Compliance e integridade
LGPD: programa de privacidade
Programa de privacidade com base legal definida por tratamento, controle técnico correspondente e prova de conformidade verificável por autoridade e por cliente.
Programa de privacidade organiza o tratamento de dados pessoais da empresa inteira, do cadastro de cliente ao ponto eletrônico, do marketing ao fornecedor que hospeda sistema. Começa pelo inventário: quais dados, de quem, para quê, por quanto tempo, com quem são compartilhados e onde ficam armazenados. Sobre esse inventário, define a base legal de cada operação, ajusta avisos e formulários de coleta, estabelece prazo de retenção e descarte, desenha o atendimento ao titular e fecha contratos com operadores. A Lei 13.709/2018 aplica princípios de finalidade, necessidade, transparência e segurança a todo tratamento, inclusive o realizado por empresa de pequeno porte.
O erro mais caro é a base legal escolhida por conveniência. Consentimento pedido para tudo cria obrigação de revogação que o sistema não suporta, e legítimo interesse invocado sem teste de balanceamento documentado não se sustenta em fiscalização. Dado sensível tem lista própria de hipóteses e não admite legítimo interesse. Transferência internacional depende de mecanismo previsto em regulamento da ANPD, com cláusulas contratuais padrão entre as alternativas. A ANPD também editou regulamento sobre aplicação e dosimetria de sanções administrativas, que considera a existência de programa de governança em privacidade. Programa formal sem controle técnico correspondente perde esse efeito quando a autoridade examina o caso.
A MERC trabalha com dado, não com declaração. Levanta fluxos junto da área de tecnologia, confere permissões de acesso, retenção efetiva nas bases, registro de compartilhamento com terceiros e configuração de cookies e rastreadores no ambiente digital. Documenta a base legal de cada tratamento e o teste de balanceamento quando aplicável. Revisa contratos com operadores quanto a instruções, subcontratação, segurança e devolução ou eliminação de dados. Entrega inventário, plano de adequação priorizado por risco ao titular e desenho do atendimento de direitos com controle de prazo. A firma não emite parecer jurídico: atua em diagnóstico, controle e evidência, com o advogado do cliente nas questões de interpretação.
O que examinamos
- Inventário de tratamentos, finalidade e retenção
- Base legal por operação e teste de balanceamento
- Permissões de acesso e segregação nas bases
- Contratos com operadores e regras de subcontratação
- Mecanismo de transferência internacional utilizado
- Cookies, rastreadores e avisos no ambiente digital
- Norma aplicável
- Lei 13.709/2018, com os princípios do artigo 6º, as bases legais dos artigos 7º e 11 e os direitos do titular do artigo 18. Regulamentos da ANPD sobre transferência internacional e sobre dosimetria de sanções completam a régua, a confirmar na versão vigente.
- Entregável
- Inventário de tratamentos com base legal definida, plano de adequação priorizado por risco ao titular e fluxo de atendimento de direitos com prazo controlado.
