Você confiaria em um parceiro de negócios que garante estar em conformidade à LGPD, mas comprou um pack de documentos genéricos acreditando que isso é suficiente para estar de acordo com a lei?

O certo é que a demanda surge conforme as necessidades do mercado. Se tem quem vende pack de documentos genéricos, é porque tem quem mantém a régua lá embajxo e adquire "soluções" fáceis.

Aí contrário do que se pensa, o risco não diminui, mas aumenta. Riscos reputacionais, jurídicos e financeiros têm o seu potencial danoso aumentado significativamente.

Lembrem-se: o barato sai caro!

A adequação à LGPD só é possível com o acompanhamento de um profissional especializado. E isso não é possível em 48 horas.

Tem dúvidas sobre esse assunto? Fala para mim aqui nos comentários!

Imagine um profissional que atua numa área específica há mais de 20 anos que, movido(a) pela necessidade de aumentar a renda familiar, decide ingressar num curso superior com a certeza de que essa ação tem o potencial de alavancar sua carreira.

Toda a família está alinhada com ele nesse propósito e, juntos, fazem todos os ajustes necessários para realização desse projeto.

Canudo na mão, peregrinação universitária concluída, é hora de ingressar no mercado de trabalho. Sem (ou com) muita dificuldade, ele consegue um cargo de desenvolvedor back-end júnior em uma empresa que presta serviço para grandes instituições financeiras.

No dia a dia ele rala muito: 8 a 10 horas de trabalho por dia (num dia suave), horário de almoço reduzido para dar conta dos projetos, isso quando não precisa dormir no chão da sala, pois tem uma melhoria rodando que precisa do máximo de supervisão possível.

Enfim, apesar das conquistas, ele está exausto... considerando a realidade do mercado, penso que ele sofre certos abusos por parte dos superiores. Essa é a rotina diária dele. Todos os dias seguem assim, embora ainda exista uma aura de empolgação com o que poderia ser o início de uma guinada.

Até que um dia ele é abordado por alguém. É uma pessoa desconhecida, mas ela tem informações detalhadas sobre nosso personagem e sobre sua vida profissional. Ela sabe até que as credenciais dele possui amplos poderes e permitem o seu acesso aos mais variados níveis dos sistemas e, sabendo de tudo isso, propõe um acordo que garantirá certo ganho financeiro.

O que ele deveria fazer para ganhar a contrapartida? Conceder sua credencial de acesso (login e senha), criação de conta em uma plataforma para receber orientações, executar alguns comandos e manter o acesso ativo. O retorno? Um primeiro pagamento no valor de R$ 5.000,00 e outro de R$ 10.000,00 ambos em dinheiro vivo.

"Não vai dar nada" — ele pensa.

Acordo aceito.

O resultado dessa ação: um ataque hacker que desviou R$ 541 milhões das contas-reserva de uma instituição de pagamentos que afetou ao menos seis bancos.

Como o título do post afirma, este não é um texto sobre transição de carreira. É sobre segurança da informação, sobre riscos, e sobre ameaças internas ou, pra quem prefere o anglicismo, as insider threats.

De acordo com a IBM as insider threats são ameaças de cibersegurança originadas em usuários autorizados, como funcionários, prestadores de serviços e parceiros de negócios. Essas pessoas, de modo intencional ou acidental, fazem mal uso de seu acesso legítimo ou têm suas contas sequestradas por cibercriminosos.

Embora ocorram em menos número quando comparadas às ameaças externas, as insider threats apresentam elevado custo às organizações.

A título de exemplo, o Relatório Global Sobre o Custo das Ameaças Internas de 2020, elaborado pelo Ponemon Institute em parceria com a IBM e a ObserveIT, avaliou 204 organizações e identificou a ocorrência de 4.716 incidentes internos. Desse total, 62% dos incidentes estão relacionados a negligência, 23% deles são relacionados a crimes cibernéticos cometidos internamente e 14% relacionados a roubo de credenciais.

O custo médio total das ameaças internas naquele ano foi de US$ 11,45 milhões.

