Checklist de conformidade LGPD para empresas em 2026

Antes do checklist: o que se sabe sobre a fiscalização

Vale separar o que é fato verificável do que é achismo de mercado, porque o tema LGPD atrai muito exagero comercial.

Os fatos:

• A ANPD publicou, no fim de 2025, o Mapa de Temas Prioritários 2026-2027, indicando 4 temas prioritários de fiscalização para o biênio. Fonte gov.br.
• Até o levantamento, a ANPD havia aberto pelo menos 9 processos administrativos sancionadores.
• Apenas uma empresa privada foi multada até então: uma microempresa de telemarketing, que recebeu duas multas somando R$ 14.400.
• O teto de sanção é de 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração.
• O art. 52 da LGPD prevê 9 tipos de sanção, e a multa é apenas um deles. Advertência, bloqueio dos dados e eliminação dos dados também estão na lista.
• O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção.

A leitura que fazemos desses fatos, e aqui é interpretação, não é fato: o contraste entre um teto de R$ 50 milhões e uma primeira multa a empresa privada de R$ 14.400 sugere que a ANPD ainda está construindo precedente. Ou seja, o risco predominante hoje não é a multa milionária que circula em apresentação comercial. O risco é a combinação de outras sanções previstas no art. 52, especialmente o bloqueio e a eliminação de dados, que podem parar uma operação inteira, somada ao dano de reputação e ao custo de remediar às pressas o que poderia ter sido feito com calendário.

Sobre o Mapa de Temas Prioritários, o desdobramento tema a tema está em ANPD 2026-2027: o que o Mapa de Temas Prioritários cobra da sua empresa. E a discussão sobre valores e o que os dados da própria ANPD mostram está em multa da LGPD: quanto custa de verdade.

Uma consequência prática desses fatos organiza todo o resto deste artigo. Se o programa de governança conta como atenuante, então documentar deixa de ser burocracia e passa a ser proteção econômica. Cada item do checklist abaixo termina, por isso, com a evidência que você precisa ter guardada.

O checklist, bloco por bloco

Use a lista abaixo como instrumento de trabalho. Para cada item, três perguntas: existe? está atualizado? consigo provar?

Bloco 1: governança e responsabilidade

• Encarregado pelo tratamento de dados formalmente designado, com nome e canal de contato publicados no site.
• Definição clara de quem responde pelo tema na diretoria. Proteção de dados não é assunto exclusivo de TI: envolve jurídico, RH, comercial e atendimento.
• Política de privacidade interna aprovada pela direção, com data e versão.
• Comitê ou reunião periódica de privacidade, com pauta e ata, mesmo que trimestral e enxuta.
• Registro das decisões tomadas sobre riscos aceitos, com responsável e prazo de revisão.
• Evidência: ato de designação do encarregado, política assinada, atas das reuniões.

Bloco 2: inventário de dados pessoais

• Mapeamento dos dados pessoais que a empresa coleta, por processo: clientes, funcionários, candidatos, fornecedores, visitantes.
• Origem de cada dado, sistema onde ele fica armazenado e por quanto tempo permanece.
• Identificação de dados sensíveis, que exigem cuidado maior, e de dados de crianças e adolescentes, se houver.
• Fluxo de saída: para quem esses dados são enviados, incluindo contabilidade, folha de pagamento, plano de saúde, marketing e provedores de nuvem.
• Indicação de transferência internacional, quando o dado sai do país, o que inclui serviços de nuvem hospedados fora.
• Dono do processo em cada caso, na área de negócio, não na TI.
• Evidência: inventário em planilha ou ferramenta, com data da última revisão.

Um alerta prático: quase toda empresa descobre nesse levantamento pelo menos uma planilha com dados pessoais salva em um computador local, sem backup e sem controle de acesso. Encontrar isso é resultado esperado do inventário, não sinal de fracasso. O método geral de levantamento de ativos está em inventário de TI: o primeiro passo que quase toda empresa pula.

