A Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) completa cinco anos em um momento de amadurecimento da proteção de dados no Brasil. Nesse período, a Autoridade Nacional de Proteção de Dados (ANPD) estruturou sua fiscalização, publicou regulamentos, guias e normas complementares, aplicou sanções e ampliou sua agenda regulatória. Ao mesmo tempo, consumidores passaram a conhecer melhor seus direitos e empresas passaram a ser mais cobradas pelo tratamento de informações pessoais.
A evolução, porém, não ocorreu de maneira uniforme. Segundo Thaissa Garcia, sócia e head de Privacidade e Proteção de Dados, Contratos e ESG do Albuquerque Melo Advogados, ainda existe uma diferença entre organizações que incorporaram o tema à gestão e aquelas que continuam tratando a LGPD principalmente como uma obrigação legal.
“Percebe-se uma evolução importante nas empresas com maior maturidade regulatória, especialmente nos setores que mantêm relacionamento direto com consumidores. Essas organizações passaram a destinar mais recursos financeiros, tecnológicos e humanos à privacidade, impulsionadas pela atuação da ANPD e pelo aumento da conscientização de clientes e parceiros comerciais. Ainda assim, muitas empresas continuam sem incorporar a proteção de dados ao planejamento estratégico e à governança corporativa, o que amplia a exposição a riscos jurídicos, operacionais, regulatórios e reputacionais”, alerta.
Da documentação à gestão de riscos
Nos primeiros anos de adequação à LGPD, políticas internas, contratos, registros e avisos de privacidade ganharam espaço nas organizações. Para a especialista, porém, a existência desses documentos não garante, por si só, que a proteção de dados esteja integrada à operação.
“Programas de privacidade focados exclusivamente em políticas, contratos e registros ainda são frequentes. A proteção de dados só gera valor quando está integrada aos processos internos, gestão de riscos, segurança da informação e a tomada de decisões. Ao permanecer restrita ao papel, deixa de cumprir sua principal função: proteger a organização e fortalecer sua estratégia de negócio”.
A legislação também passou a aparecer em decisões judiciais relacionadas a consumo, trabalho, saúde, tecnologia e responsabilidade civil, enquanto clientes, fornecedores, investidores e parceiros passaram a considerar a maturidade dos programas de privacidade como um indicador de governança e gestão de riscos.
Fator humano continua no centro dos incidentes
O avanço tecnológico não eliminou os riscos relacionados ao tratamento de dados. Entre os pontos destacados pela especialista estão compartilhamentos indevidos, excesso de permissões de acesso, armazenamento inadequado de informações e ausência de procedimentos padronizados entre equipes.
“O investimento em segurança da informação, gestão de riscos e estrutura de governança permanece como um desafio importante, mas o fator humano ainda representa o aspecto muito sensível e relevante, que é muitas vezes neglicenciado. A pressão por resultados faz com que treinamentos contínuos e revisões de processos acabem sendo deixados em segundo plano. Pequenas falhas do cotidiano, como compartilhamentos indevidos, excesso de acessos, armazenamento inadequado de informações ou ausência de procedimentos claros, costumam estar na origem dos incidentes de segurança mais relevantes”, ressalta a advogada.
Privacidade também entra na avaliação da empresa
Com clientes, fornecedores e investidores mais atentos à forma como as informações pessoais são tratadas, a proteção de dados passa a se relacionar também à reputação das organizações.
“A forma como uma empresa trata os dados pessoais passou a integrar seus ativos intangíveis mais relevantes. A confiança de clientes, fornecedores e investidores depende cada vez mais da capacidade de demonstrar responsabilidade, transparência e maturidade na proteção das informações. Hoje, privacidade também é reputação e diferencial competitivo”.
LGPD exige integração entre áreas
Outro desafio está na atuação conjunta das áreas responsáveis pela proteção de dados. Jurídico, compliance, tecnologia, recursos humanos e áreas operacionais precisam trabalhar de forma coordenada para implementar as diretrizes estabelecidas pela organização.
“A LGPD é uma agenda transversal de governança. Não basta estabelecer políticas ou assumir compromissos em contratos se essas diretrizes não são efetivamente implementadas no ambiente interno. Quando jurídico, compliance, tecnologia, recursos humanos, áreas de negócios e operacionais não atuam de forma coordenada, aumenta a dificuldade de prevenir incidentes e de demonstrar diligência e adequação perante a ANPD, nas auditorias internas e de clientes e diante do Poder Judiciário”, afirma a especialista.
O desalinhamento também pode aparecer quando compromissos assumidos em contratos com clientes e parceiros não correspondem aos procedimentos adotados internamente.
“Muitas organizações assumem obrigações de privacidade perante clientes e parceiros comerciais que não encontram correspondência nos procedimentos internos. Esse desalinhamento amplia significativamente o risco de descumprimentos, responsabilização contratual e aplicação de penalidades. Empresas que conseguem demonstrar processos estruturados, capacitação contínua, controles efetivos e monitoramento permanente estão muito mais preparadas para mitigar riscos e sustentar sua defesa em eventuais investigações ou litígios”, finaliza.
A trajetória dos cinco anos da LGPD mostra, portanto, uma mudança no papel atribuído à proteção de dados dentro das organizações. O desafio passa a ser consolidar uma cultura de privacidade integrada à governança corporativa, em um ambiente de fiscalização mais madura, consumidores mais atentos e relações comerciais cada vez mais pautadas pela confiança digital.