No relatório de 2025, os números aumentaram consideravelmente. O número total de organizações que experimentaram um ou mais incidentes internos foi de 349 e foram identificados 7,868 incidentes internos (uma média de 23 incidentes por organização).

O custo médio total subiu para US$ 17,4 milhões.

Situações como a que foi narrada no início do texto ocorrem com frequência e representam um custo que muitas empresas não têm capacidade de suportar.

No entanto, os riscos das ameaças internas podem ser reduzidos a quase eliminação. De acordo com a versão mais recente do relatório do Ponemon Institute, a detecção precoce dos riscos internos é fundamental para evitar violações e proteger a integridade da reputação organizacional.

Essa detecção precoce pode acontecer a partir da consolidação da tecnologia por meio do uso de ferramentas de prevenção à perda de dados, análise de comportamento de usuário e monitoramento estratégico.

Além disso, o relatório destaca a necessidade das organizações investirem no empoderamento dos seus analistas, não só fornecendo ferramentas para acelerar investigações, mas (aqui é um acréscimo feito por mim) também na capacitação por meio de treinamentos, simulações de incidentes de segurança etc.

Por fim, o relatório sustenta a necessidade de cada organização manter o radar ligado no que diz respeito aos incidentes noticiados nas mídias. Estar atento aos acontecimentos que são amplamente noticiados é uma atitude que entrega subsídios para a defesa da tomada de atitudes proativas, direcionamento adequado do orçamento, o que gera valor futuro.

Concluindo, o foco deve estar na prevenção e detecção precoce, por meio de tecnologias mais inteligentes, desenvolvimento de políticas robustas de segurança da informação e proteção de dados.

Agir de maneira preventiva e estratégica, além de criar uma cultura sólida de segurança, prepara as organizações para atuar adequadamente em situações adversas, fortalece o valor e a reputação dos negócios.

Recados da paróquia

Primeiro, quero agradecer a cada leitor por acompanhar a newsletter.

Por aqui, estamos em processo de mudança de casa (a segunda em menos de 6 meses) e a constância na produção de conteúdo caiu bastante. Aos poucos, estamos retomando o rumo.

Então, peço paciência pelos espaços entre um texto e outro. Peço, também, que vocês continuem comigo, acompanhando os posts.

A bem da verdade, o último mês foi um verdadeiro tsunami de coisas para ajustar e dar conta, o que prejudicou a agenda de produção de conteúdo. Ser um solopreneur (ou EUpresa) tem dessas coisas. Um dia o foco é o financeiro, outro dia o foco é o operacional e por aí vai.

Eu só queria uma vida mais fácil. E quem não quer?

Produzir muito com maior eficiência e aproveitamento de tempo é algo que já se faz presente na nossa sociedade. Em todas as áreas da vida, nós buscamos uma forma de gastar menos energia e ter melhores resultados.

"Se pudermos pegar esse atalho para encurtar o caminho, que mal há nisso?"

Esse cenário não é diferente quando falamos de privacidade e proteção de dados pessoais. Empresas querem gastar pouco, fazer o mínimo possível e estar plenamente adequado às legislações e outras normas sobre o tema. Empresários, pensando no curto e médio prazo, focam apenas na economia financeira e acabam aceitando qualquer atalho, qualquer promessa milagrosa por não entender o real sentido de proteger os dados pessoais que circulam nos seus negócios.

Esse tipo de comportamento abre um mar de oportunidades para "profissionais" (as aspas são propositais) que oferecem soluções miraculosas e de baixíssimo custo. Eles se valem da falta de conhecimento das empresas para ampliar sua carteira de clientes e fazer dinheiro rápido. É o tipo de atalho que resolve um problema aqui, mas abre caminhos pra problemas muito maiores no futuro.

Eu estou falando dos famigerados certificados de adequação à Lei Geral de Proteção de Dados Pessoais.

São figurinhas que são vendidas como garantia de 100% de adequação à LGPD. Com elas, prometem os "profissionais", sua empresa estará em conformidade e plenamente protegida contra eventuais fiscalizações e sanções.

No meu tempo, isso era chamado de lorota.

