Blog Industrial Nomus » Convidados » LGPD para negócios da indústria: o que você precisa saber do meio digital para lidar com a ANPD

LGPD para negócios da indústria: o que você precisa saber do meio digital para lidar com a ANPD

Atualizado em 22/07/26 - Escrito por Autor Convidado na(s) categoria(s): Convidados

A indústria brasileira sempre foi movida a chão de fábrica, máquina pesada e prazo apertado. Mas tem uma parte da operação que cresceu sem ninguém perceber direito: a digital. 

Portal do cliente, sistema de pedidos, ERP integrado, e-mail de vendedor, formulário de orçamento no site. Tudo isso coleta dados. E dados de gente, no Brasil, tem dono e tem lei.

A lei se chama LGPD, a Lei Geral de Proteção de Dados. E quem fiscaliza o cumprimento dela é a ANPD, a Autoridade Nacional de Proteção de Dados. Porque a fábrica também virou coletora de dados, mesmo que ninguém tenha assinado embaixo disso.

A ideia aqui é simples: mostrar o que muda de verdade no seu mundo digital, o que a ANPD olha quando resolve olhar, e por onde começar sem desespero.

Por que a indústria entrou no radar da proteção de dados

Durante muito tempo, o pessoal da indústria achava que LGPD era problema de banco, de varejo, de app de delivery. Faz sentido pensar assim: quem coleta mais dados pessoais é quem lida direto com o consumidor final, certo? Só que essa conta mudou.

Hoje a indústria opera com CRM cheio de contato de comprador, portal de fornecedor com CPF e dado bancário, sistema de RH com informação sensível de colaborador, câmera de reconhecimento na portaria, e um site que captura lead de cada visitante interessado. Cada um desses pontos é uma coleta de dado pessoal. E onde tem coleta de dado pessoal, tem LGPD.

Vale separar uma coisa importante logo de cara, porque muita gente confunde. Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa. Nome, e-mail, CPF, telefone, cargo numa empresa, foto, localização. Não precisa ser um dossiê completo. Basta que dê pra chegar em alguém.

Existe também o dado pessoal sensível, que é uma categoria mais delicada. Ele fala sobre origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico. Na indústria isso aparece mais do que se imagina: exame admissional, atestado médico, digital do funcionário no relógio de ponto, reconhecimento facial na catraca. Esse tipo de dado exige um cuidado redobrado, e a lei é bem mais rígida com isso.

Então não, LGPD não é assunto só de gigante da tecnologia. É assunto de qualquer empresa que tenha um site que capte contato, um sistema que guarde informação de cliente, ou um RH que arquive currículo. Ou seja: praticamente toda indústria no Brasil.

O digital multiplicou os pontos de coleta

Antes, o dado ficava numa ficha de papel na gaveta do escritório. Hoje ele está em nuvem, em planilha compartilhada, em ferramenta de automação de marketing, em chatbot do site, em integração entre um sistema e outro. Isso é ótimo pra eficiência, mas cada integração dessas é um lugar onde o dado passa, e cada passagem é uma responsabilidade.

Quando você conecta seu formulário do site a uma ferramenta de e-mail marketing, o dado do lead é guardado. Quando seu ERP conversa com o sistema de emissão de nota, um passa por ali. Quando você instala um pixel de anúncio no site pra remarketing, você está compartilhando comportamento de navegação com uma plataforma de terceiro.

O ponto não é parar de fazer isso. O ponto é saber que está fazendo, ter um motivo legal pra fazer, e conseguir provar isso se alguém perguntar.

Privacidade e consentimento não são a mesma coisa

Essa é a confusão número um do mercado, e é importante desfazer ela antes de seguir. Muita gente usa “privacidade” e “consentimento” como se fossem sinônimos.

Privacidade é um direito. É o estado de a pessoa ter controle sobre os próprios dados. É o fim que a lei quer proteger. Consentimento é uma das formas de chegar lá. É o gesto de a pessoa dizer “sim, pode usar meus dados pra isso”. É um pedido de licença, e nada mais.

Por que isso importa pra sua indústria? Porque o consentimento é apenas uma das bases legais que a LGPD prevê. E aqui mora outro erro comum: achar que todo tratamento de dado precisa de consentimento. Não precisa.

A LGPD traz dez bases legais no artigo 7º. Consentimento é só uma delas. As outras incluem coisas como cumprimento de obrigação legal, execução de contrato, legítimo interesse do controlador, proteção da vida, exercício regular de direitos, entre outras. Cada tratamento de dados que você faz precisa se apoiar em uma dessas bases. Nem sempre a base certa é o consentimento.

Um exemplo direto do seu dia a dia. Quando você guarda o dado de um comprador para emitir a nota fiscal, você não precisa de consentimento para isso. Você está cumprindo uma obrigação legal e executando um contrato de venda. O consentimento seria até esquisito ali. Já quando você pega o e-mail de um lead do site para mandar newsletter promocional, aí sim entra o consentimento, porque não existe contrato nem obrigação legal que sustente esse envio.

Entender essa diferença poupa muito trabalho e evita erro. Sair pedindo consentimento pra tudo é tão problemático quanto não pedir pra nada. O certo é mapear cada tratamento e escolher a base legal adequada pra ele.

Onde o consentimento realmente entra na indústria

Na prática industrial, o consentimento aparece com força em algumas frentes específicas do meio digital. Vale conhecer cada uma.

