Compliance e LGPD: quais são as diferenças?

Resposta direta

Compliance e LGPD não são a mesma coisa. Compliance é uma forma de organizar a conformidade e a integridade da empresa diante dos riscos aplicáveis à sua atividade. A Lei Geral de Proteção de Dados Pessoais é uma lei específica, com princípios, direitos, papéis e obrigações para operações de tratamento de dados pessoais.

Um programa de compliance pode incluir uma frente de privacidade e proteção de dados. Isso não significa que cumprir a LGPD seja suficiente para cobrir anticorrupção, relações de consumo, contratos, concorrência ou regras setoriais. Também não significa que um código de conduta e um canal de denúncia sejam suficientes para adequar os fluxos de dados à LGPD.

Os dois campos compartilham métodos de governança: apoio da liderança, responsáveis definidos, avaliação de riscos, políticas aplicáveis, treinamento, controle de terceiros, canais de comunicação, monitoramento e correção. A diferença está no objeto, nas normas de referência, nas pessoas protegidas e nas evidências necessárias.

Por que os conceitos são confundidos

“Compliance” é usado em sentidos distintos. Em linguagem empresarial, pode indicar o sistema geral de conformidade da organização. Na regulamentação da Lei Anticorrupção, o Decreto nº 11.129/2022 utiliza a expressão “programa de integridade” para mecanismos voltados a prevenir, detectar e sanar desvios, fraudes, irregularidades e atos ilícitos contra a administração pública e fomentar cultura de integridade.

A LGPD, por sua vez, prevê regras de boas práticas e governança para dados pessoais. Ela permite que controladores e operadores formulem regras sobre organização, funcionamento, reclamações de titulares, segurança, padrões técnicos, obrigações, ações educativas, supervisão e mitigação de riscos. Também trata do programa de governança em privacidade, especialmente no art. 50.

Como ambos usam políticas, análise de riscos, treinamento e monitoramento, é fácil confundir a ferramenta com o objetivo. A mesma metodologia pode apoiar os dois programas, mas o conteúdo de cada controle precisa responder à norma e ao risco específico.

Comparação prática entre compliance e LGPD

Essa tabela resume, mas não cria fronteiras absolutas. Um incidente com dados pode revelar falha ética de funcionário, deficiência contratual de fornecedor e descumprimento da LGPD ao mesmo tempo. A resposta deve coordenar as frentes sem apagar suas responsabilidades próprias.

O que a LGPD exige examinar

Operações e finalidades de tratamento

A adequação começa pelo que a empresa faz com dados pessoais: coleta, acesso, uso, compartilhamento, armazenamento e eliminação. Cada operação precisa ter finalidade legítima e compatível, respeitar os princípios do art. 6º e encontrar hipótese legal adequada nos arts. 7º ou 11, conforme a natureza dos dados.

Consentimento é apenas uma das hipóteses legais. Usá-lo como resposta universal pode criar um fluxo incoerente, especialmente quando o tratamento decorre de contrato, obrigação legal ou exercício regular de direitos. A escolha deve refletir os fatos e ser documentada.

Controlador, operador e encarregado

O controlador toma as decisões referentes ao tratamento; o operador trata dados em nome do controlador. A classificação decorre da atuação concreta, e um contrato não corrige uma distribuição incompatível com a realidade.

O encarregado atua como canal de comunicação com titulares e ANPD e exerce as atribuições legais e regulamentares. A Resolução CD/ANPD nº 18/2024 complementa as regras sobre sua indicação e atuação. Há tratamento diferenciado para agentes de pequeno porte em situações previstas pela regulamentação; isso não equivale a dispensa geral de cumprir a LGPD.

Direitos, segurança e incidentes

A empresa precisa organizar o recebimento e a resposta a solicitações de titulares, verificar identidade e registrar decisões. Também deve adotar medidas técnicas e administrativas de segurança compatíveis com os riscos.

Quando ocorre incidente, nem todo evento gera automaticamente a mesma comunicação. A Resolução CD/ANPD nº 15/2024 disciplina a avaliação e a comunicação dos incidentes que possam acarretar risco ou dano relevante. Um plano deve prever triagem, contenção, preservação de evidências, avaliação jurídica e técnica, decisão, comunicação e aprendizado posterior.

