Plano de adequação à LGPD: do diagnóstico à execução

Um plano de adequação à LGPD transforma o que a empresa descobriu no diagnóstico em trabalho organizado. Ele define quais problemas serão tratados primeiro, quem responde por cada ação, quais recursos serão necessários e que evidência comprovará a conclusão. Sem essa passagem para a execução, inventários, entrevistas e relatórios podem terminar em uma lista extensa de recomendações que não muda a rotina.

O diagnóstico continua importante. Ele mostra onde estão os dados pessoais, por que são usados, com quem circulam, por quanto tempo permanecem e quais controles já existem. O artigo da TOGETHER sobre ROPA explica como o registro das operações ajuda a revelar riscos e dependências. O passo seguinte é converter esses achados em entregas que caibam na capacidade real da organização.

Esse movimento exige escolhas. Nem todo documento precisa ser refeito ao mesmo tempo, e nem toda lacuna produz o mesmo impacto. Uma operação com dados de saúde, grande volume de titulares ou decisões automatizadas pode pedir atenção diferente daquela destinada a um cadastro simples de fornecedores. A prioridade deve considerar o contexto, os direitos das pessoas, as dependências técnicas e a continuidade do negócio.

O que um plano de adequação à LGPD precisa resolver

O plano de adequação à LGPD responde a perguntas operacionais, não apenas jurídicas. Qual área decide a finalidade de cada tratamento? O sistema permite eliminar o dado quando aplicável? O contrato descreve o papel do fornecedor? O canal de titulares chega às equipes que localizam as informações? Existe uma rotina para avaliar incidentes? Há alguém autorizado a aceitar o risco residual?

Essas perguntas evitam que a adequação fique restrita à política de privacidade. Transparência pública é uma parte do trabalho, mas ela precisa refletir o que ocorre em sistemas, planilhas, arquivos físicos, contratos e atendimentos. Se a política diz que um dado é eliminado após determinada finalidade, a operação deve ter um mecanismo coerente para executar e demonstrar essa decisão.

O plano de adequação à LGPD também precisa distinguir correção imediata, melhoria estrutural e rotina contínua. Corrigir um formulário que coleta informação excessiva pode ser uma ação pontual. Implantar uma regra de retenção em sistemas legados pode exigir projeto, orçamento e testes. Já revisar novos fornecedores é um processo recorrente, que deve entrar no fluxo de compras e não depender de uma força tarefa anual.

A própria LGPD adota a responsabilização e a prestação de contas como princípio. Em termos práticos, a organização deve ser capaz de demonstrar medidas eficazes e sua capacidade de comprovar a observância das normas. A Lei nº 13.709/2018, em seu texto oficial, oferece a base para essa abordagem. O plano ajuda a organizar a trajetória, mas a evidência vem da implementação.

Comece por um diagnóstico utilizável

Antes de montar cronogramas, revise a qualidade dos insumos. Um inventário pode estar completo na aparência e ainda ser pouco útil se agrupar operações muito diferentes em uma única linha. “Recursos humanos”, por exemplo, pode esconder recrutamento, admissão, folha, benefícios, saúde ocupacional, controle de acesso e desligamento. Cada operação tem titulares, dados, compartilhamentos e retenções próprios.

Um diagnóstico utilizável descreve a situação observada, o risco ou a desconformidade, a ação sugerida e a área que conhece o processo. Também informa limitações. Se a empresa não sabe quais suboperadores participam de um serviço em nuvem, o achado deve registrar essa incerteza. O artigo da TOGETHER sobre ROPA ajuda a organizar esse levantamento. O plano de adequação à LGPD pode então incluir a obtenção da informação como uma entrega, antes de decidir sobre aditivo ou substituição do fornecedor.

Vale separar fatos de hipóteses. “Não existe procedimento documentado para atender correção de cadastro” é um fato verificável. “A equipe provavelmente não responderá no prazo” é uma hipótese que pede teste. Essa distinção melhora a conversa com as áreas e reduz discussões abstratas sobre gravidade.

Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 prevê, quando atendidos os critérios do regulamento, possibilidades como o registro simplificado das operações. A flexibilização não elimina o cumprimento dos demais dispositivos da LGPD. Por isso, o desenho deve ser proporcional, sem copiar uma estrutura incompatível com o porte e sem confundir simplicidade com ausência de controle.

Priorize por risco, esforço e dependência

Uma lista única de pendências costuma produzir dois problemas. As ações fáceis avançam porque parecem rápidas, enquanto questões de maior risco ficam adiadas por envolverem várias áreas. Ao mesmo tempo, tarefas grandes recebem rótulos vagos, como “adequar contratos”, que não permitem saber por onde começar.

