compliance•

12 de agosto de 2026

•

Together Team

Programa de governança em privacidade: como manter a LGPD viva

Um programa de governança em privacidade organiza como a empresa decide, executa, acompanha e comprova seus cuidados com dados pessoais. Ele evita que a LGPD seja lembrada apenas na revisão de uma política, na resposta a um incidente ou na solicitação de um cliente. Quando os ritos estão conectados ao negócio, novas contratações, campanhas, sistemas e produtos passam por critérios conhecidos antes de gerar problemas difíceis de corrigir.

O programa de governança em privacidade pode começar já na adequação inicial e acompanhar o que ainda não foi concluído. Pendências entram em um backlog, riscos recebem responsáveis e mudanças ganham um caminho de análise. O objetivo não é criar reuniões para discutir documentos. É fazer com que as decisões sobre dados tenham donos, informação suficiente, registro e revisão.

A LGPD trata de boas práticas e governança no art. 50. O texto oficial da Lei nº 13.709/2018 prevê que controladores e operadores, no âmbito de suas competências, podem formular regras de boas práticas e governança considerando natureza, escopo, finalidade, probabilidade e gravidade dos riscos e benefícios do tratamento. Para o programa de governança em privacidade, isso aponta uma direção: o desenho deve refletir a operação e o risco, não um modelo genérico.

O que diferencia governança de um conjunto de políticas

O programa de governança em privacidade vai além de políticas, que descrevem regras. A governança define quem toma decisões, como conflitos são resolvidos, quais informações chegam à liderança e como a empresa verifica se as regras funcionam. Uma organização pode ter documentos bem escritos e ainda não saber quem aprova um novo fornecedor de inteligência artificial, quem responde por uma solicitação de titular ou quem decide o prazo de retenção de documentos comerciais.

O programa de governança em privacidade cria essa estrutura. Ele conecta funções existentes, como jurídico, compliance, segurança, tecnologia, recursos humanos, compras e áreas de negócio. Nem toda empresa precisa de um comitê formal ou de uma ferramenta especializada. Todas precisam, porém, de caminhos compreensíveis para identificar riscos, pedir orientação, implementar controles e guardar evidências.

A definição de programa de governança em privacidade no Glossário da ANPD o apresenta como instrumento capaz de demonstrar integridade e comprometimento na adoção de processos e políticas internas que assegurem, de forma abrangente, o cumprimento de normas e boas práticas. A expressão “demonstrar” merece atenção. Governança não é só intenção declarada. Ela precisa deixar registros de como funciona.

Isso não significa acumular documentos sem utilidade. A evidência deve acompanhar ações reais: análise de um projeto, decisão sobre um risco, teste de resposta a incidente, treinamento aplicado, revisão de acesso ou tratamento de reclamação. Quanto mais próxima da operação, maior a capacidade de a evidência explicar o que a organização fez e por quê.

Defina o mandato do programa de governança em privacidade

Antes de escolher indicadores e reuniões, esclareça o mandato. Quais entidades e unidades estão cobertas? O programa orienta apenas operações brasileiras ou também fluxos internacionais do grupo? Ele acompanha clientes, trabalhadores, usuários, fornecedores e visitantes? Quais temas devem obrigatoriamente passar pela análise de privacidade?

O mandato também deve indicar autoridade e escalonamento. O encarregado pode recomendar a suspensão de um lançamento para corrigir uma falha, mas quem decide sobre o risco do negócio? Quando jurídico, segurança e produto discordam, qual fórum recebe a questão? Sem essa definição, decisões sensíveis podem ficar presas em conversas informais.

Um programa de governança em privacidade precisa de patrocínio executivo. O patrocinador não deve aprovar cada formulário, mas deve remover bloqueios, assegurar recursos proporcionais e cobrar respostas das áreas. O tema perde prioridade quando não há alguém capaz de arbitrar orçamento, prazo e apetite a risco.

O escopo deve ser revisto quando a empresa compra outra organização, abre uma nova linha de negócio, muda a arquitetura de tecnologia ou passa a tratar categorias de dados diferentes. Governança rígida demais envelhece. Governança vaga demais não orienta ninguém. O mandato precisa ser estável no propósito e ajustável na aplicação.

Distribua papéis sem concentrar tudo no encarregado

O encarregado tem papel relevante como canal e orientador, nos termos aplicáveis, mas a conformidade do tratamento continua sendo responsabilidade do agente de tratamento. A Resolução CD/ANPD nº 18/2024 determina, entre outros pontos, que o agente forneça meios necessários, solicite assistência em decisões estratégicas, garanta autonomia técnica e ofereça acesso às pessoas de maior nível hierárquico.

Esses requisitos ajudam a desenhar papéis. O DPO orienta, acompanha e comunica. A área de negócio explica finalidade e necessidade. Tecnologia descreve integrações e controles. Segurança avalia ameaças e resposta. Jurídico analisa hipóteses legais e contratos. Compras insere requisitos na contratação. Recursos humanos implementa controles na jornada dos trabalhadores. Atendimento participa do fluxo de titulares.

