1. O problema mais comum: documento sem operação
Em muitos projetos, a LGPD para na criação de documentos: política de privacidade, termos, relatórios e treinamentos. Isso é necessário, mas não é suficiente. Conformidade real exige que a operação seja capaz de provar controles funcionando: acesso, rastreabilidade, respostas, retenção e segurança.
2. O que são evidências (e por que elas importam)
Evidência é qualquer registro técnico ou operacional que demonstre que um controle existe e foi aplicado. Exemplos: logs, relatórios de auditoria, trilhas de aprovação, registros de atendimento, inventários, evidências de backup, trilha de alterações e relatórios de incidentes.
Sem evidência, o processo vira opinião. Com evidência, vira governança.
3. Roteiro prático para sair do “papel”
- Mapear dados e fluxos: onde entra, onde fica, quem acessa, para onde sai.
- Definir controles: acesso, segregação, retenção, criptografia quando aplicável.
- Implementar trilhas: logs, auditoria, registro de solicitações e incidentes.
- Padronizar rotinas: revisão periódica, validações, checklists e evidência mensal.
- Preparar resposta a titulares: fluxo, prazos, registros e responsáveis.
4. Controles técnicos que mais geram maturidade
- Controle de acesso com revisão periódica e segregação de privilégios.
- Logs e auditoria (retenção, integridade e consulta fácil).
- Backup restaurável com teste documentado e trilha de execução.
- Gestão de vulnerabilidades (patching, hardening e baseline).
- Gestão de incidentes com registro e processo claro.
5. Resposta a titulares: onde a operação costuma falhar
Um ponto crítico é a ausência de um fluxo simples e rastreável para solicitações: recebimento, validação, tratamento, resposta e registro do encerramento. O objetivo não é burocracia; é previsibilidade e prova.
Ao estruturar isso, a empresa ganha controle interno e reduz risco jurídico.
6. Checklist mínimo de evidências
- Inventário de dados e sistemas (atualizado e versionado).
- Controle de acesso com trilha de concessões e revisões.
- Registro de solicitações de titulares (com prazos e histórico).
- Logs e auditoria de sistemas críticos (com retenção definida).
- Política de backup + evidência de restauração.
- Registro de incidentes e correções (quando houver).
A conformidade real exige diagnóstico estruturado, matriz de risco, evidências verificáveis e plano de ação priorizado.