Bloco 3: base legal e finalidade

• Base legal declarada para cada tratamento do inventário. Consentimento é apenas uma das possibilidades e nem sempre é a mais adequada.
• Finalidade específica e registrada. Coletar por hábito, sem finalidade declarada, é o erro mais comum.
• Verificação de minimização: se o dado não serve à finalidade, ele não deveria estar sendo coletado.
• Revisão dos formulários do site, das fichas de cadastro e dos formulários de RH para remover campos desnecessários.
• Regra de descarte definida por tipo de dado, com prazo, e efetivamente executada.
• Quando houver consentimento, forma de registrar quando ele foi dado e de permitir que seja retirado com a mesma facilidade.
• Evidência: inventário com a coluna de base legal preenchida e histórico de consentimentos.

Bloco 4: direitos do titular

• Canal de atendimento ao titular publicado e funcionando de fato, com alguém monitorando.
• Procedimento interno para receber, registrar, verificar identidade e responder aos pedidos.
• Prazo interno de resposta definido, com responsável nomeado.
• Capacidade técnica de localizar todos os dados de uma pessoa nos sistemas da empresa. Sem inventário, esse item é impossível.
• Capacidade de corrigir, anonimizar ou eliminar o dado quando cabível, incluindo backups e cópias em sistemas secundários.
• Registro de cada pedido recebido e da resposta dada.
• Evidência: log de solicitações de titulares, com data de entrada e de resposta.

Bloco 5: fornecedores e contratos

• Lista de todo fornecedor que acessa, armazena ou processa dados pessoais em nome da sua empresa.
• Cláusula de proteção de dados nos contratos, definindo finalidade, obrigações de segurança e proibição de uso próprio.
• Obrigação contratual de comunicar incidentes à sua empresa, com prazo.
• Obrigação de devolver e eliminar os dados ao fim do contrato, com confirmação por escrito.
• Avaliação mínima de segurança do fornecedor antes da contratação, proporcional ao risco do dado envolvido.
• Atenção especial ao fornecedor de TI: ele costuma ter acesso amplo ao ambiente e frequentemente é o contrato menos revisado da casa.
• Evidência: contratos assinados com as cláusulas e a lista de fornecedores atualizada.

Esse bloco costuma ser o mais negligenciado, e é o que mais aparece em auditoria de cliente corporativo. Vale uma regra simples: se o fornecedor consegue ver dado pessoal da sua empresa, ele precisa estar na lista e ter cláusula assinada.

Bloco 6: segurança da informação

• Controle de acesso por perfil, com o princípio de dar a cada pessoa apenas o acesso de que ela precisa.
• Revisão periódica de acessos, com remoção imediata quando alguém sai da empresa ou muda de função.
• Autenticação multifator ativada, com prioridade para e-mail, acesso remoto, sistemas financeiros e contas administrativas.
• Sistemas e servidores dentro do suporte do fabricante e com rotina de atualização definida.
• Backup com regra clara, cópia fora do ambiente principal e teste de restauração comprovado.
• Registro de logs de acesso aos sistemas que guardam dados pessoais, preservados por prazo definido.
• Proteção de borda e monitoramento capaz de detectar comportamento anômalo.
• Regra para uso de dispositivos pessoais e para trabalho remoto.
• Cuidado com o mundo físico: documento em papel, sala de arquivo, controle de visitantes e descarte seguro.
• Evidência: matriz de acessos, relatório de atualizações aplicadas, comprovante do último teste de restauração.

Backup merece destaque porque é o item que responde simultaneamente por continuidade de negócio e por proteção de dados. O detalhamento está em política de backup: a regra 3-2-1.

Bloco 7: incidentes

• Plano de resposta a incidentes escrito, com papéis definidos e telefone de quem aciona quem, fora do e-mail corporativo.
• Critério para classificar o que é incidente de segurança com dados pessoais envolvidos.
• Procedimento de comunicação à ANPD e aos titulares afetados quando o incidente for relevante.
• Modelo de comunicação já redigido, com os campos que precisam ser preenchidos na hora, para não improvisar sob pressão.
• Registro de todos os incidentes, inclusive os que não geraram comunicação, com a justificativa da decisão.
• Ensaio periódico do plano, mesmo que em formato de conversa de mesa com os envolvidos.
• Evidência: plano versionado, registro de incidentes e ata do último ensaio.

O roteiro completo dessa etapa, incluindo o que a comunicação precisa conter, está em plano de resposta a incidentes: o que a LGPD manda comunicar à ANPD.

