Por Ricardo Maravalhas (*)
Uma empresa pode ter política de privacidade atualizada, contratos revisados e treinamentos em dia. Ainda assim, pode não saber responder a uma pergunta simples: onde estão, exatamente, os dados dos seus clientes? É nesse ponto que uma auditoria de privacidade deixa de ser um checklist e passa a revelar a realidade da operação. O objetivo não é apenas verificar se os documentos existem, mas confrontar aquilo que a empresa diz fazer com aquilo que efetivamente acontece no dia a dia.
Imagine um funcionário que exporta uma planilha de clientes para fazer uma análise, um fornecedor que passa a ter acesso a uma base ou uma ferramenta de inteligência artificial utilizada internamente sem ter sido avaliada pela área de privacidade. Nenhuma dessas situações necessariamente aparece em uma política ou em um inventário elaborado meses antes. Mas todas podem representar riscos.
O problema se torna ainda maior quando olhamos para terceiros. O Data Breach Investigations Report 2025, da Verizon, identificou participação de terceiros em 30% das violações analisadas, o dobro do registrado no levantamento anterior. Isso mostra que proteger os próprios sistemas já não é suficiente: é preciso entender também o que acontece quando os dados saem da empresa.
Outro ponto frequentemente esquecido é o armazenamento. A LGPD (Lei Geral de Proteção de Dados) não determina um prazo único para guardar dados pessoais, mas estabelece que o tratamento deve terminar quando a finalidade for alcançada ou quando os dados deixarem de ser necessários. A partir daí, a regra é a eliminação, salvo hipóteses específicas previstas no artigo 16, como o cumprimento de obrigação legal ou regulatória. Em outras palavras, “guardar porque um dia pode ser útil” não é, por si só, uma justificativa prevista na lei.
Há também uma questão cultural. A privacidade costuma ser lembrada quando existe uma auditoria, uma fiscalização ou um incidente, mas deveria estar presente nas decisões comuns do negócio. Cada nova ferramenta contratada, campanha criada, formulário desenvolvido ou processo automatizado pode alterar a forma como os dados são tratados. Se a governança só entra em cena depois da decisão tomada, ela deixa de prevenir riscos e passa a correr atrás deles.
Outro erro é imaginar que uma auditoria bem-sucedida é aquela que encontra poucos problemas. Na realidade, uma auditoria que não encontra nenhum ponto de atenção pode ser justamente a que merece mais questionamentos. Organizações complexas dificilmente possuem operações perfeitamente alinhadas em todos os departamentos. O valor do diagnóstico está em revelar as zonas cinzentas antes que elas se transformem em incidentes, retrabalho ou perda de confiança.
Por isso, talvez a pergunta mais importante de uma auditoria não seja “estamos em conformidade?” e sim: “a nossa operação funciona realmente como acreditamos que funciona?”.Uma auditoria madura encontra contradições, desperdícios e pontos cegos que os documentos não mostram e esse diagnóstico pode ter valor que vai muito além da LGPD: ajuda a empresa a organizar processos, reduzir exposição e tomar decisões melhores sobre seus próprios dados. No fim, a verdadeira auditoria de privacidade não procura apenas erros e sim aquilo que a empresa ainda não sabe que não sabe. E é justamente esse desconhecido que, muitas vezes, representa o maior risco.
(*) é fundador da “DPOnet” democratiza a Lei geral de proteção de dados (LGPD) para mais de 5.000 clientes. A plataforma Software as a service (SaaS) automatiza a governança com serviço de Data protection officer (DPO) integrado. A solução utiliza Business process outsourcing (BPO) e a “DPO Artificial Intelligence” para simplificar a segurança e a privacidade digital.
