O que o modelo contém
A barra de registro das operações governa quase tudo o que vem depois, e as duas linhas de ensaio existem porque processo que ninguém rodou não é processo:
- Montagem do programa e escopo — Responsabilidade nomeada e indicação do encarregado, definição de quem é controlador e quem é operador em cada atividade, quais entidades e quais leis incidem — LGPD sempre, GDPR quando houver oferta de bens e serviços ou monitoramento de titulares na União Europeia —, diagnóstico de lacunas e o fórum de governança. Marco: escopo, leis aplicáveis e papéis definidos.
- Registro das operações de tratamento — a fundação — Oficinas de descoberta com cada área, inventário de sistemas, mapeamento das atividades de tratamento e dos fluxos de dados, sinalização de dados pessoais sensíveis e de dados de crianças e adolescentes, e a validação do registro com quem é dono do processo. Marco: registro das operações estabelecido.
- Bases legais, retenção e transferências — Tudo derivado do registro: base legal por atividade entre as hipóteses da lei, teste de balanceamento onde se apoia em legítimo interesse, coleta e revogação de consentimento onde ele for a base, regras de retenção e eliminação, mapeamento das transferências internacionais e do mecanismo de cada rota, e avisos de privacidade reescritos a partir do que você realmente faz. Marco: bases legais e retenção aprovadas.
- Direitos do titular e capacidade de atendimento — Procedimento de requisição, verificação de identidade, canal de entrada divulgado, busca e extração nos sistemas, atendentes treinados, e um ensaio cronometrado de uma requisição completa de ponta a ponta contra o prazo legal. Marco: atendimento ao titular testado de ponta a ponta.
- Segurança e prontidão para incidentes — Revisão das medidas técnicas e administrativas, detecção e escalonamento, o procedimento de avaliação de risco e de decisão sobre comunicar, o registro de incidentes, e um exercício de mesa rodado contra o relógio, com a decisão de comunicar à ANPD e aos titulares sendo tomada de verdade no exercício. Marco: resposta a incidente ensaiada.
- Relatórios de impacto, fornecedores e operação contínua — Critérios de triagem e relatório de impacto à proteção de dados nos tratamentos de alto risco, adequação dos contratos com operadores e suboperadores, treinamento, e o processo de mudança que mantém o registro atualizado depois que o programa deixa de ser programa. Marco: posição defensável alcançada.
Como adaptar
- Divida as linhas de descoberta e de registro em uma por área ou unidade de negócio; uma linha única esconde a maior peça de trabalho do plano.
- Deixe explícito, logo na primeira fase, se você é controlador ou operador em cada atividade — se for operador, reconstrua as fases de direitos e de incidente em torno do dever de auxiliar e de comunicar ao controlador.
- Acrescente uma linha por rota de transferência internacional; o mecanismo aplicável e a avaliação mudam conforme o destino e o instrumento usado.
- Se você atinge titulares na União Europeia, mantenha barras separadas para as obrigações do GDPR em vez de uma barra única de privacidade. Os prazos são diferentes e misturá-los produz um plano que descumpre os dois.
- Alongue a fase de atendimento ao titular se os dados moram em muitos sistemas; a extração é quase sempre a parte longa, e não a análise jurídica.
- Acrescente linhas para qualquer interação já em curso com a ANPD, com órgão de defesa do consumidor ou com o Ministério Público, porque elas passam à frente do plano.
- Mantenha a última fase rodando depois do marco — o registro das operações se desatualiza no instante em que entra um sistema ou um fornecedor novo.
Dicas de cronograma
- Construa o registro antes das políticas. Política escrita antes de saber quais tratamentos existem descreve uma organização que você não tem, e a primeira requisição de titular expõe isso.
- Cronometre o ensaio. O resultado útil de uma requisição de treino é quantos dias levou e onde travou, e não se no fim o arquivo saiu.
- Ensaie a decisão sobre o incidente, e não só a resposta técnica. A parte difícil é avaliar risco relevante e decidir se comunica, e essa decisão precisa ser tomada por quem já a tomou antes.