Bloco 8: pessoas e cultura

• Treinamento de LGPD para todo colaborador que toca dado pessoal, com registro de presença.
• Treinamento específico para as áreas de maior exposição: atendimento, comercial, RH e financeiro.
• Orientação prática sobre phishing e engenharia social, que é por onde a maior parte dos vazamentos começa.
• Termo de confidencialidade assinado por colaboradores e por prestadores pessoa física.
• Procedimento de desligamento que inclua devolução de equipamento e revogação de acessos no mesmo dia.
• Evidência: listas de presença, material aplicado e termos assinados.

Bloco 9: documentação do programa

• Programa de governança em privacidade formalizado, reunindo políticas, inventário, procedimentos e responsáveis em um conjunto coerente.
• Relatório de impacto à proteção de dados nos tratamentos de maior risco.
• Histórico de versões das políticas, com data de aprovação.
• Plano de ação vivo, com pendências, responsáveis e prazos, revisado periodicamente.
• Registro das decisões da direção sobre o tema, inclusive as de não fazer.
• Evidência: o próprio conjunto documental, organizado e datado. Este é o bloco que a dosimetria de 2023 reconhece como atenuante.

Como priorizar quando não dá para fazer tudo

Nenhuma média empresa executa esses nove blocos ao mesmo tempo. A ordem abaixo prioriza pelo que reduz mais risco por unidade de esforço.

Erros que aparecem em quase toda auditoria

• Comprar uma política pronta e guardar na gaveta. Documento que não descreve a sua operação não protege ninguém e é fácil de desmontar.
• Tratar LGPD como projeto de TI. A maior parte dos dados pessoais está em processos de RH, comercial e atendimento.
• Designar encarregado sem lhe dar tempo, autoridade nem acesso à direção. Cargo sem condição de exercício é formalidade vazia.
• Esquecer os dados dos próprios funcionários. Exame admissional, ficha de RH e dados de dependentes costumam ser os dados mais sensíveis da casa.
• Não revisar acessos após desligamento. Conta ativa de ex-funcionário é achado recorrente e indefensável.
• Coletar consentimento para tudo. Consentimento mal usado cria obrigação difícil de sustentar quando o titular pede a retirada.
• Parar depois da primeira onda. Conformidade é rotina com cadência de revisão, não entrega única.

Perguntas frequentes

Empresa pequena e média também precisa cumprir a LGPD?

Sim. A lei se aplica a quem trata dados pessoais, e porte não é critério de dispensa. Existem simplificações previstas para agentes de pequeno porte em algumas obrigações, mas o núcleo continua valendo: finalidade definida, base legal, segurança proporcional ao risco, atendimento ao titular e resposta a incidente. Vale lembrar que a única empresa privada multada até o levantamento era uma microempresa, o que já responde à ideia de que a fiscalização olha apenas para grandes companhias.

Qual o risco real de não estar em conformidade hoje?

O art. 52 da LGPD prevê 9 tipos de sanção, e a multa é só uma delas. Advertência, bloqueio dos dados e eliminação dos dados também estão na lista, e essas duas últimas podem interromper a operação de forma mais imediata que qualquer valor financeiro. Some a isso o custo de remediar às pressas, a exposição pública em caso de vazamento e a exigência crescente de clientes corporativos, que passaram a pedir comprovação de conformidade antes de contratar.

Ter um programa de governança reduz a punição se algo der errado?

O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção. Na prática, isso significa que documentar o que você fez tem valor concreto, e não apenas simbólico. É por isso que cada bloco deste checklist termina indicando a evidência a guardar: o programa que não pode ser comprovado, para efeito de análise, não existe.

Como a BS IT Solutions apoia essa agenda

Conformidade tem uma camada jurídica e uma camada técnica. A BS IT Solutions atua na camada técnica, que é onde a maior parte dos itens deste checklist é executada de fato: controle de acesso e revisão periódica, autenticação multifator, atualização de servidores e sistemas dentro do suporte do fabricante, backup com teste de restauração, monitoramento pelo NOC 24x7, proteção de borda e registro de evidência para auditoria. Trabalhamos junto com o jurídico ou com a assessoria de privacidade da sua empresa, sem substituir nenhum dos dois.

Se você quer saber quais itens da camada técnica já estão de pé no seu ambiente e quais estão apenas no papel, fale com um especialista da BS IT Solutions. O diagnóstico começa pelo inventário, que também é o primeiro item deste checklist.