atuação remota no Brasil.

Quais erros mais comuns atrasam a adequação de empresas de médio porte?

Atrasos na implementação costumam vir de governança mal planejada, não da falta de ferramentas. Conheça os erros que travam projetos em empresas de médio porte:

• Começar pela planilha de titulares: sem ROPA estruturado, o projeto não tem escopo claro.
• Focar só no site e ignorar papel, WhatsApp e e-mail: dados pessoais fora dos sistemas também entram na lei.
• Acreditar que certificação ISO resolve: a ISO 27001 apoia, mas não substitui o inventário de dados.
• Nomear DPO de fachada: a ANPD cobra atuação real, não apenas a indicação nominal.
• Tratar segurança como projeto pontual: sem manutenção e testes contínuos, a exposição permanece.

A consequência é dupla: a empresa não consegue responder aos titulares e ainda paga por controles desconectados do risco. Para sair desse ciclo, execute a adequação em ondas: diagnóstico, políticas, contratos e controles técnicos.

Perguntas frequentes

Quanto tempo leva para implementar a LGPD em uma empresa de médio porte?

O prazo varia com o volume de dados e o nível de maturidade da empresa. Um diagnóstico inicial costuma levar de 2 a 4 semanas, enquanto políticas, contratos e controles técnicos podem levar de 2 a 6 meses. O valor final depende do escopo e sai por orçamento após diagnóstico.

É obrigatório ter um DPO terceirizado?

Não. A LGPD exige a indicação de um encarregado, que pode ser funcionário ou externo, pessoa física ou jurídica. O que importa é que tenha autonomia e acesso direto à alta direção.

O que acontece se a empresa não implementar a LGPD?

A ANPD pode aplicar multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de outras sanções do Art. 52. As penalidades são aplicadas após processo administrativo.

Empresa de médio porte precisa de auditoria externa para comprovar conformidade?

A LGPD não exige certificação nem auditoria externa obrigatória. Uma consultoria independente ajuda a identificar lacunas, mas a responsabilidade pela conformidade continua com o controlador dos dados.

Quais dados pessoais devem ser mapeados no ROPA?

Todos os dados tratados pela empresa: de clientes, funcionários, fornecedores e terceiros, inclusive em papel, e-mail e mensageiros. O ROPA deve registrar a finalidade, a base legal e o compartilhamento de cada tratamento.

A LGPD vale para empresas de médio porte ou só para as grandes?

A LGPD vale para qualquer pessoa natural ou jurídica que trate dados pessoais, independentemente do porte. A ANPD considera o porte na dosimetria das sanções, mas não isenta empresas menores das obrigações.

Contratar uma empresa de TI ajuda na adequação à LGPD?

Sim, para o eixo técnico: infraestrutura, segurança, backup, controle de acesso e resposta a incidentes. A Simples Solução TI apoia empresas no Rio de Janeiro e em São Paulo com esses serviços desde 2008, com atendimento nacional remoto.