Blog · Dados
LGPD em sistema interno: 7 controles que protegem a empresa
Resposta direta
Para a LGPD, o sistema interno da empresa é onde a lei é cumprida ou descumprida. Na prática, são 7 controles: acesso por perfil, log de quem viu e alterou, finalidade de cada campo, resposta ao titular em até 15 dias, prazo de retenção, backup testado e registro de incidente guardado por 5 anos. A multa chega a 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52).
O cliente pede para ver quais dados a empresa tem dele. Alguém abre a planilha de vendas, o CRM, a pasta de contratos e o WhatsApp comercial. Ninguém sabe dizer quem mais acessou aquele cadastro, nem desde quando ele está lá.
Esse é o retrato mais comum da LGPD em empresa pequena e média. Não é má-fé: é dado pessoal espalhado em ferramentas que não foram feitas para controlar acesso. Neste artigo eu separo o que a lei cobra de um sistema interno, o que muda para empresa de pequeno porte e onde o risco real está.
Um aviso antes: este texto é técnico, não é parecer jurídico. A política de privacidade e o enquadramento legal da sua empresa são trabalho de advogado. O que eu cubro aqui é a parte que vira código.
O retrato de 2026: quase todas guardam, poucas se organizaram
A pesquisa Privacidade e Proteção de Dados Pessoais 2025, divulgada pelo Cetic.br em 31 de agosto de 2026, mostra a distância entre guardar dado e cuidar dele:
- 69% das empresas declararam armazenar dados pessoais de clientes ou usuários.
- 31% guardam biometria e 26% guardam dados de saúde, os dois tipos considerados sensíveis pela lei.
- 28% desenvolveram política de privacidade.
- Só 16% nomearam formalmente um encarregado de proteção de dados.
Três semanas antes, em 25 de agosto de 2026, a ANPD multou a ByteDance, dona do TikTok, em R$ 153,7 milhões por tratar dados de crianças e adolescentes sem base legal. É um caso de gigante, mas mostra que a fiscalização saiu da fase de orientação.
LGPD para empresa de pequeno porte: o que é simplificado
Agente de tratamento de pequeno porte é a microempresa, a empresa de pequeno porte ou a startup que trata dados pessoais. A Resolução CD/ANPD nº 2/2022 alivia quatro obrigações para ela:
- Encarregado dispensado (art. 11). Basta manter um canal de comunicação com o titular.
- Registro simplificado das operações de tratamento (art. 9º), com modelo da ANPD.
- Prazo em dobro para responder ao titular e comunicar incidente (art. 14).
- Política de segurança simplificada (art. 13), proporcional ao tamanho da empresa.
O que a resolução não faz é dispensar a segurança. E ela não vale para quem faz tratamento de alto risco nem para quem passa do limite de receita da Lei Complementar 123/2006. O art. 46 da LGPD continua exigindo medidas técnicas e administrativas contra acesso não autorizado, perda e vazamento, e o §2º diz que elas devem existir desde a concepção do sistema.
Os 7 controles que a LGPD cobra de um sistema interno
A lei não fala em "sistema". Ela fala em princípios e deveres. A tabela traduz cada dever no controle técnico que o cumpre:
| Controle | Base na lei | O que o sistema faz |
|---|---|---|
| 1. Acesso por perfil | Art. 46 | Cada papel vê só os campos de que precisa. O vendedor não abre a folha de pagamento. |
| 2. Log de acesso e alteração | Art. 6º, X | Registra quem viu, quem mudou, o valor antigo e quando. É a prova de responsabilização. |
| 3. Finalidade por campo | Art. 6º e 37 | Cada dado pessoal tem motivo documentado. Campo sem motivo sai do formulário. |
| 4. Pedido do titular | Art. 18 e 19 | Exporta, corrige ou elimina o cadastro. Declaração completa em até 15 dias. |
| 5. Prazo de retenção | Art. 6º, III | Dado que perdeu a finalidade é anonimizado ou apagado por rotina, não por lembrança. |
| 6. Backup testado | Art. 46 | Cópia criptografada, fora do servidor principal, com restauração testada. |
| 7. Registro de incidente | Art. 48 e Res. 15/2024 | Guarda o que aconteceu por 5 anos e dá base para comunicar a ANPD em 3 dias úteis. |
Acesso por perfil e log: os dois que mais faltam
Planilha compartilhada tem dois níveis de acesso: quem tem o link e quem não tem. Quem tem vê tudo, copia tudo e baixa tudo. Não existe forma de provar quem abriu o cadastro de um cliente específico.
Em sistema próprio, o controle começa pelos papéis. Eu detalhei como montar quatro papéis base em controle de acesso por perfil de usuário. O log vem junto: toda alteração de dado pessoal grava autor, data, valor anterior e valor novo.
Pedido do titular: o teste dos 15 dias
O art. 18 dá ao titular direito de confirmar o tratamento, acessar, corrigir, pedir portabilidade e pedir eliminação. O art. 19 fixa até 15 dias para a declaração completa, com origem, critérios e finalidade dos dados.
Faça o teste agora: escolha um cliente e cronometre quanto tempo leva para juntar tudo o que a empresa tem dele. Se a resposta passa por cinco ferramentas e três pessoas, o prazo de 15 dias depende de sorte. No sistema, é um botão de exportação por cadastro.
Retenção e backup: o dado que ninguém apaga
Currículo de candidato de 2021, cadastro de lead que nunca comprou, cópia de documento de ex-funcionário. Guardar sem prazo aumenta o tamanho do vazamento possível sem trazer nenhum ganho para a operação.