Essas badges (nome bonitinho pra vender) não tem qualquer valor legal. Primeiro porque não é algo exigido pela LGPD. Segundo porque não há nenhuma empresa credenciada ou reconhecida como apta a emitir certificados ou selos de adequação.

Isso não saiu da minha cabeça: a própria ANPD (Autoridade Nacional de Proteção de Dados) já se manifestou a respeito (AQUI)), afirmando não ter credenciado ou reconhecido nenhuma empresa ou entidade para emissão de selos de adequação, destacando que a LGPD não faz nenhuma exigência nesse sentido.

Alguém poderia argumentar que, apesar de não haver esse reconhecimento, não há proibição da emissão de selos. De fato, não há e é aí que mora o perigo.

Como, hoje, o que está aparente fala mais do que a realidade dos fatos, muitas empresas têm caído no conto do vigário e contratado serviços de adequação que não são verdadeiras adequações, convnecido pelo baixo custo e pela promessa de ter um selo de adequação.

Esses selos exibem um status que tem o mesmo valor de um peso de papel (arrisco dizer que o peso de papel vale muito mais), achando que isso trará um resultado positivo permanente (SPOILER: não vai).

Na verdade, ostentar um selo de adequação que não é reconhecido pela autoridade máxima em proteção de dados no Brasil, representa um risco para qualquer negócio. Vou apresentar alguns deles:

1. Falsa sensação de segurança: Contratando empresas que fornecem esses selos, o empresário terá a falsa sensação de que seu negócio está protegido quando, na verdade, pode estar vulnerável a violações de dados e não conformidades com a lei.

2. Responsabilidade legal agravada: Em caso de incidente de segurança, exibir um selo falso pode ser interpretado como negligência ou até má-fé, podendo agravar sanções.

3. Descredibilização da marca: O uso de selos não reconhecidos tem o potencial de abalar confiança dos clientes, parceiros e investidores.

4. Ausência de melhoria contínua: Usar selo não reconhecido e, portanto, sem valor, dá a impressão de que o trabalho está concluído, quando proteção de dados exige atualização constante.

5. Desperdício de recursos: O investimento em selos sem valor representa um gasto que poderia ser direcionado para medidas efetivas de adequação.

6. Exposição em auditorias: Em processos de due diligence ou auditorias independentes, a inadequação real pode ser exposta, comprometendo negociações com clientes ou parceiros de negócios, por exemplo.

7. Descumprimento do princípio da responsabilização: A LGPD exige que as empresas demonstrem medidas efetivas de adequação, não apenas soluções cosméticas como é no caso dos selos de adequação.

— Cleisen, é possível não cair nessas falsas promessas?

Sem sombra de dúvidas! Diante dos inúmeros riscos de selos vazios de adequação à LGPD, a verdadeira proteção do seu negócio exige mais que atalhos cosméticos.

Para isso, é necessário direcionar os investimentos para soluções genuínas: A procura de profissionais que realmente que entendem as complexidades jurídicas e técnicas da proteção de dados pessoais, que desenvolva programas de governança personalizados (criação de documentos robustos, desenvolvimento de processos cíclicos visando à melhoria contínua, etc.) permitindo que seu negócio responda efetivamente a qualquer cenário.

É muito importante que você, empresário, não arrisque o futuro do seu negócio com falsas garantias. Busque sempre a ajuda de um profissional qualificado e de sua confiança que construa um programa de conformidade que resista a questionamentos e proteja o que realmente importa: seu negócio, os dados pessoais e sua credibilidade.

Deixem suas dúvidas e seus comentários aqui no post e até o próximo texto!

Dito isso, eu quero compartilhar algumas condutas que podem trazer risco para esses negócios.

O desafio da conformidade na era digital

Desde a sua promulgação, a LGPD trouxe uma nova realidade para o marketing digital brasileiro. O que antes era prática comum - coletar o máximo de dados possíveis de potenciais clientes - agora precisa passar pelo filtro da legalidade e do respeito aos direitos fundamentais dos titulares de dados.

