Proteção de Dados impõe uma reflexão mais profunda sobre impacto e desafios que vão além da conformidade documental
Os cinco anos da Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) exigem de forma urgente que haja uma transição de uma adaptação documental para um instrumento que influencia governança corporativa, gestão de riscos e reputação. Ao longo desse período, a Autoridade Nacional de Proteção de Dados (ANPD) consolidou sua atuação regulatória, especialmente em alguns setores, e os consumidores passaram a conhecer melhor seus direitos e o mercado elevou a exigência sobre o tratamento de informações pessoais. Apesar desse avanço, muitas empresas ainda não integraram a privacidade à sua estratégia de negócios.
A evolução da LGPD foi acompanhada por um processo de amadurecimento. Desde a entrada em vigor da lei, a ANPD, que passou a ser uma agência, estruturou sua fiscalização, publicou regulamentos, guias e normas complementares, aplicou sanções e ampliou a agenda regulatória sobre direitos dos titulares, incidentes de segurança, relatórios de impacto e transferência internacional de dados. Paralelamente, decisões judiciais passaram a utilizar a legislação em disputas de consumo, trabalho, saúde, tecnologia e responsabilidade civil, consolidando a proteção de dados nas organizações.
Ao mesmo tempo, a proteção de dados deixou de representar apenas uma preocupação regulatória. Clientes, fornecedores, investidores e parceiros, além de exigir conformidade, passaram a avaliar a maturidade dos programas como indicador de governança e gestão de riscos, enquanto incidentes de segurança passaram a produzir reflexos que extrapolam multas e processos, atingindo a reputação e a confiança no mercado.
Para Thaissa Garcia, sócia e head de Privacidade e Proteção de Dados, Contratos e ESG do Albuquerque Melo Advogados e pós-graduada em Direito Digital e Proteção de Dados pelo Ebradi, a mudança de percepção é um dos principais legados da LGPD, embora permaneça um hiato entre empresas que incorporaram o tema e as que o tratam apenas como obrigação legal e, nem sempre, com efetividade.
“Percebe-se uma evolução importante nas empresas com maior maturidade regulatória, especialmente nos setores que mantêm relacionamento direto com consumidores. Essas organizações passaram a destinar mais recursos financeiros, tecnológicos e humanos à privacidade, impulsionadas pela atuação da ANPD e pelo aumento da conscientização de clientes e parceiros comerciais. Ainda assim, muitas empresas continuam sem incorporar a proteção de dados ao planejamento estratégico e à governança corporativa, o que amplia a exposição a riscos jurídicos, operacionais, regulatórios e reputacionais”, alerta.
Essa diferença de maturidade se reflete na estrutura dos programas de privacidade. Embora políticas internas, contratos, registros e avisos de privacidade tenham se tornado comuns, muitas organizações ainda focam na documentação, sem integrar a proteção de dados aos processos internos, à gestão de riscos e à segurança da informação. “Programas de privacidade focados exclusivamente em políticas, contratos e registros ainda são frequentes. A proteção de dados só gera valor quando está integrada aos processos internos, gestão de riscos, segurança da informação e a tomada de decisões. Ao permanecer restrita ao papel, deixa de cumprir sua principal função: proteger a organização e fortalecer sua estratégia de negócio”.
A experiência acumulada nesses cinco anos também evidencia que a tecnologia não elimina os riscos por si só. Na maioria dos incidentes, as vulnerabilidades seguem associadas à rotina operacional, seja por compartilhamentos indevidos, excesso de permissões de acesso, armazenamento inadequado de informações ou ausência de procedimentos padronizados entre as equipes.
“O investimento em segurança da informação, gestão de riscos e estrutura de governança permanece como um desafio importante, mas o fator humano ainda representa o aspecto muito sensível e relevante, que é muitas vezes neglicenciado. A pressão por resultados faz com que treinamentos contínuos e revisões de processos acabem sendo deixados em segundo plano. Pequenas falhas do cotidiano, como compartilhamentos indevidos, excesso de acessos, armazenamento inadequado de informações ou ausência de procedimentos claros, costumam estar na origem dos incidentes de segurança mais relevantes”, ressalta a advogada.
É fundamental que a proteção de dados passe a influenciar a percepção de valor das organizações. Em um ambiente de negócios orientado por compliance, governança e ESG, demonstrar responsabilidade é um diferencial competitivo e fator relevante para manter a confiança do mercado. “A forma como uma empresa trata os dados pessoais passou a integrar seus ativos intangíveis mais relevantes. A confiança de clientes, fornecedores e investidores depende cada vez mais da capacidade de demonstrar responsabilidade, transparência e maturidade na proteção das informações. Hoje, privacidade também é reputação e diferencial competitivo”.
Outro ponto que limita a efetividade da LGPD é a falta de integração entre as áreas responsáveis. Quando jurídico, compliance, tecnologia, recursos humanos e áreas operacionais trabalham de forma isolada, cresce a dificuldade de prevenir incidentes, cumprir obrigações assumidas e demonstrar diligência durante fiscalizações, auditorias ou ações judiciais.
“A LGPD é uma agenda transversal de governança. Não basta estabelecer políticas ou assumir compromissos em contratos se essas diretrizes não são efetivamente implementadas no ambiente interno. Quando jurídico, compliance, tecnologia, recursos humanos, áreas de negócios e operacionais não atuam de forma coordenada, aumenta a dificuldade de prevenir incidentes e de demonstrar diligência e adequação perante a ANPD, nas auditorias internas e de clientes e diante do Poder Judiciário”, afirma a especialista.
Na prática, esse desalinhamento surge quando as empresas assumem compromissos de privacidade que não correspondem à operação diária, o que, lamentavelmente, ainda é muito comum. A diferença entre o previsto em contratos e a prática diária amplia o risco de descumprimentos e dificulta a resposta diante de fiscalizações ou litígios. “Muitas organizações assumem obrigações de privacidade perante clientes e parceiros comerciais que não encontram correspondência nos procedimentos internos. Esse desalinhamento amplia significativamente o risco de descumprimentos, responsabilização contratual e aplicação de penalidades. Empresas que conseguem demonstrar processos estruturados, capacitação contínua, controles efetivos e monitoramento permanente estão muito mais preparadas para mitigar riscos e sustentar sua defesa em eventuais investigações ou litígios”, finaliza.
A evolução da LGPD exige que a discussão e o compromisso das empresas também avancem. Se, em um primeiro momento, o foco esteve no mapeamento das atividades e na elaboração de documentos, o desafio atual é consolidar, de forma consistente, uma cultura de privacidade efetivamente integrada à governança corporativa. Em um cenário de fiscalização mais madura, consumidores mais atentos e relações comerciais cada vez mais pautadas pela confiança digital, a proteção de dados deve ser compreendida como um pilar estratégico de sustentabilidade, competitividade e geração de valor. Esse novo patamar pressupõe, sobretudo, o envolvimento efetivo da liderança, para que a proteção de dados deixe de ser apenas uma obrigação regulatória e passe a ocupar, de forma consistente, o espaço que lhe cabe na estratégia das organizações.
Imagem: https://pt.vecteezy.com/foto/71109464-uma-martelo-simbolizando-digital-justica-e-a-intersecao-do-lei-e-tecnologia