No programa de governança em privacidade, cada processo recorrente deve ter um responsável operacional e uma instância de supervisão. Uma matriz de responsabilidades pode esclarecer quem executa, aprova, é consultado e informado. O importante é evitar duas situações: todos acham que o DPO fará a tarefa, ou ninguém sabe que precisa acioná-lo.

Também é preciso cuidar de conflitos de interesses. A Resolução nº 18 define conflito como situação que possa comprometer, influenciar ou afetar impropriamente a objetividade e o julgamento técnico do encarregado. Se a mesma pessoa decide os meios de tratamento e depois avalia a própria decisão como DPO, a organização deve examinar o caso e adotar medidas para preservar a autonomia técnica e a ausência de conflito de interesses.

Crie ritos ligados ao ritmo da empresa

Reuniões mensais não são uma exigência universal. O rito deve acompanhar a velocidade e o risco do negócio. Uma empresa que lança funcionalidades semanalmente pode precisar de triagem frequente. Uma organização com processos mais estáveis pode trabalhar com revisões periódicas e gatilhos específicos.

Alguns ritos costumam ser úteis:

triagem de novos projetos, campanhas e sistemas;
revisão de fornecedores antes da contratação ou renovação;
acompanhamento de solicitações e reclamações de titulares;
avaliação de incidentes e quase incidentes;
revisão de ações de adequação e riscos aceitos;
atualização de inventário, retenção e transparência;
reporte executivo sobre tendências e bloqueios.

O programa de governança em privacidade deve definir critérios de entrada. Nem toda alteração exige uma análise longa. Um formulário simples pode passar por checklist. Um projeto com dados sensíveis, monitoramento sistemático, grande escala ou decisão automatizada pode pedir análise mais profunda, a depender do contexto. A triagem proporcional preserva velocidade para temas comuns e concentra especialistas onde há maior risco.

Cada rito precisa de saída. Uma reunião sem decisão ou próximo passo apenas transfere trabalho para a agenda seguinte. O registro deve informar tema, responsáveis, prazo interno, decisão, ressalvas e evidências esperadas. Quando não há consenso, o item segue para a instância de escalonamento definida no mandato.

Integre privacidade aos processos que já existem

A governança funciona melhor quando entra nos pontos em que a empresa já decide. Compras pode incluir uma etapa de privacidade na qualificação de fornecedores. Desenvolvimento pode adicionar critérios ao fluxo de produto. Marketing pode avaliar fontes de dados, segmentação, cookies e comunicação antes da campanha. Recursos humanos pode revisar coleta e retenção ao alterar benefícios ou ferramentas.

Essa integração evita um “processo paralelo de LGPD” que as equipes contornam por falta de tempo. O programa de governança em privacidade deve usar portas de entrada existentes, acrescentando perguntas e aprovações proporcionais. Se a empresa já opera gestão de riscos, privacidade pode compartilhar metodologia, sem perder os critérios próprios relacionados aos titulares.

O inventário de operações também deve conversar com mudanças. Em vez de realizar um grande mapeamento a cada dois anos, a empresa pode atualizar registros quando um projeto é aprovado, um fornecedor muda ou uma operação termina. Isso reduz o intervalo entre a prática e a documentação.

O conteúdo da TOGETHER sobre LGPD no cenário digital apresenta a importância de proteger dados em operações cada vez mais tecnológicas. A governança contínua dá forma a essa necessidade, porque insere privacidade na compra de tecnologia, na configuração dos serviços e na revisão de usos posteriores.

Use indicadores que provoquem decisões

Um painel com muitas métricas pode esconder o que a liderança precisa saber. A escolha deve partir das perguntas de gestão. Onde o risco está crescendo? Quais áreas têm mais pendências? Os controles são aplicados? Solicitações de titulares revelam problemas recorrentes? Fornecedores críticos ainda não foram avaliados?

Indicadores do programa de governança em privacidade podem incluir tempo de triagem de projetos, ações vencidas por nível de risco, percentual de fornecedores críticos revisados, operações sem retenção definida, reincidência de incidentes, testes de resposta concluídos, treinamentos aplicados a públicos relevantes e causas recorrentes em reclamações. O valor não está no número isolado, mas na decisão que ele sustenta.

No programa de governança em privacidade, métricas de volume precisam de contexto. Um aumento de solicitações pode indicar problema de transparência, crescimento da base de clientes ou melhor visibilidade do canal. Uma queda de incidentes registrados pode significar melhoria ou subnotificação. O DPO e as áreas responsáveis devem interpretar tendências antes de apresentar conclusões.

Também convém registrar decisões qualitativas relevantes. A aceitação de risco em um sistema legado, por exemplo, pode não aparecer em um indicador agregado. Um registro executivo de exceções, justificativas, controles compensatórios e datas de revisão evita que decisões temporárias se tornem permanentes por esquecimento.

Mantenha políticas, inventários e contratos coerentes

Documentos de privacidade formam um conjunto. O inventário descreve operações. Avisos comunicam aspectos do tratamento aos titulares. Contratos distribuem instruções e responsabilidades entre agentes. Políticas internas orientam pessoas. Planos de retenção definem guarda e descarte. Procedimentos mostram como agir em situações específicas.