- Registre por que você não comunicou. Se a avaliação concluir que o incidente não exigia comunicação, o raciocínio e o registro são o que defende a decisão depois.
- Não confunda LGPD com GDPR. São leis diferentes, com autoridades diferentes e prazos diferentes; um programa que trata as duas como sinônimos costuma aplicar o prazo errado justamente no dia em que ele importa.
- Coloque o registro dentro do processo de mudança. Fornecedor novo, sistema novo ou funcionalidade nova deve atualizar o registro por rotina, ou você vai reconstruí-lo daqui a dois anos.
Modelos relacionados
- Plano de certificação ISO 27001
- Cronograma de conformidade SOC 2
- Plano de auditoria interna
- Plano de projeto de migração de dados
- Plano de gestão da mudança organizacional
- Ver todos os modelos de gráfico de Gantt
Este modelo está em português. Páginas relacionadas ainda não traduzidas abrem em inglês.
Perguntas frequentes
Quanto tempo leva um programa de adequação à LGPD?
O modelo roda cerca de quinze meses até uma posição defensável. A maior parte disso é o trabalho de registro das operações e a instrumentação por trás do atendimento ao titular, e não redação jurídica. E vale dizer com clareza: o programa não acaba aí — o registro precisa de manutenção, relatórios de impacto se repetem, e fornecedores e sistemas continuam mudando.
Qual o prazo para responder a uma requisição de titular na LGPD?
A lei prevê resposta em formato simplificado imediatamente e, por meio de declaração clara e completa sobre origem, critérios e finalidade do tratamento, no prazo de quinze dias contado da data do requerimento. A dificuldade prática está no entorno: verificar identidade sem coletar mais dados do que o necessário, localizar a informação em vários sistemas e decidir o que fazer com pedidos manifestamente abusivos. Confirme a sua situação específica com o jurídico.
Existe prazo de 72 horas na LGPD?
Não é assim que a LGPD está redigida — as 72 horas são do GDPR. A LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante em prazo razoável, conforme definido pela autoridade, e coube à ANPD regulamentar esse prazo e o conteúdo da comunicação. Ou seja: consulte a regulamentação vigente da ANPD para o número atual, e não presuma que ele é igual ao europeu.
Quando o GDPR se aplica a uma empresa brasileira?
Quando ela oferece bens ou serviços a titulares que estão na União Europeia, ou monitora o comportamento deles no território europeu — e também quando trata dados no contexto de um estabelecimento na União. Nesses casos as duas leis incidem juntas, com autoridades e prazos próprios: um mês prorrogável por mais dois para a requisição do titular, sob o Artigo 12, e a notificação em até 72 horas do conhecimento sob o Artigo 33, salvo quando a violação for improvável de gerar risco. Planeje com dois conjuntos de prazos, e não com a média deles.
Por que o registro das operações vem antes de tudo?
Porque base legal, prazos de retenção, mecanismos de transferência, avisos de privacidade e relatórios de impacto são todos afirmações sobre atividades de tratamento específicas. Sem um registro do que são essas atividades, cada um desses documentos é escrito contra uma suposição. Programas que começam por uma biblioteca de políticas normalmente refazem tudo depois da descoberta.
Em que isso difere de ISO 27001 ou SOC 2?
A LGPD é lei e se aplica a você independentemente de qualquer certificado. A ISO 27001 é uma certificação acreditada contra uma norma de sistema de gestão de segurança da informação, e o SOC 2 é um relatório de asseguração emitido por auditor independente segundo os critérios do AICPA — nenhum dos dois é uma declaração de conformidade legal. A sobreposição de controles de segurança é grande e a evidência é reaproveitável, mas certificado não é defesa. Veja o plano de certificação ISO 27001 e a linha do tempo de conformidade SOC 2 se você estiver tocando esses trabalhos em paralelo.
O modelo de cronograma de LGPD é gratuito?
Sim. Downloads gratuitos em Excel, PowerPoint e CSV, e edição online gratuita, sem cadastro. Este modelo é um apoio de planejamento, e não aconselhamento jurídico.