Responsabilização e prestação de contas

A LGPD não se resume a textos externos. O princípio da responsabilização e prestação de contas exige demonstração de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados. Registros, decisões, testes, contratos e planos corretivos formam essa evidência.

O que um programa de compliance mais amplo acrescenta

Um programa empresarial pode tratar riscos que não envolvem dados pessoais. Exemplos incluem vantagem indevida a agente público, conflito de interesses, fraude, manipulação de registro, descumprimento de regra contratual, assédio, irregularidade em contratação e violação de regras setoriais.

As diretrizes da CGU para empresas privadas destacam que o programa precisa ser ajustado ao perfil de risco e funcionar na rotina, não apenas existir no papel. Apoio da liderança, autonomia da instância responsável, análise de riscos, políticas, comunicação, treinamento, diligência de terceiros, canal de denúncia, apuração e monitoramento são elementos importantes.

Na prática, a frente de proteção de dados pode integrar essa governança geral. Contudo, o canal de denúncia não substitui o canal de exercício de direitos dos titulares. A investigação interna não substitui a avaliação de incidente de segurança. A diligência anticorrupção de um fornecedor não substitui a análise de suas medidas de proteção de dados.

Para compreender o escopo mais amplo, veja o que é compliance digital e como ele se aplica às empresas.

Onde compliance e LGPD devem trabalhar juntos

Governança e reporte

As duas frentes precisam de responsáveis, recursos, acesso à liderança e critérios de escalonamento. A estrutura pode ser proporcional ao porte, mas não deve gerar conflito no qual ninguém tenha autoridade para interromper um processo de risco.

Terceiros e contratos

Um fornecedor pode representar simultaneamente risco de integridade, continuidade e proteção de dados. A diligência deve ser modular: perguntas e cláusulas variam conforme serviço, acesso, criticidade, localização, subcontratação e interação com o poder público.

Treinamento

É possível compartilhar uma agenda de treinamento, desde que os conteúdos sejam específicos. A pessoa que contrata software precisa saber avaliar acesso e subcontratados; quem atende titulares precisa conhecer o procedimento de resposta; quem negocia com agente público precisa conhecer regras de integridade.

Monitoramento e apuração

Indicadores podem ser acompanhados em painel comum, mas cada evento exige método próprio. Uma denúncia sobre uso indevido de uma lista de clientes pode demandar apuração de conduta, investigação técnica, avaliação de incidente e resposta ao titular. Compartilhar informações também deve respeitar necessidade, confidencialidade e regras de acesso.

Como estruturar os programas sem duplicar trabalho

1. Mapear obrigações e riscos por processo

Em vez de criar listas isoladas de leis, examine processos: venda, contratação, desenvolvimento, marketing, suporte, pessoas, pagamentos e relacionamento com o poder público. Para cada um, associe riscos de integridade, dados, consumo, contrato e regulação.

2. Definir proprietários e interfaces

Indique quem decide, quem executa, quem revisa e quem recebe escalonamento. Registre a interface entre jurídico, integridade, privacidade, tecnologia e gestores do processo, sem presumir que uma área absorva todas as competências.

3. Reutilizar controles somente quando fizer sentido

Cadastro de fornecedores, gestão de documentos e plataforma de treinamentos podem ser compartilhados. Critérios de aprovação, questionários, cláusulas e prazos devem variar com o risco. Padronização útil reduz retrabalho; padronização cega esconde diferenças.

4. Manter evidências e planos de correção

Uma política aprovada é o começo. Também devem ser preservados treinamentos, decisões, verificações, exceções, testes, incidentes e medidas corretivas. O prazo de conservação de cada registro precisa ter fundamento e não deve ser ilimitado por conveniência.

5. Revisar diante de mudanças

Novo produto, aquisição, integração tecnológica, entrada em setor regulado ou incidente relevante pode alterar o mapa. A revisão periódica deve ser acompanhada de gatilhos extraordinários.

Exemplo hipotético: contratação de uma plataforma de atendimento

Uma empresa pretende contratar uma plataforma que armazenará conversas com consumidores. Sob a ótica da LGPD, ela avalia finalidade, papéis de controlador e operador, categorias de dados, acessos, segurança, subcontratação, retenção, direitos dos titulares e incidentes.

