O que a inconformidade com a LGPD custa a uma grande empresa — e como se mede esse risco?

A conformidade que existe no papel e não existe no sistema

O quadro mais comum em grandes empresas não é a ausência de LGPD — é a conformidade formal. Há política de privacidade publicada, canal do encarregado, portal para pedidos de titulares, às vezes até uma plataforma de gestão de consentimento contratada. E, ao mesmo tempo, o site dispara ferramentas de análise e de publicidade no instante em que a página carrega, antes de qualquer clique em «aceitar». A política descreve um sistema que o sistema não cumpre.

Esse descompasso é pior do que a ausência: a própria política reconhece que determinadas categorias de dados exigem consentimento — e prova, por escrito, que a empresa sabia.

As inconformidades mais comuns — e o que cada uma viola

Cada linha é uma infração potencialmente autônoma. É isso que faz o risco crescer: as infrações não se fundem em uma só.

A matriz de risco: probabilidade × impacto sobre o faturamento

A multa simples da LGPD é de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Para dimensionar, basta cruzar o porte com o número de infrações concorrentes:

A multa, porém, é só o custo mensurável. A publicização da infração atinge a confiança em um setor que vive dela; a suspensão do tratamento por até seis meses (prorrogável) significa, para uma empresa cujo negócio é processar dados de clientes, suspender a operação; a multa diária transforma omissões continuadas — um banner nunca ativado — em contador. E os titulares podem buscar reparação civil, inclusive coletiva.

Com esses parâmetros, a matriz ordena as correções. A probabilidade considera a visibilidade da falha (um rastreador disparando na página inicial é constatável por qualquer fiscal em minutos) e o histórico de atuação da ANPD; o impacto considera a dosimetria — gravidade, número de titulares, vantagem obtida, reincidência, boa-fé e cooperação.

O que a matriz costuma revelar é uma assimetria: as duas linhas críticas se corrigem em dias — ativar o bloqueio prévio e condicionar a publicidade ao consentimento —, e concentram a maior parte da exposição. O custo de sanear o conjunto é, em regra, uma fração pequena do risco que afasta.

A dupla regulação: LGPD e Banco Central

Uma instituição autorizada a funcionar pelo Banco Central responde a duas autoridades por fatos parecidos. A ANPD fiscaliza e sanciona o tratamento de dados pessoais. O Conselho Monetário Nacional e o Banco Central exigem, pelas normas prudenciais, uma política de segurança cibernética formalizada, gestão e comunicação de incidentes relevantes, controles sobre a contratação de serviços de processamento, armazenamento e nuvem — inclusive no exterior — e planos de continuidade. Sobre tudo isso paira o sigilo das operações financeiras.

Na prática, isso significa que:

• um incidente de dados pode exigir comunicação à ANPD (em três dias úteis) e ao Banco Central, com conteúdos e prazos próprios;
• o compartilhamento de dados com o Banco Central e a Receita é legítimo, mas precisa estar nomeado na política sob a base de cumprimento de obrigação legal ou regulatória — não «escondido» em finalidades genéricas;
• a seção de segurança da política não pode ser declaratória («usamos criptografia»): deve refletir a política cibernética exigida pelo regulador;
• contratos e portais que citam normas revogadas sinalizam ao fiscal governança desatualizada — e costumam ser o primeiro achado de uma inspeção.

Encarregado e plano de adequação: o que a lei exige e o que funciona

A LGPD exige que o controlador indique um encarregado (DPO) e divulgue publicamente sua identidade e contato, de forma clara e objetiva. A regulamentação da ANPD detalha suas atribuições — receber e atender titulares, receber comunicações da autoridade, orientar a empresa — e admite que a função seja exercida por pessoa natural ou jurídica, interna ou externa. Um e-mail ofuscado no rodapé não cumpre a exigência.

O plano de adequação que funciona é faseado pela matriz de risco, não pela ordem dos artigos da lei:

1. Bloqueio prévio e consentimento (semanas 1–2) — plataforma de consentimento em modo de bloqueio automático; publicidade e análise condicionadas ao aceite; banner com aceitar e recusar em igual destaque e granularidade por categoria.
2. Minimização (semanas 2–4) — vídeos incorporados em modo sem cookies; formulários e simuladores que só enviam dados após consentimento; painel de preferências acessível em todas as páginas.
3. Documental (semanas 3–6) — bases legais por finalidade; rol completo de direitos; critérios do perfilamento e canal de revisão; prazos de retenção; destinatários identificados; transferências com cláusulas-padrão; encarregado nomeado.
4. Governança (semanas 4–8) — contratos com operadores, procedimento de resposta a incidentes, registro das operações de tratamento (ROPA) e relatórios de impacto (RIPD), revisão periódica com validação técnica de que os bloqueios funcionam.
5. Setorial — normas do Banco Central atualizadas nos contratos e política cibernética aderente ao porte da instituição.

E uma advertência que a experiência confirma: conformidade é processo, não evento. As ferramentas de terceiros mudam cookies, modos de disparo e exigências de consentimento a cada versão; a ANPD publica novas resoluções e guias continuamente. A configuração conforme hoje deixa de sê-lo na próxima atualização — o que explica a adoção crescente do encarregado como serviço continuado, com revisão técnica periódica.

Por onde começar

• Meça antes de discutir: um diagnóstico técnico do que o site e os sistemas de fato coletam, comparado com o que a política declara.
• Ative o que já foi pago: plataformas de consentimento contratadas e não configuradas são o caso mais frequente — e o mais barato de corrigir.
• Monte a matriz com probabilidade e impacto em reais, e trate as linhas críticas na primeira quinzena.
• Nomeie o encarregado e publique o contato de forma legível.
• Trate a regulação setorial junto: para instituição supervisionada, LGPD e Banco Central são um único programa de conformidade, com dois destinatários.