O que as empresas costumam perguntar antes de começar.

A lei alcança quem trata dados pessoais, independentemente do porte, do setor ou de a empresa ter site. O que muda para microempresa, empresa de pequeno porte e startup é a forma de cumprir: há registro simplificado, prazos em dobro e dispensa de indicar encarregado, desde que exista um canal de atendimento ao titular. A flexibilização não vale para tratamento de alto risco, que a resolução define por critérios próprios, nem para empresa acima do limite de receita ou de grupo econômico que o ultrapasse. E a ANPD pode exigir, conforme o caso, as obrigações dispensadas.

Leia o artigo sobre o tema

Dado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la, em papel ou em tela. E tratamento é praticamente tudo o que se faz com ela: coletar, guardar, consultar, compartilhar, até apenas acessar. Cadastro de cliente, ficha de funcionário, currículo de quem não foi contratado e planilha de fornecedor entram.

A política descreve o que a empresa faz com os dados; ela não substitui o que a empresa faz de fato. A lei cobra também o registro das operações de tratamento, um motivo jurídico definido para cada uso e medidas de segurança compatíveis. Quando a rotina não confere com o texto, o documento passa a descrever uma empresa que não existe.

Leia o artigo sobre o tema

Um modelo serve como estrutura, e nada mais. A política precisa dizer quais dados aquela empresa coleta, por qual motivo jurídico, com quem compartilha e por quanto tempo guarda. Documento copiado costuma prometer o que a empresa não faz, e é justamente essa diferença que aparece quando alguém pede explicação.

A lei atribui a responsabilidade a quem decide sobre o tratamento, ou seja, à empresa na condição de controladora, e não ao setor que opera o sistema. A área de tecnologia executa parte das medidas de segurança; o contador, o sistema e a agência de marketing costumam figurar como operadores, a depender de quem decide a finalidade e os meios de cada operação. O que se coleta, com qual fundamento e por quanto tempo continua sendo decisão da empresa.

Leia o artigo sobre o tema

Na prática, a cobrança costuma chegar antes da fiscalização e de fora: um cliente grande que condiciona a renovação do contrato a um questionário de proteção de dados, o lançamento de um aplicativo, um titular que pede para saber o que a empresa guarda sobre ele. Os prazos contam da data do pedido, e não da data em que a empresa se organiza. Para microempresa e empresa de pequeno porte eles são contados em dobro, o que dá tempo de responder, mas não de montar a estrutura do zero.

A lei impõe a indicação do encarregado (também chamado de DPO, sigla de Data Protection Officer) ao controlador. Para o operador, ela é facultativa. Microempresa, empresa de pequeno porte e startup estão dispensadas de indicá-lo, desde que mantenham um canal de comunicação com o titular, e a indicação voluntária conta como boa prática de governança. O encarregado pode ser pessoa de fora da empresa, física ou jurídica, com indicação formal por escrito e identidade e contato divulgados publicamente.

Começa por uma conversa de alinhamento, para entender o que a empresa faz e o que já existe. O levantamento de dados vem depois, já dentro do trabalho contratado, e é ele que define o que precisa ser feito e em qual ordem. O prazo depende do número de sistemas, de áreas e de fornecedores envolvidos, e a manutenção continua depois da entrega.