A fase educativa da LGPD acabou. A sua adequação sabe disso?

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) estabelece como organizações podem coletar, usar, compartilhar e guardar dados pessoais, exigindo base legal para cada finalidade, transparência com o titular, segurança da informação e prestação de contas. Por anos, muitas empresas trataram a conformidade como um projeto pontual: contrataram uma consultoria, produziram políticas, um inventário e um relatório — e arquivaram o PDF. O problema é que a operação muda todo mês: entram novos fornecedores, surgem novas finalidades, sistemas são trocados. A adequação-projeto envelhece, e o que sobra é a aparência de conformidade, não o programa que a sustenta.

O cenário regulatório mudou de fase e mudou o produto. A ANPD foi transformada em agência reguladora, com poderes ampliados de fiscalização, normatização e sanção. A postura orientativa deu lugar à atuação sancionadora: o Mapa de Temas Prioritários 2026–2027 explicita que incidentes de segurança serão objeto de fiscalização e sanção mais rigorosa, e multas diárias por descumprimento de medidas já estão previstas. As sanções vão de advertência e multa de até 2% do faturamento (teto de R$ 50 milhões por infração) à publicização da infração, bloqueio e eliminação de dados, até a suspensão da atividade de tratamento. Em paralelo, a via judicial avança: o STJ consolidou que a disponibilização indevida de dados pessoais gera dano moral presumido, com responsabilidade objetiva do gestor do banco de dados.

Privacidade operável é a resposta a esse cenário: transformar a lei em um programa vivo. Isso significa um ROPA mantido continuamente — o inventário das operações de tratamento com dados, finalidades, bases legais, compartilhamentos e prazos. Significa um fluxo de atendimento a titulares com prazo, identidade verificada e trilha, em vez de pedidos no improviso chegando por todos os canais. Significa um plano de resposta a incidentes ensaiado — detecção, avaliação de risco ao titular, comunicação à ANPD no prazo e evidências — porque o incidente é o momento da verdade. E significa governar os terceiros: cada operador que trata dados por você é sua responsabilidade, avaliado, contratado por DPA e monitorado.

O diferencial da LGPD Kavuka é nascer de quem opera dados em escala todos os dias. O Kavuka vive dos dois lados da lei — é operador de dados, com a governança que isso exige, e fornecedor de soluções de verificação. Por isso a privacidade verifica a identidade dos titulares com os motores da própria casa e avalia os operadores pela esteira KYS, o elo entre privacidade e gestão de terceiros que as ferramentas pontuais não têm. O resultado: a fiscalização deixa de ser medo, o questionário do cliente enterprise vira formalidade e a privacidade vira o que deveria ser — vantagem competitiva e habilitação comercial. A LGPD saiu da fase educativa; saia da fase do PDF.