O plano de adequação à LGPD funciona melhor quando usa critérios de priorização conhecidos. A empresa pode avaliar impacto sobre titulares, probabilidade de ocorrência, volume e natureza dos dados, exposição externa, obrigação contratual, dependência de fornecedor, esforço de implantação e existência de controle compensatório. A metodologia não precisa ser sofisticada, mas deve ser consistente e documentada.

A prioridade não deve ser definida apenas pelo medo de uma sanção. Um fluxo frágil de alteração de conta pode facilitar fraude contra clientes. Retenção indefinida pode ampliar o volume afetado em um incidente. Falta de clareza contratual pode atrasar uma resposta porque ninguém sabe quem deve fornecer logs. Esses impactos operacionais ajudam a liderança a compreender por que determinadas ações precisam de recursos.

No plano de adequação à LGPD, depois da classificação, agrupe as entregas em ondas. A primeira pode tratar exposições relevantes e correções com alta relação entre benefício e esforço. A segunda pode ajustar processos que dependem de integração entre áreas. A terceira pode abordar projetos estruturais, como mudanças em sistemas, arquitetura de dados ou substituição de fornecedores. As ondas não devem esconder urgências. Se houver risco relevante em andamento, a organização pode precisar adotar controle temporário enquanto prepara a solução definitiva.

Converta achados em entregas com critério de aceite

“Revisar a política” não é uma entrega suficientemente clara. Qual política? Quais processos devem ser comparados? Quem aprova? Onde será publicada? Como a equipe saberá o que mudou? Uma ação bem descrita informa o resultado esperado e o critério usado para considerá-la concluída.

No plano de adequação à LGPD, cada item pode conter:

achado e processo afetado;
risco que justifica a ação;
entrega esperada;
responsável pela execução;
áreas consultadas e aprovador;
dependências, orçamento e prazo interno;
critério de aceite;
evidência a ser armazenada;
risco residual e data de revisão.

Considere um contrato de plataforma de atendimento sem informação suficiente sobre subcontratados. A entrega não seria apenas “revisar fornecedor”. Poderia incluir solicitar a lista de suboperadores, mapear locais de tratamento, verificar medidas de segurança, comparar o contrato com o papel efetivamente desempenhado, negociar pontos necessários e registrar a decisão. O aceite ocorre quando os itens definidos foram avaliados e a área competente aprovou a continuidade, as condições ou a substituição.

O mesmo raciocínio vale para direitos dos titulares. Criar um endereço de e-mail não conclui a ação. É preciso definir triagem, validação de identidade proporcional, áreas acionadas, modelos de resposta, registro do atendimento, escalonamento e teste. A evidência pode incluir procedimento aprovado, registros do fluxo, teste realizado e correções decorrentes.

Defina responsáveis sem transferir tudo ao DPO

Privacidade atravessa a empresa. Recursos humanos conhece a jornada dos trabalhadores. Marketing decide campanhas e ferramentas. Tecnologia administra acessos e integrações. Compras negocia fornecedores. Jurídico interpreta requisitos e contratos. Segurança trata vulnerabilidades e incidentes. O encarregado orienta, coordena temas de proteção de dados e atua como canal nos termos aplicáveis, mas não executa sozinho todas essas funções.

O plano de adequação à LGPD deve indicar um dono para cada entrega. Esse dono precisa ter autoridade e conhecimento para mover o trabalho. O DPO pode revisar o desenho, formular recomendações e acompanhar evidências, enquanto a área de negócio implementa a mudança no processo que controla. Essa distribuição evita um erro frequente: colocar o nome do encarregado em todas as linhas e, na prática, deixar as áreas decisoras fora do compromisso.

Uma matriz simples pode separar quem executa, quem aprova, quem deve ser consultado e quem precisa ser informado. Em ações de maior impacto, o patrocinador executivo ajuda a resolver conflito de prioridade e orçamento. Quando uma área decide aceitar temporariamente um risco, a decisão deve ser registrada pela instância adequada, com justificativa, medidas compensatórias e revisão prevista.

Trabalhe em ciclos curtos e visíveis

Projetos de adequação perdem força quando o único marco é uma data distante. Dividir o trabalho em ciclos curtos torna obstáculos visíveis. Uma reunião periódica pode revisar o que foi concluído, o que está bloqueado, quais decisões dependem da liderança e se surgiram novos riscos.

O painel do plano de adequação à LGPD não precisa ter dezenas de indicadores. Status, responsável, vencimento interno, dependência, nível de risco e evidência já permitem uma gestão útil. Um item não deve aparecer como concluído apenas porque um documento foi redigido. Se a entrega exige publicação, treinamento, mudança de sistema ou teste, essas etapas fazem parte do aceite.

No plano de adequação à LGPD, também é útil limitar o volume de ações simultâneas. Muitas frentes abertas consomem reuniões e produzem pouca conclusão. O backlog mantém os demais itens visíveis, enquanto cada ciclo concentra capacidade nas prioridades aprovadas. Quando entra uma demanda urgente, a equipe registra qual ação foi deslocada, em vez de fingir que tudo continua no mesmo prazo.