É comum ouvir argumentos como “se eu fizer isso que a lei exige, meu negócio vai parar”, “então não vou poder coletar nenhum tipo de dado”, “vou viver do que?”. Entendo as preocupações dos empreendedores, entendo as necessidades dos negócios, mas esses argumentos não se sustentam na prática. Um exemplo prático: Muitos demonizam o Código de Defesa do Consumidor, mas na prática, nenhum negócio foi diretamente prejudicado se entendeu que certas práticas são vedadas por lei para garantir a proteção do elo mais frágil da relação consumerista.

Então eu afirmo para vocês que é perfeitamente possível captar leads de forma eficiente e estar em conformidade com a lei, desde que se entenda os riscos envolvidos e que se faça uma readaptação das estratégias do negócio.

Algumas práticas que colocam seu negócio em risco e possíveis soluções

1. Consentimento insuficiente ou inadequado

Utilizar formulários com opções pré-marcadas ou obtenção de consentimento genérico para múltiplas finalidades (ou para finalidades indefinidas) vai de encontro ao que a lei exige. O consentimento deve ser livre, específico e inequívoco, de modo que represente uma vontade manifesta do titular de dados. Autorizações genéricas para o uso de dados pessoais são nulas.

Recomendação: Redesenhe os formulários para obtenção do consentimento específico, referindo-se a cada finalidade específica e claramente explicada; retire aquelas permissões pré-marcadas de modo que fique claro que a autorização para uso dos dados pessoais partiu do titular de dados.

2. A tentação da coleta excessiva

É comum querer saber tudo sobre um potencial cliente logo no primeiro contato. No entanto, solicitar CPF para um simples download de e-book ou exigir informações familiares sem relação clara com o infoproduto oferecido viola o princípio da minimização de dados.

Recomendação: Adote uma abordagem progressiva de coleta. No início da jornada, colete apenas o essencial (nome e e-mail, por exemplo). À medida que a relação se aprofunda, solicite mais informações, sempre justificando a necessidade.

3. A falta de transparência como barreira à confiança

Quando você não explica claramente como os dados serão utilizados, por quanto tempo serão armazenados e com quem serão compartilhados, quebra o princípio da transparência, um dos pilares da LGPD.

Recomendação: Desenvolva textos e documentos explicativos claros e acessíveis junto aos seus formulários (Ex.: avisos de privacidade, política de cookies). Evite linguagem jurídica complexa e, se possível, utilize exemplos concretos para ilustrar o uso dos dados.

4. Dark patterns: a manipulação que custa caro

Interfaces enganosas que dificultam a recusa ou induzem o usuário ao erro, além de violar a LGPD, também comprometem a confiança na sua marca. Botões de aceitação destacados e opções de recusa escondidas são exemplos dessas práticas.

Recomendação: Adote o princípio de design ético. Ofereça escolhas claras e equivalentes aos usuários, sem manipulação visual ou textual.

5. O risco do compartilhamento não autorizado

O compartilhamento de leads com "parceiros comerciais" sem uma justificativa e amparo legal adequados (como consentimento específico, por exemplo) também é uma prática arriscada.

Recomendação: Mapeie todos os fluxos de dados de sua empresa e identifique a hipótese de tratamento mais adequada para cada compartilhamento, deixando claros quem são os destinatários e para qual finalidade os dados serão utilizados.

6. A ausência de canais para exercício de direitos

Não disponibilizar meios fáceis para que os titulares possam solicitar a exclusão, correção ou portabilidade de seus dados é uma grave violação do artigo 18 da LGPD.

Recomendação: Crie um canal dedicado para solicitações relacionadas a dados pessoais. Pode ser um formulário específico ou e-mail, por exemplo. O link para “deixar de receber o e-mail” não é um canal dedicado para atendimento de solicitações de titulares de dados pessoais.

7. Retenção sem propósito

É comum (não deveria ser) a manutenção de informações de leads por tempo indeterminado, sem uma política clara de descarte após cumprida a finalidade da coleta. Essa prática, no entanto, é vedada pela LGPD, salvo quando houver fundada finalidade.

Recomendação: Desenvolva e implemente uma política de retenção e descarte de dados pessoais, com prazos claros para cada categoria de informação.

Transformando conformidade em diferencial competitivo

O respeito à privacidade não deve ser visto apenas como obrigação legal ou ameaça à saúde dos negócios. Antes é um elemento crucial na construção de relacionamentos sustentáveis com potenciais clientes. Em um mercado cada vez mais consciente sobre direitos digitais, quem integra proteção de dados desde a captação de leads, sai na frente da concorrência.

Adotar as boas práticas mencionadas não apenas minimiza riscos legais, mas também:

• Fortalece a confiança na sua marca

• Melhora a qualidade dos leads captados

• Reduz custos com armazenamento desnecessário de dados

• Prepara seu negócio para um futuro onde a privacidade será cada vez mais valorizada

Concluindo

Sua estratégia de captação de leads está realmente alinhada com a LGPD? Qual ou quais dessas práticas você identificou no seu negócio e como pretende adaptar seus processos para garantir conformidade sem perder eficiência?

A jornada para a conformidade pode parecer desafiadora, mas os ganhos em termos financeiros, jurídicos e reputacionais certamente compensam o esforço.

Este conteúdo tem caráter educativo e não substitui a consulta a um especialista em proteção de dados para análise de casos específicos.

Não tem jeito. Nossos dados estão por aí, circulando quase que irrestritamente no mundo físico/digital e pouco podemos fazer para evitar isso. No entanto, entender e aceitar a existência desse fato não significa que nossas informações pessoais possam ser utilizadas de qualquer forma.

O que diz a legislação

A Lei n. 13.709/2018 (LGPD)1 faculta aos agentes de tratamento a criação de regras de boas práticas e governança (art. 50). Além disso, estabelece que a Autoridade Nacional de Proteção de Dados (ANPD) deve estimular a adoção de padrões técnicos, pelos agentes de tratamento, que tornem fácil o controle dos dados pessoais por seus respectivos titulares (art. 51).

Mas basta criar essas regras e estruturar um programa de governança? Definitivamente não. Além da sua criação, as regras de boas práticas e governança devem ser publicadas e constantemente atualizadas (art. 50, § 3°).

São vários os documentos que compõem uma estrutura de boas práticas e governança em privacidade e proteção dos dados pessoais, mas hoje quero focar em apenas um deles: o aviso de privacidade.

O que é o aviso de privacidade?

No dia a dia da minha atuação eu gosto muito das definições da Associação Internacional de Profissionais de Privacidade (IAPP). Claro que a prioridade é seguir o que é determinado pelas leis brasileiras e pela ANPD.

De acordo com a IAPP, o aviso de privacidade — privacy notice — é um documento que descreve como o agente de tratamento usa, coleta, armazena e divulga dados pessoais.2 Essas são algumas ações que integram o conceito de tratamento de dados pessoais (art. 5°, X).

Eu, então, definiria o aviso de privacidade como o documento por meio do qual o agente de tratamento descreve como trata os seus dados pessoais.

Pausa para a chatice: Poucas são as organizações que usam o nome "aviso de privacidade". Você, leitor, já deve ter visto nos mais variados sites o nome "política de privacidade".

Eu gosto de nomenclaturas, gosto de seguir aquelas que reduzem o risco de má compreensão ou confusão de conceitos pelas partes envolvidas, principalmente pelos titulares de dados. Ao meu ver, chamar o aviso de privacidade de política de privacidade é um equívoco, embora não seja um erro.3

Para a IAPP, a política de privacidade — privacy policy — é, em tradução livre:

"Uma declaração interna que rege o manuseio de informações pessoais por uma organização ou entidade. É dirigida aos membros da organização que podem lidar com as informações pessoais ou tomar decisões sobre elas, instruindo-os sobre a coleta, o uso, o armazenamento e a destruição dos dados, bem como sobre quaisquer direitos específicos que os titulares dos dados possam ter. Também pode ser chamada de política de proteção de dados."

Por não ser o foco do texto de hoje, vou deixar essa discussão para uma outra oportunidade. A ideia aqui é permitir que você, querido leitor, entenda o conceito básico.

