Como criar uma política de dados interna sem ter um time de dados (e sem perder semanas nisso)

Arthur Frota

A maioria das empresas médias adia a criação de uma política de dados por acreditar que é um projeto para quando tiver time técnico, orçamento de compliance ou tempo disponível na agenda. Nenhum dos três é pré-requisito para começar.

O número de denúncias contra empresas de pequeno porte na ANPD cresceu 37% no primeiro semestre de 2025, impulsionado por falhas em campanhas digitais e ausência de políticas básicas de privacidade. A fiscalização não espera a empresa estar pronta. E a política básica que protege da maior parte dos riscos práticos não exige especialista para ser escrita. Exige clareza sobre o que a empresa já faz com dados, e a decisão de colocar isso no papel.

Este post mostra o que entra numa política mínima, como escrever cada seção sem linguagem jurídica, o que fazer em uma hora e o que pode esperar a semana seguinte.

Por que uma política básica resolve mais do que parece

Uma política de dados não precisa ser um documento de 40 páginas revisado por advogado especializado para cumprir a função mais importante: deixar claro para o time o que é permitido, o que não é e o que fazer quando algo dá errado.

A conformidade não exige grandes investimentos, mas sim clareza sobre quem acessa as informações, como são armazenadas e qual o destino dos dados após o uso. Um documento de duas a três páginas, escrito em linguagem direta, compartilhado com o time e revisado uma vez por ano cobre a maior parte dos riscos práticos que a empresa enfrenta no dia a dia.

O que uma política básica resolve de imediato: o colaborador sabe quais dados pode compartilhar e com quem, o novo funcionário entende as regras antes de acessar o primeiro sistema, e a empresa tem documentação mínima para responder a uma solicitação de cliente ou a uma fiscalização da ANPD.

O que não resolve: não substitui um mapeamento completo de dados, não garante conformidade técnica avançada, e não cobre todos os requisitos regulatórios para empresas que tratam dados em larga escala ou dados sensíveis em volume. Para esse nível, um especialista é necessário. Para o nível básico que a maioria das empresas médias precisa urgentemente, o CEO pode começar hoje.

As 5 seções que toda política básica precisa ter

Seção 1: Definições

Essa seção responde a uma pergunta simples: o que conta como dado pessoal nesta empresa? Para fins práticos, dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, dados de pagamento, histórico de compras, localização, IP.

Essa seção não precisa ser longa. Dois parágrafos que definem dado pessoal, dado sensível (origem racial, saúde, biometria, crença religiosa) e dado corporativo são suficientes para que o time entenda o que está sendo protegido. Sem essa base, qualquer outra regra da política fica ambígua.

Seção 2: Controle de acesso

Quem pode acessar quais dados, com qual finalidade. A regra geral é o princípio do menor privilégio: cada pessoa acessa apenas o que precisa para fazer seu trabalho. Nessa seção, a empresa define que dados de clientes são acessíveis apenas para as áreas que têm finalidade legítima de uso, que dados financeiros são restritos ao financeiro e à direção, e que senhas de sistemas não devem ser compartilhadas entre pessoas.

Exemplos concretos que entram aqui: a planilha de contatos de clientes não fica em pasta compartilhada aberta para o time inteiro. O sistema de gestão tem acesso por perfil, não acesso genérico para todos. Colaboradores que saem da empresa têm acesso revogado no mesmo dia.

Seção 3: Retenção e exclusão

Por quanto tempo a empresa guarda cada tipo de dado, e o que acontece quando esse prazo termina. A LGPD exige que dados pessoais sejam eliminados após o término do tratamento, salvo exceções legais. Na prática, a política precisa definir: dados de clientes ativos ficam pelo tempo da relação comercial mais o prazo legal aplicável, dados de candidatos não contratados ficam por até seis meses salvo consentimento para período maior, e dados de colaboradores desligados seguem os prazos trabalhistas e fiscais.

Essa seção não precisa cobrir cada tipo de dado com precisão cirúrgica no primeiro documento. Precisa estabelecer um critério geral e nomear quem é responsável por revisar quando surgir dúvida.

Seção 4: Uso aceitável

O que o time pode e não pode fazer com dados da empresa. Essa é a seção mais diretamente ligada ao comportamento cotidiano, e as regras mais importantes são simples: dados de clientes não saem do ambiente corporativo sem autorização, ferramentas externas de IA não recebem dados pessoais ou informações confidenciais da empresa sem aprovação prévia, e-mails com listas de clientes não são encaminhados para contas pessoais, e compartilhamento de dado com terceiro exige verificação de necessidade e, quando aplicável, contrato de confidencialidade.

Essa seção também é onde entram as regras sobre ferramentas de IA. Com a explosão de uso de ferramentas não homologadas, a política precisa deixar explícito quais são aprovadas para uso com dados corporativos e o que nunca deve entrar nessas ferramentas.

Seção 5: Resposta a incidentes

O que fazer quando algo dá errado. Um incidente de dados pode ser um e-mail enviado para o destinatário errado, um dispositivo perdido com dados da empresa, ou um acesso não autorizado a um sistema. A seção não precisa cobrir todos os cenários possíveis. Precisa definir três coisas: a quem reportar, em quanto tempo, e o que não fazer enquanto o incidente está sendo investigado (como apagar evidências ou tentar resolver sozinho sem avisar ninguém).

