LGPD para empresas: checklist de adequação em 2026

A Lei Geral de Proteção de Dados está em vigor desde 2020, e as sanções administrativas desde 2021. Em 2026, o tema ganhou ainda mais relevância: a autoridade nacional foi transformada em agência reguladora pela Lei 15.352/2026, e o Estatuto Digital da Criança e do Adolescente (Lei 15.211/2025) ampliou obrigações para serviços digitais.

A LGPD se aplica à minha empresa?

Se a empresa coleta, armazena, usa ou compartilha dados de pessoas físicas identificadas ou identificáveis — nome, CPF, e-mail, telefone, imagem, dados de navegação —, a resposta é sim. Isso inclui dados de colaboradores e candidatos, não apenas de clientes. Agentes de tratamento de pequeno porte têm regras simplificadas definidas pela ANPD, mas não estão dispensados da lei.

Checklist de adequação

1. Governança – Encarregado pelo tratamento de dados (DPO) nomeado, com canal de contato divulgado, observadas as regras de dispensa para pequenos agentes. – Responsáveis internos e rotina de acompanhamento.

2. Mapeamento de dados – Quais dados são tratados, de quem, para quê, onde ficam, com quem são compartilhados e por quanto tempo são mantidos.

3. Bases legais – Cada tratamento precisa de uma base legal (consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras). Consentimento não é a única — nem sempre a melhor — opção.

4. Transparência – Política de privacidade clara e atualizada; avisos de privacidade para colaboradores.

5. Direitos dos titulares – Procedimento para responder a pedidos de acesso, correção, eliminação e portabilidade nos prazos.

6. Segurança da informação – Controle de acessos, autenticação forte, criptografia quando adequada, backups, registro de atividades.

7. Contratos com terceiros – Cláusulas de proteção de dados com fornecedores que tratam dados em nome da empresa (operadores) e com parceiros.

8. Resposta a incidentes – Plano para avaliar e comunicar incidentes à ANPD e aos titulares quando houver risco ou dano relevante, nos prazos previstos em regulamento.

9. Dados sensíveis e de crianças – Cuidados reforçados com dados de saúde, biometria e de crianças e adolescentes — com atenção ao ECA Digital.

10. Treinamento – Colaboradores treinados periodicamente, especialmente quem lida com dados de clientes.

Quais erros mais comuns?

• Pedir consentimento para tudo, inclusive quando outra base legal é mais adequada.
• Política de privacidade copiada, que não reflete a prática.
• Ausência de contratos com fornecedores de tecnologia.
• Uso de ferramentas de inteligência artificial sem avaliar o tratamento de dados envolvido.
• Planilhas com dados pessoais compartilhadas sem controle.

Como integrar LGPD e compliance?

A proteção de dados é parte do programa de integridade da empresa e deve estar presente nos processos, contratos e treinamentos. O Legal Dept., departamento jurídico as a service do ecossistema Chambarelli, conduz adequações e a governança contínua de proteção de dados.

Perguntas frequentes

Toda empresa precisa ter um DPO?

A regra geral é nomear um encarregado; a ANPD dispensou agentes de tratamento de pequeno porte dessa obrigação, desde que mantenham um canal de comunicação com os titulares.

A LGPD vale para dados de pessoas jurídicas?

Não. A lei protege dados de pessoas físicas. Mas dados de representantes e contatos de empresas clientes são dados pessoais.

Qual o prazo para comunicar um incidente?

A regulamentação da ANPD estabelece prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para comunicação de incidentes que possam acarretar risco ou dano relevante.

Conteúdo informativo, atualizado em 20 de outubro de 2026. Não substitui a análise jurídica, contábil ou financeira do caso concreto.