Sob a ótica de compliance mais ampla, pode avaliar conflito de interesses na seleção, poderes de aprovação, integridade do fornecedor, aderência à política de compras, condições comerciais e risco de fraude. Sob a ótica consumerista, precisa verificar se a jornada de atendimento fornece informação e solução adequadas.

As avaliações se encontram no mesmo contrato, mas não são intercambiáveis. A conclusão depende da arquitetura, das decisões efetivamente tomadas e do setor da empresa.

Erros comuns ao integrar compliance e LGPD

• declarar “LGPD concluída” após publicar política de privacidade;
• inserir proteção de dados no código de conduta sem mapear operações;
• chamar todo fornecedor de operador, mesmo quando ele decide finalidades próprias;
• usar consentimento em qualquer tratamento, sem examinar outra hipótese legal;
• enviar toda denúncia com dados pessoais para muitas áreas, sem controle de acesso;
• tratar segurança como responsabilidade exclusiva da tecnologia;
• confundir canal do encarregado com canal de denúncia;
• conservar registros indefinidamente apenas para “ter evidência”;
• copiar matriz de riscos de outra organização;
• medir maturidade pela quantidade de documentos, e não por sua aplicação.

Perguntas frequentes sobre compliance e LGPD

1. Adequação à LGPD significa que a empresa está em compliance?

Não de forma geral. Ela cobre uma frente relevante, mas outros riscos e normas podem permanecer fora do escopo.

2. Um programa de compliance já existente cumpre a LGPD?

Não automaticamente. É necessário verificar operações de tratamento, papéis, hipóteses legais, direitos, contratos, segurança e demais exigências específicas.

3. O encarregado deve comandar todo o compliance?

A LGPD e a Resolução nº 18/2024 definem sua atuação em proteção de dados. A distribuição de outras funções depende da governança da empresa e não deve comprometer independência, acesso ou ausência de conflito.

4. O canal de denúncia pode receber pedidos de titulares?

Pode haver infraestrutura compartilhada, mas finalidades, acesso, prazos e tratamento precisam ser separados. Um pedido de acesso ou correção não é uma denúncia.

5. Toda empresa deve indicar encarregado?

A resposta depende da LGPD e da regulamentação aplicável, inclusive regras para agentes de pequeno porte. Eventual dispensa de indicação não elimina outros deveres nem o canal exigível.

6. Compliance e LGPD podem usar a mesma matriz de riscos?

Podem usar uma metodologia e um repositório comuns, desde que os critérios contemplem impactos próprios sobre titulares, integridade, operação e outras áreas. Uma pontuação única pode ocultar riscos distintos.

7. Certificação de segurança comprova conformidade com a LGPD?

Não integralmente. Ela pode demonstrar controles dentro de determinado escopo, mas não resolve finalidade, hipótese legal, transparência, direitos e contratos.

8. A LGPD exige consentimento em todos os casos?

Não. A lei prevê diferentes hipóteses legais. A escolha depende da operação e dos requisitos da hipótese utilizada.

9. Quem fiscaliza cada programa?

A ANPD possui competências sobre proteção de dados. Outros temas podem envolver CGU, autoridades setoriais, órgãos de defesa do consumidor e Judiciário. A competência depende do fato e da norma.

10. Qual programa deve ser implementado primeiro?

Não há ordem universal. Um diagnóstico conjunto permite priorizar riscos urgentes e aproveitar controles comuns sem interromper medidas já necessárias em proteção de dados ou integridade.

Conteúdos e serviços relacionados

A página de consultoria em LGPD descreve a atuação institucional relacionada a dados pessoais. Para distinguir os documentos de transparência mais frequentes, leia também termos de uso e política de privacidade são o mesmo documento?.

Diagnóstico integrado, decisões separadas

Integrar governança não significa misturar fundamentos. Cada controle precisa indicar qual risco enfrenta, qual norma utiliza, quem é responsável e como sua efetividade será demonstrada. Para apresentar o contexto da empresa e solicitar uma avaliação jurídica individualizada, acesse a página de contato. Este artigo é informativo e não substitui a análise do caso concreto.