A LGPD exige que incidentes com potencial de causar dano relevante aos titulares sejam comunicados à ANPD e aos titulares afetados em prazo razoável. Ter o fluxo documentado antes que o incidente aconteça reduz o risco de decisão errada sob pressão.

O que fazer em 1 hora versus o que entra na agenda da próxima semana

A divisão prática entre o que pode ser feito agora e o que pode esperar mais alguns dias reduz a paralisia de quem olha para o problema como um bloco único.

Em 1 hora, hoje:

Abrir um documento compartilhado com o título "Política de Dados da [Empresa]" e data de versão. Escrever as definições da Seção 1 em dois parágrafos, listando o que conta como dado pessoal no contexto do negócio. Definir a regra de acesso mais urgente, que quase sempre é: dados de clientes ficam restritos às áreas que precisam deles, e acesso de ex-colaboradores é revogado imediatamente ao desligamento. Nomear quem na empresa recebe o reporte de incidente de dados, mesmo que seja o próprio CEO inicialmente.

Esse documento de uma hora não está completo. Mas existe, tem dono e já resolve as lacunas mais básicas.

Na agenda da próxima semana:

Completar as seções de retenção, uso aceitável e resposta a incidentes com exemplos concretos do contexto da empresa. Compartilhar o documento com o time em reunião de 15 minutos, explicando por que existe e o que muda no dia a dia. Definir data de revisão anual no calendário. Para empresas que usam dados sensíveis ou têm volume relevante de dados de clientes, enviar o documento para revisão jurídica antes de comunicar como política oficial.

Como comunicar para o time sem criar burocracia

O maior risco de uma política de dados não é ela ser incompleta. É ela existir no papel e não existir na prática porque o time nunca entendeu o que mudou.

A comunicação mais eficaz não é um e-mail com o documento em anexo pedindo confirmação de leitura. É uma conversa de 15 minutos onde o CEO ou gestor explica o que motivou a criação da política, o que muda no comportamento cotidiano do time, e como reportar dúvida ou incidente.

Três mensagens que precisam ficar claras depois dessa conversa: dado de cliente não sai do ambiente da empresa sem autorização, ferramenta de IA não aprovada não recebe dado corporativo, e qualquer suspeita de problema com dados vai para a pessoa responsável antes de qualquer outra ação.

Regra simples e comunicada verbalmente tem mais chance de ser seguida do que documento completo que ninguém leu.

O alinhamento com a LGPD que a política básica já garante

Uma política básica com as cinco seções descritas cobre os princípios fundamentais da LGPD que mais aparecem em fiscalizações de empresas de menor porte: finalidade, adequação, necessidade, acesso restrito, segurança e responsabilização.

A LGPD se aplica a qualquer empresa, de qualquer porte, que realize tratamento de dados pessoais no Brasil. A lei reconhece as particularidades das empresas de menor porte e, pela Resolução CD/ANPD nº 2/2022, flexibilizou algumas obrigações, como a dispensa da obrigatoriedade de nomear um DPO para microempresas e empresas de pequeno porte. Mas a responsabilidade de proteger os dados pessoais permanece independente do porte.

O que a política básica não cobre e que pode ser necessário dependendo do perfil da empresa: relatório de impacto à proteção de dados (RIPD) para tratamentos de alto risco, cláusulas contratuais específicas com fornecedores que processam dados da empresa, e mapeamento formal de todas as operações de tratamento. Esses elementos entram numa agenda de conformidade mais avançada, não no documento de hora única.

Perguntas frequentes

Preciso de advogado para criar a política básica?
Para o documento inicial de uso interno, não. Uma política simples escrita em linguagem direta, com as cinco seções descritas neste post, já cumpre a função de orientar o time e documentar as decisões básicas da empresa sobre dados. Revisão jurídica faz sentido antes de comunicar a política como documento oficial, especialmente se a empresa trata dados sensíveis ou tem volume relevante de dados de clientes.

A política precisa ser pública ou fica só para uso interno?
Os dois documentos são diferentes. A política interna orienta o comportamento do time. A política de privacidade pública informa os titulares sobre como seus dados são tratados, e essa é exigida pela LGPD para qualquer empresa que coleta dados pessoais de clientes. Este post trata da política interna. A política pública pode ser criada em seguida, com base nas mesmas definições.

Com que frequência preciso revisar?
Revisão anual é o mínimo recomendado. Revisão imediata sempre que a empresa iniciar um novo tipo de tratamento de dados, como um novo sistema, uma nova parceria com fornecedor que acessa dados de clientes, ou o início de uso de ferramentas de IA na operação.

E se um colaborador não cumprir a política?
A política precisa prever isso: quais são as consequências de descumprimento e quem decide sobre elas. Sem essa previsão, a política existe mas não tem dentes. Na prática, a consequência para descumprimento não intencional é orientação e registro. Para descumprimento intencional com risco de dano, as medidas são mais sérias e precisam estar alinhadas com o RH e, em casos graves, com o jurídico.

A política protege a empresa de multa da ANPD?
Ter política não garante imunidade. O que ela faz é demonstrar que a empresa tem intenção de conformidade e processos definidos, o que é considerado pela ANPD na avaliação de sanções. Uma empresa sem nenhuma documentação de governança está mais exposta do que uma empresa com política básica bem comunicada, mesmo que imperfeita.

Fontes de referência