Maturidade em LGPD deixa de ser checklist e vira governança contínua

Vinte por cento das empresas brasileiras com dez ou mais funcionários mantêm hoje uma área ou funcionários dedicados à privacidade — cinco pontos percentuais a menos que em 2023. A nomeação formal de um encarregado de dados pessoais também recuou, de 19% para 14%, segundo a pesquisa Privacidade e Proteção de Dados Pessoais 2025, terceira edição do levantamento coordenado pelo Comitê Gestor da Internet no Brasil (CGI.br) por meio do Cetic.br, divulgada em 31 de agosto.

O mesmo levantamento mostra recuo na elaboração de políticas de retenção e descarte de dados, de 25% para 22%, e nos planos de resposta a incidentes de segurança, de 25% para 21%. No sentido inverso, 69% das empresas com dez ou mais funcionários afirmam manter dados pessoais de clientes — proporção que sobe a 78% entre as grandes companhias —, e a coleta de dados biométricos saltou de 24% para 31%.

O contraste resume a mudança de critério na avaliação de maturidade em LGPD: mais empresas tratam mais dados, inclusive sensíveis, enquanto a estrutura que deveria sustentar esse tratamento perde força. Não se mede mais se a política de privacidade foi publicada uma vez, mas se ela continua operante.

ANPD testa se a governança é real

A Agência Nacional de Proteção de Dados avaliou, em ciclo de monitoramento concluído em julho, 56 agentes de tratamento — 39 órgãos públicos e 17 empresas privadas — quanto a duas obrigações básicas da LGPD: indicar encarregado pelo tratamento de dados e disponibilizar canal de comunicação com os titulares. Apenas 27 atenderam integralmente; oito tinham pendências e 21 não responderam, seguindo para avaliação de eventuais sanções.

O 1º Relatório Integrado de Gestão da Agência, com dados de 2025, mostra a instauração de 81 processos de fiscalização, resposta a 12.701 requerimentos de titulares e 362 comunicações de incidente de segurança recebidas — média de quase uma por dia, total acumulado de 1.508 desde 2021. Ao publicar o relatório, o diretor-presidente Waldemar Gonçalves disse que o documento presta contas à sociedade num momento de maior relevância institucional do órgão.

"Já são seis anos de vigência da LGPD e cinco do início das sanções. Não estamos mais falando de uma legislação nova", afirmou Mario Toews, diretor comercial da Datalege Consultoria Empresarial, ao comentar os números do ciclo de monitoramento. Para ele, falhas ainda encontradas no encarregado e no canal com titulares mostram que parte das organizações não transformou a LGPD em processo permanente de gestão.

Já são seis anos de vigência da LGPD e cinco do início das sanções. Não estamos mais falando de uma legislação nova.— Mario Toews, diretor comercial da Datalege Consultoria Empresarial · bemparana.com.br

Governança madura pesa no bolso da multa

A Resolução CD/ANPD nº 4/2023, que disciplina a dosimetria e a aplicação de sanções administrativas, prevê no art. 13, inciso II, redução de 20% na multa quando o infrator comprovar que implementou política de boas práticas e de governança, ou mecanismos internos capazes de minimizar danos aos titulares. O art. 7º, inciso X, do mesmo regulamento já manda considerar essa política na definição da sanção.

A regra transforma a maturidade em LGPD em variável de cálculo financeiro: dois agentes com a mesma infração podem receber multas diferentes conforme consigam comprovar que o incidente foi exceção num programa de governança consistente — e não sintoma de ausência de controles.

Essa proporcionalidade também existe por porte: desde a Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte — microempresas, startups e entidades sem fins lucrativos — têm prazos diferenciados perante a Agência e um guia próprio de segurança da informação, sem que isso os dispense de manter encarregado e canal com os titulares.

O elo mais fraco é o fornecedor

Os ataques cibernéticos contra empresas brasileiras somaram, em média, 4.151 ocorrências semanais por organização em julho, alta de 45% sobre julho de 2025, segundo dados da Check Point Research citados pelo Inforchannel. O mesmo levantamento aponta que 74% das violações de dados na América Latina e no Caribe envolveram terceiros, e que a participação de fornecedores em violações subiu, no Data Breach Investigations Report 2026 da Verizon, para 48% globalmente — ante 30% no ciclo anterior.

O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, mostra que 65% das grandes empresas apontam vulnerabilidades de terceiros como o maior obstáculo à resiliência cibernética, ante 54% em 2025 — mas só 33% mapeiam de forma abrangente seus fornecedores. Em maio, um vazamento na Dígitro Tecnologia, fornecedora de mais de 150 órgãos governamentais, foi classificado pelo Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo como ataque à cadeia de suprimentos.

"Para o criminoso, muitas vezes é mais barato e rápido atacar o fornecedor que tem a chave do que enfrentar diretamente uma empresa com maior maturidade", disse Rodolfo Almeida, COO da ViperX, startup de cibersegurança do grupo Dfense. Uma avaliação de maturidade que para nas fronteiras da própria empresa deixa de fora o ponto por onde o incidente tende a entrar.

Para o criminoso, muitas vezes é mais barato e rápido atacar o fornecedor que tem a chave do que enfrentar diretamente uma empresa com maior maturidade— Rodolfo Almeida, COO da ViperX (grupo Dfense) · brazileconomy.com.br

Privacidade sem segurança não sustenta nota

A ISO/IEC 27701, atualizada em outubro de 2025, deixou de ser uma extensão da norma de segurança da informação ISO/IEC 27001 e passou a valer como sistema de gestão de privacidade autônomo (PIMS, na sigla em inglês). Na prática, uma empresa pode buscar certificação de privacidade sem antes implementar toda a estrutura de segurança da ISO 27001 — o que reduz uma barreira de entrada, mas não elimina a exigência de controles técnicos equivalentes.

Um levantamento da Grant Thornton Brasil com o escritório Opice Blum, feito com lideranças de empresas brasileiras, mostra o descompasso: embora 66,5% considerem os riscos cibernéticos entre suas cinco principais preocupações, apenas 66,1% afirmam estar de fato estruturadas para combatê-los. Só 67% têm plano de resposta a incidentes — número que cai para 64% entre as que já sofreram um — e a liderança aparece plenamente envolvida em segurança em apenas 58% das grandes empresas.

Os números indicam que checar a política de privacidade isoladamente já não basta: a avaliação de maturidade em LGPD que ignora backup, criptografia e plano de resposta a incidentes mede metade do problema.

Fiscalização mira fornecedor de tecnologia

Aprovado em dezembro de 2025, o Mapa de Temas Prioritários da Agência Nacional de Proteção de Dados para o biênio 2026-2027 organiza a fiscalização em quatro eixos: direitos dos titulares, com atenção a dados biométricos, de saúde, financeiros e perfilização; proteção de crianças e adolescentes; tratamento de dados pelo poder público; e inteligência artificial, com fiscalizações previstas para 2027.

A Agenda Regulatória 2025-2026, atualizada no mesmo ato, passou a incorporar três temas ligados à Lei nº 15.211 (o ECA Digital): mecanismos de aferição de idade, o escopo das obrigações de fornecedores de tecnologia, e a revisão das regras de fiscalização e sanção. É a primeira vez que a agenda nomeia diretamente as obrigações de fornecedores como frente regulatória própria.

A combinação de mais fiscalização temática, mais comunicações de incidente e uma agenda que passa a mirar fornecedores de tecnologia sinaliza que a próxima etapa da adequação à LGPD tende a cobrar evidência de maturidade não só da empresa, mas de quem ela contrata.