Mudanças de negócio também precisam alimentar o plano de adequação à LGPD. Aquisição de empresa, lançamento de aplicativo, implantação de inteligência artificial, troca de folha de pagamento ou nova campanha podem criar operações que não estavam no diagnóstico inicial. Um mecanismo de entrada permite avaliar essas mudanças e acrescentar tarefas sem reconstruir o programa inteiro.

Organize evidências desde o início

Evidência não é uma pasta cheia de versões sem contexto. Ela deve permitir entender o que foi decidido, por quem, com base em quais informações e qual resultado foi verificado. Exemplos incluem atas de aprovação, registros de treinamento, relatórios de teste, tickets de sistema, cláusulas assinadas, avaliações de fornecedor, logs de atendimento e versões controladas de procedimentos.

No plano de adequação à LGPD, a evidência deve ser prevista junto com a ação. Essa escolha evita procurar documentos meses depois. Também melhora o critério de aceite: se ninguém consegue dizer o que comprovará a entrega, talvez a tarefa ainda esteja vaga.

O acesso às evidências merece controle. Um relatório de incidente ou avaliação de fornecedor pode conter dados pessoais, vulnerabilidades, segredo comercial ou orientação jurídica. A organização deve definir repositório, permissões, responsáveis pela manutenção e retenção. Prestação de contas não exige expor indiscriminadamente documentos sensíveis.

No plano de adequação à LGPD, métricas devem mostrar avanço e eficácia. Percentual de ações concluídas informa execução, mas não basta. Outros sinais podem incluir redução de cadastros sem retenção definida, fornecedores críticos avaliados, tempo de resposta a titulares, reincidência de falhas e resultados de testes. A seleção depende do contexto e deve ajudar decisões, não decorar apresentações.

Erros que atrasam a adequação

O primeiro erro é começar pela produção em massa de políticas. Documentos são necessários quando correspondem aos processos, mas não substituem configuração de acesso, descarte, gestão de fornecedores ou resposta a solicitações. O segundo é tratar toda lacuna como urgente. Quando tudo recebe prioridade máxima, a liderança perde referência para decidir.

Outro problema é copiar um modelo de empresa maior. O plano de adequação à LGPD precisa considerar porte, risco, setor, maturidade e recursos disponíveis. Uma empresa pequena pode operar controles simples e bem definidos. Uma operação complexa pode precisar de comitês, automação, responsáveis locais e revisões mais frequentes. A proporcionalidade deve ser justificada pelo risco, não usada como desculpa genérica.

Também convém evitar datas prometidas sem consultar as áreas. Mudanças em sistema dependem de desenvolvimento, homologação e janela de implantação. Contratos dependem de negociação. Treinamentos precisam alcançar públicos diferentes. Um cronograma confiável nasce do diálogo com quem executa e é atualizado quando a realidade muda.

Por fim, não encerre o projeto sem transição para governança contínua. Tratamentos, pessoas e fornecedores mudam. O que estava adequado pode deixar de refletir a operação. O plano deve indicar quais entregas viram rotinas, quem as mantém e com que gatilhos serão revisadas.

Como a TOGETHER pode apoiar

A TOGETHER pode estruturar o plano de adequação à LGPD a partir do inventário e dos achados existentes, ou conduzir um diagnóstico proporcional quando esses insumos ainda não são confiáveis. A consultoria em LGPD ajuda a classificar riscos, decompor recomendações em entregas, definir critérios de aceite, revisar documentos e contratos e conectar jurídico, tecnologia, segurança e áreas de negócio.

Com DPO as a Service, a TOGETHER pode acompanhar o backlog, orientar decisões, operar o canal de comunicação aplicável, revisar novas iniciativas e manter evidências organizadas. O serviço não retira das áreas a responsabilidade por seus processos. Ele oferece coordenação especializada e continuidade para que dúvidas, incidentes, fornecedores e demandas de titulares não dependam de mobilizações ocasionais.

A implantação pode ser feita por ondas, com prioridades acordadas e visibilidade executiva. Assim, o plano de adequação à LGPD deixa de ser uma relação genérica de pendências e passa a funcionar como instrumento de gestão, com entregas verificáveis e revisão periódica.

Próximos passos

Escolha os achados de maior impacto, confirme as áreas responsáveis e descreva o resultado esperado para cada um. Antes de definir o cronograma completo, teste o método em um ciclo curto. Verifique se os critérios de aceite são claros, se as evidências podem ser obtidas e se a liderança consegue resolver bloqueios.

Ao final de cada onda, revise o risco residual e converta os controles permanentes em rotinas. Um plano de adequação à LGPD é útil quando ajuda a empresa a tomar decisões e concluir mudanças, não quando apenas registra que existem problemas. Diagnóstico, execução e governança precisam formar uma sequência contínua.