Resposta rápida: o que uma empresa estrangeira deve revisar para conformidade com a LGPD?
Comece confirmando se a LGPD se aplica às atividades voltadas ao Brasil. Depois, construa uma visão real do ciclo de vida dos dados, classifique papéis, documente finalidades e bases legais, revise transparência, fornecedores, transferências, direitos, retenção e segurança e crie evidências de governança contínua.
Use este checklist como diagnóstico, não como promessa de “100% de conformidade”. Algumas questões exigem análise jurídica, técnica ou setorial específica.
Principais conclusões
- Escopo vem antes de documentos.
- Data map e ROPA reduzem erros nas demais decisões.
- Consentimento não é a base legal padrão para tudo.
- Fornecedor e transferência internacional são análises diferentes.
- Direitos e incidentes precisam ser testados operacionalmente.
- Governança significa proprietário, prazo, evidência e revisão — não apenas políticas.
Como usar este checklist de 25 pontos
Classifique cada item como atendido, parcial, não atendido ou não aplicável. Para cada gap, registre responsável, prioridade, prazo e evidência esperada. Itens de alto risco devem receber tratamento mais rápido.
1–5. Confirme o escopo e construa a visão dos dados
1. Confirme se a LGPD se aplica a cada atividade voltada ao Brasil
Teste o Art. 3º separadamente por atividade. Pergunte onde ocorre o tratamento, se ele busca oferecer bens/serviços ou tratar dados de pessoas no Brasil e se os dados foram coletados enquanto o titular estava no país.
2. Identifique dados pessoais e dados pessoais sensíveis
Não limite o inventário a nome e e-mail. Inclua identificadores online, IP, IDs de dispositivo, dados de conta, geolocalização, pagamentos, suporte, logs, dados comportamentais e outras informações que possam se relacionar a pessoa identificada ou identificável. Dados sensíveis exigem análise específica do Art. 11.
3. Mapeie o ciclo de vida completo
Documente coleta, origem, sistemas, transformações, acessos, compartilhamentos, fornecedores, países, retenção, backups e exclusão. O mapa deve refletir a operação real.
4. Identifique controlador e operador por atividade
Uma empresa pode atuar como controladora em uma finalidade e operadora em outra. Não aplique um único rótulo global ao negócio.
5. Mantenha Registro das Operações de Tratamento
O Art. 37 alcança controladores e operadores, especialmente quando há legítimo interesse. Estruture um ROPA proporcional, ligado ao mapa de dados e atualizado por gatilhos de mudança.
6–10. Documente por que os dados são tratados e o que é informado aos titulares
6. Defina finalidade específica para cada tratamento material
Evite finalidades genéricas como “melhorar serviços” quando o processo real é publicidade comportamental, prevenção a fraude, atendimento ou analytics. A finalidade precisa ser concreta o bastante para orientar necessidade, base legal, retenção e transparência.
7. Atribua a base legal correta em vez de usar consentimento por padrão
O Art. 7º traz dez bases para dados pessoais não sensíveis. Escolha a hipótese conforme a finalidade e os fatos. Para dados sensíveis, pare e analise o Art. 11.
8. Se usar legítimo interesse, documente a avaliação
A orientação da ANPD recomenda teste de balanceamento, normalmente estruturado em finalidade, necessidade e balanceamento com salvaguardas. Quanto maior o impacto ou novidade do tratamento, mais robusta deve ser a documentação.
9. Revise a coleta e retirada do consentimento onde ele realmente é utilizado
Consentimento deve ser demonstrável, vinculado a finalidade determinada e passível de revogação facilitada. Autorizações genéricas podem ser inválidas.
10. Faça o aviso de privacidade refletir a operação real
A transparência deve explicar finalidades, forma e duração do tratamento, identidade e contato do controlador, compartilhamentos e direitos, além de outras informações relevantes ao contexto.
11–15. Revise o stack tecnológico ao redor do negócio
11. Inventarie cookies, analytics, pixels, SDKs e outros rastreadores
Liste tecnologia, finalidade, fornecedor, dados, duração, base, comportamento padrão e transferências. Um banner bonito sem inventário não resolve o problema.
12. Mapeie CRM, e-mail, WhatsApp, geração de leads e publicidade
Conecte formulários a listas, automações, públicos personalizados, remarketing, enriquecimento e supressão. Verifique se o uso posterior permanece compatível com a finalidade e a base documentadas.
13. Faça due diligence de fornecedores e suboperadores
Avalie papel, escopo, segurança, confidencialidade, incidentes, direitos, retenção, subprocessadores, transferências e offboarding. Certificações ajudam, mas não substituem análise contextual.
14. Analise transferências internacionais separadamente do contrato do fornecedor
Ter um DPA não significa automaticamente ter um mecanismo válido do Art. 33. Identifique exportador, importador, destino, finalidade, cadeia posterior e mecanismo aplicável.