Por que seu negócio deve olhar cuidadosamente para o aviso de privacidade

Eu costumo dizer aos meus clientes e colegas (ainda que muitos destes discordem — e está tudo bem!) que o aviso de privacidade é um dos documentos mais importantes quando falamos de privacidade e proteção de dados pessoais.

Explico:

Primeiro, por ser um resultado lógico da aplicação do princípio da transparência, previsto no artigo 6°, inciso VI da LGPD.

Em segundo lugar, por ser um documento público, o aviso de privacidade é um dos primeiros pontos de contato dos titulares com informações sobre como os dados pessoais deles são manipulados pelas organizações. É no acesso ao site de compras, na recepção de um condomínio ou de uma clínica que eles terão um primeiro contato.

Sendo assim, é fundamental que os avisos de privacidade estejam devidamente alinhados com a realidade dos fatos. Não basta pegar um modelo padrão, pois não há como utilizar templates genéricos, uma vez que as organizações, ainda que sejam de um mesmo segmento, devem informar detalhadamente de que forma elas utilizam os dados pessoais dos seus clientes, funcionários, parceiros de negócios e outros sujeitos que se relacionem com elas.

Um bom aviso de privacidade é resultado da soma de diversos fatores como:

• Um bom levantamento de processos e mapeamento do fluxo dos dados pessoais

• O estabelecimento de boas práticas e governança já mencionadas nesse texto

• E, por último (mas não menos importante), da observância do conjunto de normas que permeiam o universo da proteção de dados pessoais

Quando desenvolvo avisos de privacidade on-line, costumo usar como guia a ISO/IEC 29184 da ABNT. Ela traz parâmetros balizadores para a construção dos avisos de forma completa e eficaz.

E a sua organização?

E então? Sua organização já tem aviso de privacidade estruturado?

Se a resposta é sim, o conteúdo dele está realmente alinhado à realidade do negócio?

Por outro lado, se a resposta é não, evite o uso de modelos prontos e procure um profissional de privacidade e proteção de dados para auxiliar você e sua empresa a serem transparentes com os titulares dos dados pessoais utilizados por sua organização.

Deixe seu comentário ou sua dúvida na seção abaixo.

Forte abraço e até o próximo texto!

Este é só um texto de apresentação

Olá! Seja muito bem-vindo/bem-vinda ao “Um dado de prosa”!

Eu me chamo Cleisen, sou advogado especialista em Direito Digital e Proteção de Dados Pessoais, apaixonado por música, livros, tecnologia, filmes e séries. Sou marido, pai e amo minha família acima de todas as coisas.

Por que fazer uma newsletter?

Eu sempre amei escrever. Isso vem desde os tempos de escola. No entanto, as demandas profissionais e pessoais tomaram um tempo significativo de modo que as minhas ideias foram se acumulando na minha cabeça, sem ganhar forma no mundo real por meio das palavras.

É verdade que a minha profissão exige muita escrita, mas eu me refiro à escrita na forma de conversa, onde eu posso expor minhas ideias, pensamentos e ouvir dos leitores (alguns dos quais eu já chamo ou logo chamarei de amigos).

“Um dado de prosa” será um espaço onde conversaremos especificamente sobre Direito Digital, Proteção de Dados Pessoais e outras tendências tecnológicas que estão batendo à nossa porta quase que todos os dias.

Aqui eu quero tratar desses assuntos de forma leve, acessível e discutível (desde respeitadas as regras de um bom debate), contribuindo para a disseminação do bom conteúdo, da boa aplicação das regras do jogo, ajudando pessoas dos mais variados segmentos a afinarem a percepção sobre quão importante é entender o mundo digital e suas implicações no dia a dia.

Meu objetivo é fazer com que a educação digital seja acessível a todos, fazer com que negócios se desenvolvam de forma ética e cuidadosa e, também, apoiar e ajudar no fortalecimento da comunidade de profissionais em Privacidade e Proteção de Dados Pessoais.

Espero que você acompanhe, compartilhe e apoie esse trabalho que estou iniciando. Para isso basta clicar no botão de inscrição no final do texto.

Este post é “só” o começo!

Assine agora