LGPD na prática para o seu produto
O banner de cookies é a parte menos importante. Inventário de dados, bases legais, direitos do titular como funcionalidade e plano de incidente: o que implementar agora, na visão de quem constrói produto.
A LGPD completou anos em vigor, as multas da ANPD já saíram do papel, e mesmo assim a maioria dos produtos digitais brasileiros ainda trata a lei como um banner de cookies. Spoiler: o banner é a parte menos importante.
A Lei Geral de Proteção de Dados (Lei 13.709/2018, texto integral) muda como seu produto coleta, guarda, usa e apaga dados pessoais. E "dado pessoal" é mais amplo do que parece: nome, e-mail, IP, localização, comportamento de navegação, tudo que identifica ou pode identificar alguém.
Aqui está o que realmente precisa estar implementado, na visão de quem constrói produto.
1. Saiba o que você coleta (inventário de dados)
Impossível proteger o que não se mapeou. O primeiro passo é o inventário: quais dados pessoais entram, por onde, onde ficam, quem acessa e para quê. Formulários, logs, analytics, integrações, planilhas do comercial. O resultado costuma surpreender: dados sensíveis em lugares que ninguém lembrava.
2. Colete menos (minimização e finalidade)
Dois princípios da lei resolvem metade dos riscos: só coletar o necessário para uma finalidade específica e informada. Aquele formulário que pede CPF e data de nascimento "porque um dia pode ser útil"? É passivo jurídico e atrito de conversão ao mesmo tempo. Dado que você não coleta é dado que não vaza.
3. Tenha uma base legal para cada uso (e não é só consentimento)
Erro comum: achar que tudo exige consentimento. A LGPD prevê dez bases legais, incluindo execução de contrato (dados para entregar o serviço contratado), obrigação legal (nota fiscal) e legítimo interesse (com teste de balanceamento documentado). Consentimento é para o que sobra, e aí precisa ser granular, específico e revogável com a mesma facilidade com que foi dado. Caixa pré-marcada não vale.
4. Implemente os direitos do titular como funcionalidade
O usuário tem direito a saber o que você tem sobre ele, corrigir, exportar e apagar. Isso não é um e-mail para o jurídico: é requisito de produto.
- Exportação de dados em formato legível.
- Fluxo de exclusão de conta que apaga (ou anonimiza) de verdade, inclusive em backups e integrações, com prazos definidos.
- Registro de consentimentos com data e versão do termo aceito.
Times que descobrem isso tarde pagam caro: apagar um usuário de um sistema que nunca previu exclusão é cirurgia em produção.
5. Proteja o que ficou (segurança e acesso)
O artigo 46 exige medidas técnicas e administrativas de segurança. Na prática: criptografia em trânsito e em repouso, controle de acesso por papel (o estagiário do marketing não precisa ver CPF), logs de acesso a dados sensíveis e as defesas básicas que já detalhamos. LGPD e OWASP são a mesma conversa em idiomas diferentes.
6. Prepare-se para o pior dia (plano de incidente)
Vazou? A lei exige comunicação à ANPD e aos titulares em prazo razoável (gov.br/anpd). Quem define o plano durante o incêndio comunica mal e tarde. Tenha por escrito: quem decide, quem comunica, o que se registra e como se contém. Ensaie uma vez por ano, como ensaio de restauração de backup.
O que muda no dia a dia do time
A parte cultural é simples de enunciar: privacidade vira critério de aceite. Feature nova que coleta dado novo responde três perguntas antes do desenvolvimento: precisa mesmo? Qual a base legal? Como se apaga depois? É o privacy by design da lei, aplicado no mesmo lugar onde os outros requisitos vivem.
E o benefício além da multa evitada: confiança. Num mercado que já viu vazamento demais, tratar dados com respeito visível é argumento de venda, especialmente em B2B, onde seus clientes respondem pela cadeia inteira.
Adequação sem paralisar o roadmap
Inventário, bases legais, fluxos de titular e plano de incidente: esse pacote de adequação é um dos trabalhos do nosso serviço de Cibersegurança e Proteção de Dados, feito em ciclos curtos, priorizando o risco maior primeiro, sem travar as entregas do produto.
Quer saber seu ponto de partida? Responda à IA da Rabelo Digital, aqui no canto da tela: seu produto tem fluxo de exclusão de conta? Ela te diz o que vem depois. Sem formulário, sem espera.
Deixe um Comentário