Consultoria LGPD e GDPR: proteção de dados nos dois lados do Atlântico.
Muitas empresas têm políticas copiadas e nenhum mapeamento real dos dados. Ajudo a organizar os tratamentos, escrever documentos que reflitam a realidade e aplicar medidas de segurança concretas, atendendo à LGPD e, quando a empresa atua com a Europa, também ao GDPR.
LGPD, GDPR ou os dois?
Quase toda empresa trata dados pessoais. O que muda é qual lei se aplica e com que intensidade.
LGPD
Toda empresa que trata dados de clientes, funcionários ou leads no Brasil precisa de bases legais, transparência, segurança e atendimento aos titulares.
GDPR
O GDPR se aplica também a empresas fora da UE que oferecem bens ou serviços a pessoas na União ou monitoram seu comportamento (art. 3.2).
Operadores
Quem trata dados em nome de clientes precisa garantir segurança e contratos adequados, um requisito cada vez mais comum em negociações com empresas maiores.
Do mapeamento à proteção de dados que funciona
Prazos indicativos para uma PME; dependem da quantidade e do tipo de tratamentos.
Mapeamento de dados
Quais dados são tratados, para quê, onde ficam, quem acessa e com quem são compartilhados.
Registro e bases legais
Registro das operações de tratamento, bases legais e prazos de retenção para cada finalidade.
Políticas e contratos
Avisos de privacidade para clientes, equipe e site; contratos com operadores e fornecedores.
Medidas técnicas e incidentes
Controles de segurança proporcionais e procedimento de resposta e comunicação de incidentes.
Relatório de impacto e transferências
RIPD/DPIA quando necessário e avaliação de transferências internacionais.
Revisão e treinamento
Atualização do mapeamento, revisão das medidas e treinamento da equipe.
Na Europa, o "Digital Omnibus" proposto em novembro de 2025 pode mudar algumas regras do GDPR, como os prazos de notificação de incidentes, mas ainda não é lei.
Consultoria LGPD e GDPR em seis etapas
Diagnóstico de privacidade
Avaliação de documentos, processos e medidas existentes frente à LGPD e, se aplicável, ao GDPR.
Mapeamento e registro
Um inventário real e atualizável dos tratamentos, base para todo o programa.
Políticas e cookies
Avisos de privacidade claros e site com gestão de cookies adequada, sem banners desnecessários.
Contratos e transferências
Cláusulas com operadores e fornecedores de nuvem e avaliação de transferências internacionais.
Segurança e incidentes
Medidas técnicas concretas, procedimento de incidentes e simulação dos prazos da ANPD e do GDPR.
Treinamento e suporte contínuo
Treinamento por função e apoio quando chegam pedidos de titulares ou dúvidas do dia a dia.
Um programa só para as duas leis
Muito em comum
Bases legais, direitos dos titulares, segurança e relatório de impacto seguem lógica parecida. Um programa bem desenhado atende às duas leis sem duplicar trabalho.
Diferenças que importam
- Prazo de incidentes: 3 dias úteis (ANPD) contra 72 horas (GDPR).
- Encarregado (LGPD) e DPO (GDPR) têm regras de obrigatoriedade diferentes.
- Transferências internacionais seguem regras próprias em cada lado.
O que está em jogo
LGPD (art. 52), além de advertência, publicização da infração e bloqueio ou eliminação dos dados.
GDPR: violações de princípios, bases legais, direitos dos titulares e transferências.
GDPR: obrigações de segurança, registros e notificação de incidentes.
No GDPR aplica-se o valor mais alto. Nas duas leis, os titulares também podem buscar reparação por danos.
LGPD e GDPR: as perguntas que mais recebo
Minha empresa no Brasil precisa cumprir o GDPR?
Precisa se tiver estabelecimento na UE, se oferecer bens ou serviços a pessoas que estão na União ou se monitorar o comportamento delas (por exemplo, com rastreamento em site voltado ao público europeu). Vender só para clientes no Brasil, em regra, não basta para atrair o GDPR.
Qual o prazo para comunicar um incidente de segurança?
Pela LGPD, 3 dias úteis para comunicar a ANPD e os titulares quando o incidente puder gerar risco ou dano relevante (Resolução CD/ANPD nº 15/2024). Pelo GDPR, 72 horas para a autoridade de controle.
Preciso nomear um encarregado (DPO)?
Pela LGPD, a regra geral é sim, mas agentes de tratamento de pequeno porte podem ser dispensados, desde que mantenham um canal de comunicação com os titulares. No GDPR, o DPO é obrigatório apenas em casos específicos.
Usar ChatGPT com dados de clientes é um problema?
Pode ser. É preciso ter base legal, informar os titulares, ter contrato adequado com o fornecedor, avaliar a transferência internacional e definir regras internas sobre quais dados podem ser inseridos. Muitas vezes vale anonimizar ou usar versões corporativas.
A consultoria é feita online?
Sim. Atendo empresas no Brasil e na Europa de forma remota, em português, italiano ou inglês.
Fontes: Lei nº 13.709/2018 (LGPD), Resoluções CD/ANPD nº 2/2022 e nº 15/2024, Regulamento (UE) 2016/679 (GDPR), proposta "Digital Omnibus" (novembro de 2025). Conteúdo informativo, não constitui parecer jurídico. Atualizado em novembro de 2026.
Segurança e conformidade em um só caminho
Vamos organizar a proteção de dados da sua empresa
Uma primeira avaliação para entender onde você está e o que é realmente necessário.