LGPD na prática: o que sua empresa precisa fazer em sistemas e apps

A LGPD entrou em vigor em 2020, mas em 2026 a ANPD está finalmente aplicando multas pesadas — incluindo o teto de R$ 50 milhões por infração. Empresas que ignoraram a lei por anos estão sendo notificadas, processadas e, em alguns casos, tendo operações paralisadas até regularizarem.

Este guia não é jurídico — é prático. Vamos focar no que precisa mudar nos seus sistemas, apps e processos para ficar em conformidade real, não só "no papel". Se sua empresa coleta qualquer dado de cliente (nome, email, telefone, CPF), isso é para você.

Por que LGPD virou prioridade em 2026

Durante anos, muita empresa tratou LGPD como "problema do jurídico" — fez uma política de privacidade no rodapé do site e seguiu a vida. Em 2026, o jogo mudou. A ANPD passou a aplicar multas reais (não simbólicas), o STJ consolidou jurisprudência sobre indenização individual (acima de R$ 5 mil por vazamento), e o consumidor brasileiro começou a usar a lei como argumento de compra.

Os 4 motivos que tornam LGPD inadiável agora:

• Multas reais aplicadas: ANPD multou mais de 200 empresas em 2025, valores de R$ 50 mil a R$ 8 milhões
• Indenizações individuais: tribunais condenam empresas a pagar R$ 5-15 mil por titular afetado em vazamentos
• Auditorias B2B: grandes empresas exigem conformidade LGPD dos fornecedores na due diligence
• Concorrência pelo cliente: selo de privacidade virou diferencial percebido em e-commerce e SaaS

"Não adianta ter política de privacidade bonita no site se o sistema não tem botão para o cliente pedir exclusão dos dados. A ANPD audita o que funciona, não o que está escrito."
— Especialista em proteção de dados

O que a LGPD exige tecnicamente

A lei estabelece princípios — mas implementar em sistema real requer mudanças concretas. Estas são as 4 áreas onde a maioria das empresas precisa intervir:

1. Consentimento explícito e granular

Não basta um checkbox "li e concordo". A LGPD exige consentimento informado, específico e granular: o cliente precisa poder escolher exatamente para quê os dados serão usados. Ex: aceitar receber newsletter mas não compartilhamento com parceiros. Sistemas que não separam essas finalidades estão fora de conformidade.

2. Direitos do titular acessíveis

O titular tem direito a 9 ações sobre seus dados: confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento, revogação de consentimento e revisão de decisões automatizadas. Seu sistema precisa ter botões ou canais para cada um — e responder em até 15 dias.

3. Minimização e finalidade

Coletar só o necessário. Se seu app pede CPF, telefone e endereço para uma simples newsletter, isso é violação. Cada campo precisa ter justificativa de finalidade. Auditoria comum: por que você coleta data de nascimento se o sistema nunca usa?

4. Segurança e registro de incidentes

Senhas em texto puro, banco exposto sem firewall, backup sem criptografia — tudo isso é violação. A lei exige medidas técnicas razoáveis e, em caso de vazamento, comunicar a ANPD em até 2 dias úteis. Empresa que descobre vazamento em janeiro e comunica em março já leva multa pesada.

O checklist técnico de adequação

Para colocar sistemas e apps em conformidade, este é o checklist mínimo que toda software house séria implementa:

• Painel de privacidade no app/sistema: tela onde o usuário vê quais dados foram coletados, com botões para exportar, corrigir e excluir
• Trilha de auditoria (audit log): registro imutável de quem acessou quais dados pessoais e quando
• Criptografia em repouso e em trânsito: TLS no HTTP, criptografia AES no banco para campos sensíveis
• Anonimização para analytics: dados usados em BI/dashboards devem ser anônimos ou pseudonimizados
• Política de retenção: rotina automática que apaga dados cujo prazo de retenção expirou

Erros comuns que mantêm empresas fora de conformidade

Mesmo empresas que "fizeram LGPD" costumam ter buracos. Os mais frequentes:

• Política de privacidade copiada de outro site, sem refletir o que o sistema real faz
• Banner de cookies que não bloqueia rastreadores até o consentimento (consentimento "depois" não é consentimento)
• Funcionário antigo com acesso ao banco de dados meses depois de sair da empresa
• Planilhas com dados de cliente sendo enviadas por WhatsApp e e-mail entre equipes

Conformidade LGPD não é projeto único — é processo contínuo. Auditoria interna semestral é o mínimo razoável, e cada novo recurso do produto exige revisão de privacidade antes do lançamento.

