Política de privacidade institucional x política de privacidade externa: você sabe a diferença?
É comum que empresas tratem a política de privacidade como um documento único, publicado no rodapé do site e pronto. Mas, na prática da LGPD, esse documento público cumpre uma função bem mais limitada do que muita gente imagina.
A política de privacidade externa é a versão voltada ao titular de dados, normalmente disponibilizada no site ou aplicativo. Seu objetivo é informar, de forma clara e acessível, quais dados são coletados, para quê, com que base legal e como o titular pode exercer seus direitos (acesso, correção, exclusão, portabilidade, entre outros). É um documento de comunicação, pensado para ser lido por qualquer pessoa, sem jargão técnico excessivo.
Já a política de privacidade institucional (ou interna) é um documento de gestão, não de comunicação externa. Nela, o tratamento de dados é desdobrado em detalhe: fluxos de dados entre setores, bases legais aplicadas a cada operação específica, prazos e critérios de retenção, protocolos de resposta a incidentes, procedimentos para atendimento de requisições de titulares, e as regras que orientam a atuação do encarregado (DPO). Esse documento é o que sustenta, na prática, qualquer diligência de terceiros, auditoria de clientes ou parceiros, e principalmente qualquer processo fiscalizatório da ANPD.
Na rotina de atendimento a requisições de titulares, essa diferença fica ainda mais evidente. Quando um cliente ou colaborador solicita acesso, correção ou exclusão de seus dados, é a política institucional que orienta qual setor deve responder, em qual prazo, com base em qual fluxo de aprovação interna. Sem esse desdobramento, empresas acabam respondendo requisições de forma improvisada, o que gera inconsistência nas respostas e risco de descumprimento dos prazos previstos na LGPD.
Uma política externa bem redigida, sozinha, não comprova conformidade. Quando a ANPD abre um processo de fiscalização (como os que têm sido noticiados nas últimas semanas envolvendo dezenas de entidades), o que se exige é a documentação interna: mapeamento de dados, registro de operações de tratamento, evidências de governança. Empresas que têm apenas o documento público, sem o desdobramento interno, ficam expostas justamente no momento em que mais precisam demonstrar conformidade. O ideal é que os dois documentos existam, sejam coerentes entre si e estejam sempre atualizados.
© 2025 - Todos os direitos reservados | FD.law - Gustavo Tonet Fagundes Sociedade Individual de Advocacia
Itajaí - SC
Rua Samuel Heusi
nº 190, sala 701, Centro
CEP 88301-320
(47) 98806-7489