LGPD em 2025: o que ainda falta nas empresas brasileiras

O cenário da adequação à LGPD no Brasil

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) completou cinco anos de vigência efetiva em 2024. A Autoridade Nacional de Proteção de Dados (ANPD) já aplicou mais de R$ 10 milhões em multas e sanções, e o ritmo de fiscalizações aumentou significativamente em 2025.

Apesar disso, uma pesquisa da Fundação Getúlio Vargas (FGV) publicada em 2024 revelou que 62% das empresas brasileiras ainda não concluíram sua adequação à LGPD. O problema não é falta de intenção — é execução incompleta.

Os cinco pontos críticos de não-conformidade

1. Mapeamento de dados desatualizado ou inexistente

O Relatório de Impacto à Proteção de Dados (RIPD) e o inventário de dados pessoais são obrigações fundamentais. Mas mapear dados uma única vez não é suficiente: novos sistemas, integrações e fornecedores são adicionados continuamente.

Empresas com mapeamento deficiente não sabem responder a perguntas básicas: "Quais dados pessoais coletamos?", "Onde estão armazenados?", "Por quanto tempo ficam retidos?", "Quem tem acesso?".

Risco: A ANPD já autuou empresas por não conseguirem responder a requisições de titulares dentro do prazo de 15 dias previsto na lei.

2. Contratos inadequados com fornecedores (Operadores)

A LGPD define responsabilidades claras entre Controladores (quem define a finalidade do tratamento) e Operadores (quem trata em nome do Controlador). Qualquer fornecedor que acesse dados pessoais dos seus clientes ou colaboradores é um Operador.

O erro mais comum: contratos antigos que não contemplam cláusulas de proteção de dados, ausência de DPA (Data Processing Agreement), e fornecedores sem política de privacidade adequada.

3. Base legal inadequada para o tratamento

A LGPD lista 10 bases legais para tratamento de dados pessoais. Muitas empresas ainda tratam dados com base em "consentimento" quando poderiam usar bases mais adequadas e robustas como "execução de contrato" ou "legítimo interesse" — e vice-versa.

O consentimento, quando usado, deve ser específico, informado, inequívoco e revogável. Termos genéricos como "ao usar nosso site, você concorda com o uso dos seus dados" não atendem aos requisitos da LGPD.

4. Ausência de plano de resposta a incidentes

A LGPD exige comunicação à ANPD e aos titulares afetados em caso de incidente de segurança que possa acarretar risco. O prazo prático consolidado é de 72 horas (alinhado ao GDPR europeu).

Menos de 30% das empresas brasileiras possuem um plano de resposta a incidentes documentado e testado, segundo dados da ISC². Sem esse plano, a empresa descumpre a obrigação de notificação e agrava sua situação perante a ANPD.

5. DPO sem estrutura adequada

O Encarregado de Proteção de Dados (DPO) é obrigatório para a maioria das empresas que tratam dados pessoais em escala. Nomear um DPO é o primeiro passo — mas muitas organizações nomeiam alguém sem autoridade, orçamento ou tempo adequados para a função.

O DPO precisa ter acesso direto à alta gestão, independência para reportar não-conformidades e recursos para conduzir treinamentos, auditorias e revisões de processos.

O que a ANPD tem priorizado nas fiscalizações

Com base nas resoluções e dossiês públicos da ANPD, os setores com maior atenção regulatória em 2025 são:

• Saúde: dados de saúde são categoria especial com proteção reforçada
• Financeiro: integração com Open Finance gera novos fluxos de dados pessoais
• Educação: dados de menores exigem consentimento dos responsáveis
• E-commerce: compartilhamento extensivo com parceiros logísticos e de marketing

Próximos passos para sua empresa

1. Diagnóstico de maturidade: avalie onde sua empresa está em relação aos requisitos da LGPD
2. Priorize riscos: nem todos os gaps têm o mesmo impacto; foque no que gera maior exposição
3. Atualize contratos: revise fornecedores e implemente DPAs
4. Treine sua equipe: a maioria dos incidentes começa com erro humano
5. Documente tudo: em caso de fiscalização, evidências de boa-fé fazem diferença

A adequação à LGPD não é um projeto — é um programa contínuo. As empresas que entendem isso constroem vantagem competitiva real: clientes e parceiros preferem fazer negócios com organizações que demonstram responsabilidade no tratamento de dados.