15. Identifique tratamentos envolvendo crianças, adolescentes ou outros cenários de risco elevado
Esses tratamentos exigem atenção reforçada a melhor interesse, minimização, design, transparência e risco. O ECA Digital amplia a relevância para produtos digitais acessados por menores.
Neste ponto, um checklist curto começa a virar uma auditoria real. A qualidade depende das evidências por trás de cada resposta.
16–20. Teste se o processo realmente funciona
16. Crie e teste um fluxo de direitos dos titulares
Defina canal, verificação proporcional, triagem, busca, execução, resposta e registro. O Art. 19 prevê resposta simplificada imediata para confirmação/acesso ou declaração completa em até 15 dias, sem transformar esse prazo em regra universal para todos os direitos.
17. Revise decisões automatizadas e perfilamento
O Art. 20 é relevante quando decisões tomadas unicamente com base em tratamento automatizado afetam interesses do titular. Mapeie lógica, impacto, revisão e transparência onde aplicável.
18. Crie cronograma de retenção e exclusão
A LGPD não estabelece um único prazo para todos os dados. Conecte finalidade, necessidade, obrigações legais, exercício regular de direitos, encerramento do tratamento, backups e exclusão.
19. Implemente medidas técnicas e administrativas de segurança
O Art. 46 exige medidas capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. Revise identidade e acesso, autenticação, vulnerabilidades, backups, fornecedores, nuvem, endpoints, descarte e resposta a incidentes.
20. Crie processo de resposta e notificação de incidentes
A Resolução 15/2024 usa três dias úteis para comunicação externa quando presentes os critérios de reportabilidade. O operador deve informar o controlador sem demora injustificada. Registros de incidentes devem ser mantidos por pelo menos cinco anos.
21–25. Construa as evidências que mantêm o programa vivo
21. Avalie a obrigação atual de encarregado
Controladores, em regra, devem indicar encarregado, observadas dispensas aplicáveis. Para operadores, a indicação é facultativa no regime atual e pode ser boa prática.
22. Determine quando um Relatório de Impacto à Proteção de Dados Pessoais pode ser necessário
O Art. 38 permite que a ANPD determine ao controlador a elaboração de RIPD, inclusive em tratamento baseado em legítimo interesse. Tratamentos de maior risco merecem triagem proativa.
23. Treine pessoas conforme a função
Marketing, suporte, RH, produto, segurança e engenharia enfrentam riscos diferentes. Treinamento útil deve refletir os processos reais da organização.
24. Crie um tracker de remediação com responsáveis e prazos
Para cada gap, registre gravidade, responsável, ação, data, dependências e evidência de conclusão. Sem acompanhamento, a auditoria vira fotografia estática.
25. Estabeleça governança contínua de privacidade
Defina gatilhos de revisão: novo produto, fornecedor, país, uso de IA, categoria de dado, finalidade, mudança regulatória, incidente ou reclamação relevante.
Sinais de alto risco que merecem revisão mais rápida
- dados sensíveis em escala;
- crianças e adolescentes;
- decisões automatizadas com efeito relevante;
- monitoramento ou vigilância;
- publicidade comportamental complexa;
- grandes volumes ou grande número de titulares;
- uso de tecnologia emergente;
- transferência internacional sem mecanismo documentado;
- fornecedor crítico sem evidência de segurança;
- incidentes recorrentes ou falhas de resposta a direitos.
Como transformar o checklist em plano de remediação de 30 dias
Uma sequência prática é:
- Dias 1–7: escopo, mapa, sistemas, fornecedores e papéis.
- Dias 8–14: finalidades, bases legais, avisos, cookies e marketing.
- Dias 15–21: direitos, retenção, segurança, incidentes e transferências.
- Dias 22–30: contratos, evidências, treinamento, responsáveis e backlog priorizado.
O objetivo não é prometer conformidade completa em 30 dias, e sim criar visão, priorização, documentação e um plano executável.
Perguntas frequentes
Uma empresa estrangeira sem CNPJ pode estar sujeita à LGPD?
Sim. O Art. 3º não depende da existência de CNPJ ou filial brasileira.
Ter GDPR significa que a empresa já está em conformidade com a LGPD?
Não. Existem semelhanças, mas a LGPD e as regulamentações da ANPD têm particularidades próprias.
O checklist substitui revisão jurídica?
Não. Ele é uma ferramenta de triagem e implementação. Situações complexas ou de alto impacto podem exigir aconselhamento profissional.
É obrigatório ter todos os 25 itens “verdes” antes de operar?
Nem todos os itens terão o mesmo peso ou aplicabilidade. O essencial é identificar obrigações aplicáveis, risco, lacunas e evidências.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil