Frameworks – LGPD: o que a plataforma cobre
A LGPD é a lei brasileira de proteção de dados pessoais. Ela é diferente de todas as outras normas do catálogo em um ponto decisivo: não é opcional.
Você não escolhe seguir a LGPD porque um cliente pediu. Ela se aplica pelo simples fato de a empresa tratar dados pessoais de pessoas no Brasil, independentemente do porte, do setor ou de qualquer certificação.
Para quem serve
Para praticamente toda empresa brasileira, e para empresas de fora que tratam dados de pessoas no Brasil.
Se a sua empresa tem funcionários, clientes, candidatos ou uma lista de contatos, ela trata dados pessoais. A pergunta não é *se* a LGPD se aplica, é *o quanto* já foi feito.
O que ela cobra, em linhas gerais
Quatro obrigações concentram a maior parte do trabalho:
Saber o que você trata. Um registro de todas as atividades de tratamento de dados pessoais: quais dados, para quê, com que base legal, por quanto tempo, com quem são compartilhados.
Ter base legal para cada tratamento. A lei lista as situações em que tratar dados é permitido. Cada atividade precisa se apoiar em uma delas.
Atender os titulares. As pessoas têm direito de saber, corrigir, excluir e se opor. A empresa precisa de um canal e de prazo de resposta.
Avaliar os tratamentos de maior risco. Quando o tratamento pode afetar significativamente as pessoas, é preciso avaliar o impacto antes.
O trabalho acontece no módulo Privacidade
Diferente das outras normas, a maior parte do que a LGPD exige não se resolve na tela do framework, e sim no módulo Privacidade, que existe para isso.
Atividades de Tratamento, o registro central, mostra por atividade o departamento, a base legal, as categorias de dados, os sistemas envolvidos, os operadores e a data de revisão.
Ele também acompanha quatro números que resumem a sua situação: atividades ativas, quantas envolvem dados sensíveis, quantas usam legítimo interesse sem LIA, e quantas envolvem transferência internacional.
Dois atalhos que a plataforma oferece
Importar atividades iniciais. Se você está começando o registro do zero, a plataforma importa um conjunto de atividades típicas, e informa quantas foram criadas e quantas ignoradas. É bem mais rápido que começar em branco, e você ajusta o que não se aplica.
Exportar a ROPA em PDF. O registro completo vira um documento na sua biblioteca, com nome e versão. É esse arquivo que você entrega quando alguém pede o registro de tratamento, e ele fica versionado como qualquer outro documento.
O aviso sobre legítimo interesse
Existe um alerta que vale entender, porque é o mais específico da plataforma.
Quando uma atividade se apoia em legítimo interesse, a plataforma sinaliza se falta o documento de avaliação correspondente, a LIA. O aviso cita a base legal: a autoridade pode solicitar essa avaliação.
Faz sentido tratar isso como prioridade. Legítimo interesse é a base mais usada e a mais questionada, justamente porque é a que depende de um raciocínio da empresa em vez de um fato objetivo. Sem a avaliação registrada, o raciocínio não existe no papel.
Atividades com a LIA anexada aparecem marcadas, e é assim que você acompanha o que falta.
As bases legais
A plataforma oferece a lista completa prevista na lei, incluindo consentimento, contrato, obrigação legal, legítimo interesse, proteção da vida, tutela da saúde, exercício de direitos em processo, políticas públicas, pesquisa e proteção ao crédito.
Para dados sensíveis a lista é diferente e mais restrita, com o consentimento específico e um conjunto próprio de hipóteses. A plataforma separa as duas listas, o que evita o erro mais comum do registro: usar para dado sensível uma base que só vale para dado comum.
Cuidado com o consentimento. É a base que parece mais segura e é a mais frágil: pode ser retirado a qualquer momento, e aí o tratamento perde o fundamento. Quando outra base se aplica, normalmente ela é a escolha melhor.
Transferência internacional
Se dados pessoais saem do Brasil, a plataforma pede o mecanismo que permite isso, com as hipóteses previstas na lei: país com nível adequado, cláusulas contratuais padrão, consentimento específico, normas corporativas globais, selos e certificações, ou outra hipótese legal.
Vale conferir esse campo com atenção. Muita empresa usa ferramenta hospedada fora do país sem ter registrado o mecanismo, e isso é uma pergunta certa numa fiscalização.
Por onde começar
- Importe as atividades iniciais e ajuste ao que a empresa realmente faz.
- Complete o registro por departamento. Marketing, RH e financeiro sempre têm tratamentos que a tecnologia não conhece.
- Resolva as LIAs pendentes. É o alerta mais objetivo da tela.
- Confirme as transferências internacionais e o mecanismo de cada uma.
- Abra o canal de pedidos de titular e registre os atendimentos.
- Exporte a ROPA e guarde como documento versionado.
O que costuma dar problema
- Registro parcial. Cobre os sistemas óbvios e ignora planilhas, ferramentas de marketing e processos de RH.
- Base legal escolhida por hábito, sem análise. Consentimento onde contrato bastaria.
- Legítimo interesse sem LIA. A plataforma avisa; vale ouvir.
- Prazos de retenção declarados e não cumpridos. Dado que deveria ter sido descartado e continua ali.
- Fornecedores que tratam dados sem cláusula contratual correspondente.
⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica. Decisões sobre base legal, prazos de retenção e transferências devem ser tomadas com apoio do encarregado e da assessoria jurídica da empresa.
Este artigo foi útil?