O programa de governança em privacidade deve verificar a coerência entre esses elementos. Se o inventário informa compartilhamento internacional e o aviso não o explica adequadamente, há uma lacuna. Se o contrato exige comunicação de incidente, mas não existe canal operacional com o fornecedor, a cláusula pode falhar quando mais for necessária.

Uma revisão por gatilho costuma ser mais útil que a simples revisão anual. Mudança de finalidade, categoria de dado, fornecedor, país, público, tecnologia ou prazo de guarda pode acionar atualização. A revisão periódica continua importante para detectar alterações que não passaram pelo fluxo, mas não deve ser a única oportunidade de correção.

O programa de governança em privacidade também exige controle de versão, aprovação e comunicação interna. Equipes precisam saber qual documento está vigente e o que mudou. Políticas arquivadas devem ter acesso adequado, especialmente quando servem para demonstrar a regra existente em determinada época.

Teste a eficácia, não apenas a existência

Um procedimento pode parecer completo até o primeiro teste. Por isso, o programa deve verificar se as pessoas conseguem executar o que está escrito. Um exercício de solicitação de titular pode revelar dificuldade para localizar dados em sistemas diferentes. Um simulado de incidente pode mostrar que contratos não trazem contatos atualizados ou que a equipe desconhece a sequência de escalonamento.

Testes podem ser simples e proporcionais. Selecione um cenário, defina participantes, registre tempos, decisões e dificuldades, e transforme os achados em ações. Não se trata de procurar culpados. O objetivo é descobrir falhas em ambiente controlado, antes de uma situação real.

O programa de governança em privacidade também deve avaliar controles implementados após incidentes ou auditorias. Uma regra de descarte foi realmente configurada? O novo campo deixou de ser coletado? A autenticação foi aplicada a todos os perfis previstos? A validação impede que uma solicitação exponha dados de outra pessoa? A evidência de teste é mais útil que uma declaração genérica de conclusão.

Auditoria interna, compliance, segurança e áreas de qualidade podem colaborar, respeitando competências e acesso. O encarregado deve ter condições de orientar e acompanhar, mas não precisa ser o único responsável pelos testes. A separação entre execução e verificação pode melhorar a confiabilidade.

Treine por função e aprenda com os eventos

Treinamento geral cria vocabulário comum, mas raramente resolve todas as decisões do dia a dia. Marketing precisa de exemplos sobre campanhas, leads, cookies e fornecedores. Recursos humanos lida com recrutamento, dependentes, saúde ocupacional e desligamento. Desenvolvedores precisam considerar acesso, logs, ambientes de teste e minimização.

O programa de governança em privacidade pode combinar integração de novos trabalhadores, reciclagens e orientações curtas acionadas por mudanças. O conteúdo deve explicar o que fazer, quem consultar e como relatar uma falha. Testes e dúvidas recebidas ajudam a ajustar os materiais.

Incidentes, quase incidentes, reclamações, auditorias e projetos bloqueados são fontes de aprendizado. A governança deve registrar causas e revisar controles relacionados. Se várias equipes contratam ferramentas sem avaliação, talvez o problema esteja no fluxo de compras, não apenas na conscientização individual.

A cultura aparece quando as pessoas conseguem levantar riscos sem receio de punição automática e recebem respostas em tempo útil. Um canal interno lento estimula atalhos. Um programa que só diz “não” perde espaço nas decisões. A orientação precisa oferecer caminhos viáveis, com salvaguardas proporcionais.

Como a TOGETHER pode apoiar

A TOGETHER pode desenhar ou revisar o programa de governança em privacidade, definindo mandato, papéis, matriz de escalonamento, ritos, indicadores e repositório de evidências. A consultoria em LGPD também pode integrar privacidade aos fluxos de compras, produto, marketing, recursos humanos, contratos, incidentes e gestão de riscos, sem impor uma estrutura maior que a necessidade da empresa.

Com DPO as a Service, a TOGETHER pode operar a agenda contínua, acompanhar canais, orientar projetos, revisar fornecedores, preparar reportes e manter o backlog de privacidade. A atuação considera autonomia técnica e ausência de conflito de interesses, enquanto a liderança e as áreas de negócio preservam suas responsabilidades pelas decisões e pela execução dos controles.

O apoio pode começar por uma avaliação de maturidade e por poucos ritos prioritários. À medida que a empresa aprende, o programa de governança em privacidade ganha critérios mais precisos, indicadores úteis e integração com os processos existentes. O foco é construir continuidade verificável, não aumentar burocracia.

Próximos passos

Mapeie as decisões de dados que a empresa já toma e identifique onde privacidade chega tarde. Escolha dois ou três pontos de entrada, como novos fornecedores, projetos de tecnologia e incidentes. Defina responsáveis, critérios de triagem, saída esperada e forma de escalonamento.

Depois, selecione indicadores que respondam perguntas reais da liderança e teste um processo completo. O programa de governança em privacidade deve evoluir com evidências de uso. Quando uma regra não funciona, ajuste o rito, o recurso ou o papel responsável. É essa capacidade de aprender e corrigir que mantém a LGPD viva na operação.