Backup é o outro lado. Cópia que nunca foi restaurada é hipótese, não backup. O controle mínimo é backup diário criptografado, fora do servidor principal, e um teste de restauração registrado.
Quanto custa descumprir a LGPD
O art. 52 lista as sanções em ordem crescente. A multa não é a única nem a primeira:
| Sanção | O que significa na prática |
|---|---|
| Advertência | Prazo para corrigir. É onde a maioria dos casos de empresa pequena começa. |
| Multa simples | Até 2% do faturamento no Brasil, sem tributos, limitada a R$ 50 milhões por infração. |
| Multa diária | Corre até a correção, dentro do mesmo teto. |
| Publicização | A infração vira pública depois de confirmada. |
| Bloqueio ou eliminação | A empresa perde o uso dos dados envolvidos. Para quem vive de base de clientes, esse costuma doer mais que a multa. |
Há ainda o art. 42: quem causa dano ao titular ao violar a lei é obrigado a repará-lo. Ou seja, além da ANPD, a empresa pode responder a processo do próprio cliente ou funcionário.
Incidente de segurança: o que fazer nos primeiros 3 dias úteis
A Resolução CD/ANPD nº 15/2024 dá ao controlador 3 dias úteis para comunicar à ANPD o incidente que possa causar risco ou dano relevante ao titular. Empresa de pequeno porte tem o prazo em dobro. Todo incidente, comunicado ou não, fica registrado por pelo menos 5 anos.
O prazo é curto demais para descobrir no susto o que vazou. Por isso o controle 7 depende dos controles 1 a 3: sem log, a empresa não sabe o alcance; sem finalidade por campo, não sabe que tipo de dado estava ali. Um sistema que responde "quais cadastros este usuário acessou nos últimos 30 dias" em uma consulta transforma três dias de pânico em um relatório.
Planilha e WhatsApp: onde a LGPD mais falha
Os pontos cegos se repetem de empresa para empresa:
- Planilha baixada. O arquivo sai do Drive para o computador pessoal e deixa de existir para qualquer controle.
- Documento no WhatsApp. RG, comprovante e contrato ficam no celular de quem atendeu, inclusive depois que a pessoa sai da empresa.
- Login compartilhado. Cinco pessoas usam o mesmo usuário do CRM. O log registra um nome e cinco comportamentos.
- Acesso de quem saiu. O desligamento revoga o crachá, mas não o link da planilha.
Tirar o dado pessoal desses lugares é, na prática, uma migração. O roteiro de migrar planilha para sistema em 7 passos serve aqui também: inventariar, limpar e decidir o que nem deveria ser migrado.
Quanto custa colocar esses controles no sistema
Não existe "módulo LGPD" separado que se compra depois. Perfil, log, exportação por titular e backup são decisões de estrutura do banco de dados, e o art. 46 pede que existam desde a concepção. Acrescentar tudo isso a um sistema pronto custa mais do que prever no escopo.
Como régua da Nudge.OS: um módulo único custa a partir de R$ 14.900 e fica pronto em 3 a 5 semanas; um sistema completo parte de R$ 48.000, em 3 a 4 meses. A hospedagem, entre R$ 120 e R$ 600 por mês, fica no nome da sua empresa, e isso também é proteção de dado: o banco é seu, não do fornecedor. Explico por que isso importa em propriedade do código no software sob medida.
O que exigir por escrito de qualquer fornecedor, inclusive de mim: os 7 controles da tabela no escopo da primeira etapa, a lista de quem da equipe do fornecedor tem acesso ao banco de produção e o procedimento em caso de incidente. Na forma como conduzo os projetos, isso entra no diagnóstico, antes do orçamento.
Perguntas frequentes
Como funciona a LGPD para empresas?
A LGPD vale para toda empresa que trata dado pessoal de cliente, funcionário ou fornecedor pessoa física. Ela exige finalidade clara para cada dado, medidas de segurança (art. 46), atendimento aos direitos do titular (art. 18) e comunicação de incidente relevante à ANPD em 3 dias úteis.
Empresa pequena precisa cumprir a LGPD?
Precisa, com regras simplificadas. A Resolução CD/ANPD nº 2/2022 dispensa o encarregado, aceita registro simplificado e dá prazo em dobro para responder ao titular e comunicar incidente. Não vale para quem faz tratamento de alto risco.
Quem é responsável pela LGPD na empresa?
A própria empresa, como controladora. O encarregado é o canal com titulares e ANPD, mas não assume a responsabilidade. O fornecedor que trata dado em nome da empresa é operador e responde junto quando descumpre a lei ou as instruções recebidas.
Qual o valor da multa da LGPD?
Até 2% do faturamento no Brasil no último exercício, sem tributos, limitada a R$ 50 milhões por infração (art. 52). A lei também prevê advertência, multa diária, publicização, bloqueio e eliminação dos dados.
O que diz o artigo 42 da LGPD?
Que o controlador ou operador que causar dano patrimonial, moral, individual ou coletivo ao violar a lei é obrigado a reparar. Além da sanção da ANPD, a empresa pode ser processada pelo titular.
Qual o prazo para comunicar um incidente de segurança à ANPD?
Três dias úteis, pela Resolução CD/ANPD nº 15/2024, quando o incidente pode causar risco ou dano relevante. Pequeno porte tem prazo em dobro. O registro do incidente fica guardado por pelo menos 5 anos.
Quer saber onde estão os dados pessoais da sua operação?
Conte quais ferramentas guardam cadastro de cliente e funcionário hoje. Respondo em até 1 dia útil e, se fizer sentido, marcamos 40 minutos de diagnóstico, sem custo.