Quanto custa fazer adequação (faixas reais 2026)

O investimento depende do porte e da maturidade atual. Faixas reais no Brasil em 2026:

• PME com 1-2 sistemas (e-commerce ou SaaS simples): R$ 25.000 a R$ 60.000 de adequação inicial + R$ 2.000-4.000/mês de governança
• Empresa média com 3-8 sistemas: R$ 80.000 a R$ 250.000 + R$ 5.000-10.000/mês
• Grupo empresarial com múltiplos sistemas e dados sensíveis: R$ 400.000+ inicial + R$ 15.000-40.000/mês (incluindo DPO terceirizado)

Comparado com multa potencial e perda de confiança, esse investimento se paga rápido. Empresa que vaza dado e demora a comunicar pode perder muito mais em ações judiciais do que economizou na adequação.

Como começar a adequação em 90 dias

Empresa que está zero em LGPD pode estar 80% adequada em 3 meses seguindo esta sequência:

1. Mapeie todos os dados (semanas 1-2): liste quais dados pessoais sua empresa coleta, onde estão armazenados, quem tem acesso e por quanto tempo são guardados
2. Identifique a base legal de cada uso (semanas 3-4): consentimento? execução de contrato? legítimo interesse? Cada finalidade precisa de uma base clara
3. Corrija o crítico primeiro (semanas 5-8): implemente painel de privacidade no app, ajuste banner de cookies, crie canal de exercício de direitos do titular
4. Reescreva a política e treine o time (semanas 9-10): política que reflete a realidade, treinamento obrigatório para todos que mexem com dados
5. Nomeie um DPO e implante governança (semanas 11-12): encarregado pelo tratamento de dados, processo de resposta a incidentes, calendário de auditorias

Conclusão

LGPD deixou de ser "tarefa do jurídico" e passou a ser projeto de tecnologia com impacto direto no produto. Em 2026, empresa que não tem adequação real está correndo risco financeiro alto e perdendo cliente para concorrente que tem.

Se você não sabe em que nível de conformidade sua empresa está, comece pelo diagnóstico. Se já sabe que precisa adequar, escolha uma software house experiente em LGPD para evitar refazer o trabalho. Adequação mal feita custa duas vezes mais que adequação bem feita.

Perguntas frequentes sobre LGPD em sistemas e apps

Minha empresa é pequena, preciso me preocupar com LGPD?

Sim. A LGPD se aplica a qualquer empresa que trate dados pessoais, sem distinção de porte ou faturamento. ANPD em 2025-2026 começou a multar PMEs também, principalmente em casos de vazamento ou denúncia formal de cliente. A diferença é o nível de exigência: empresa pequena com tratamento de baixo risco (cadastro de cliente para venda) precisa do básico (política de privacidade, base legal clara, canal para titular). Empresa que trata dado sensível (saúde, biometria, financeiro) precisa de adequação completa mesmo sendo pequena.

Posso usar dados de clientes antigos cadastrados antes da LGPD?

Sim, mas com regras. A LGPD não exige re-coletar consentimento de toda a base anterior se você tem outra base legal aplicável (execução de contrato, obrigação legal, legítimo interesse documentado). Para marketing direto e usos novos não previstos no cadastro original, você precisa de nova base legal — geralmente consentimento. O risco maior está em quem ignora o tema e mantém uso indistinto da base antiga: aí qualquer denúncia vira problema. O caminho seguro é fazer uma revisão de bases legais por finalidade.

Quanto custa adequar um sistema existente à LGPD?

Para sistema simples (CRUD de cadastros, sem dado sensível, sem integração com terceiros), adequação técnica fica entre R$ 15k e R$ 40k. Para sistema médio com módulos de relatório, exportação, integração ERP e dados de transações financeiras, sobe para R$ 40k a R$ 120k. Para plataforma complexa multi-tenant com dado sensível (saúde, financeiro), ultrapassa R$ 150k. O custo inclui: revisão de coleta, implementação de consentimento granular, logs de acesso, fluxo de exclusão e portabilidade, criptografia em repouso e em trânsito, treinamento da equipe.

O que é o DPO e preciso contratar um?

DPO (Data Protection Officer, ou Encarregado pela LGPD) é a pessoa responsável por mediar a relação entre empresa, titulares de dados e ANPD. A LGPD exige indicação de DPO, mas permite que seja função acumulada (não precisa ser dedicado em tempo integral) ou terceirizada. Para PME, contratar DPO externo (advogado especialista ou consultoria) fica em R$ 1k a R$ 5k/mês e atende sem inflar headcount. Para empresa que trata dado sensível em larga escala, DPO dedicado interno é recomendado.

Como saber se tive um vazamento de dados e o que fazer?

Vazamento se detecta com monitoramento técnico ativo: logs de acesso fora do padrão, alertas de SIEM, antivirus, WAF. Sem ferramenta de monitoramento, normalmente você só descobre quando o dado aparece na dark web ou um cliente reclama. Em caso de vazamento confirmado de dado relevante, a LGPD exige comunicar ANPD e titulares afetados em prazo razoável (a ANPD recomenda até 2 dias úteis em casos críticos). Ocultar vazamento é o pior caminho: multa por descumprimento da notificação soma à multa do incidente original.