A primeira é o marketing digital. Se você faz campanha, captura lead, dispara e-mail promocional ou usa remarketing, boa parte disso caminha por consentimento ou por legítimo interesse bem justificado. Aqui o cuidado com o registro do “sim” é essencial.

A segunda são os cookies e tecnologias de rastreamento do site. Todo site industrial que usa analytics, pixel de anúncio ou ferramenta de comportamento está lidando com coleta que, na maioria dos casos, depende de consentimento. E é aqui que muita empresa se enrola, porque acha que basta colocar um aviso qualquer no rodapé e pronto. Não é bem assim, e vamos falar disso em detalhe mais à frente.

A terceira é a comunicação com o cliente por canais como WhatsApp e SMS. Mandar promoção por esses canais sem base legal clara é pedir pra receber reclamação. O titular do dado pode acionar a ANPD, e a coisa esquenta.

O que a ANPD faz e por que 2026 é diferente

A ANPD é a autoridade que fiscaliza e aplica as sanções da LGPD. Ela funciona como uma autarquia federal, com autonomia técnica, e é o órgão central de interpretação da lei no Brasil. Traduzindo: é ela quem decide, na ponta, se sua empresa está em dia ou não.

Por um bom tempo, a ANPD trabalhou num modo mais educativo. Ela orientava, alertava, dava prazo pra ajuste. As primeiras multas foram tímidas e pontuais. Isso criou uma sensação perigosa no mercado de que está tudo bem “deixar para depois”. 

O cenário mudou. A ANPD publicou em 2023 o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, que é a Resolução CD/ANPD nº 4/2023. Esse regulamento regulamenta os artigos 52 e 53 da LGPD e estabelece exatamente como a autoridade calcula o valor das multas e escolhe a sanção para cada caso. Antes disso, faltava o método pra aplicar multa pesada. Agora o método existe.

Com a régua de cálculo pronta, a fase de responsabilização começou pra valer. No fim de 2024, a ANPD notificou vinte grandes empresas de setores como tecnologia, telecom, educação, saúde e varejo por falhas como ausência de Encarregado ou de canal de atendimento adequado ao titular. Em 2025, a autoridade registrou cerca de 8.700 requerimentos de titulares, entre denúncias e petições, contra empresas que tratam dados. E existe um plano de fiscalização estruturado mirando 2026 e 2027.

A leitura correta é essa: a fase educativa está se encerrando e a fase de responsabilização está esquentando. Contar com “multa baixa” como estratégia é raciocínio de curto prazo. O jeito certo de pensar é olhar pro teto que se aplica ao seu faturamento, não pro que já foi cobrado dos outros.

As sanções que a ANPD pode aplicar

Vale conhecer as sanções, porque muita gente só ouve falar da multa e ignora o resto. O artigo 52 da LGPD lista as penalidades em ordem crescente de gravidade.

A primeira é a advertência, com prazo pra correção. A segunda é a multa simples, de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a 50 milhões de reais por infração. A terceira é a multa diária, que corre até a empresa regularizar, respeitando o mesmo teto. 

A quarta é a publicização da infração, ou seja, a ANPD divulga publicamente que sua empresa descumpriu a lei. As demais incluem bloqueio dos dados, eliminação dos dados, suspensão parcial ou total da atividade de tratamento e proibição do exercício da atividade.

Duas observações que costumam passar batido. A primeira: essas sanções não são excludentes entre si. A ANPD pode, na mesma decisão, aplicar advertência, multa simples, multa diária e publicização de forma cumulativa quando o caso justifica. A segunda: cada infração pode gerar uma multa separada. Se a autoridade identifica três infrações distintas na sua operação, a conta pode somar até três tetos.

Para uma indústria, a publicização é um risco que muita gente subestima. Ter o nome da empresa divulgado como infratora de proteção de dados afeta a relação com grandes compradores, com o mercado internacional e com licitações. Em setor onde reputação e contrato de longo prazo valem ouro, o dano de imagem pode doer mais que o cheque da multa.

Como a multa é calculada

O regulamento de dosimetria organiza o cálculo por gravidade. As infrações são classificadas em leves, médias e graves. Para infrações médias, o percentual aplicado sobre o faturamento fica numa faixa. Para infrações graves, a faixa sobe, podendo chegar ao teto de 2%.

A autoridade considera circunstâncias agravantes e atenuantes. Entre os agravantes estão a reincidência, a ampla difusão da infração e o dano a grupos vulneráveis. Entre os atenuantes estão a adoção de política de boas práticas e governança, a pronta adoção de medidas corretivas, a cooperação com a autoridade e a existência de um programa de conformidade documentado.

Guarde bem esse ponto porque ele é a chave de todo o texto: ter um programa de conformidade documentado é atenuante. Ou seja, a empresa que se organizou antes, que consegue mostrar seus registros, que tem processo e evidência, paga menos e sofre menos, mesmo quando algo dá errado. A organização prévia não é só pra evitar a multa. É pra reduzir o estrago quando o problema aparece, porque problema sempre pode aparecer.

Os riscos digitais mais comuns na indústria

Agora que o pano de fundo está claro, vamos ao que interessa: onde exatamente sua operação digital está exposta. Aqui separei as frentes que mais aparecem em empresa industrial, com o risco real de cada uma.

O site que coleta sem controle

O site institucional da indústria costuma ser tratado como cartão de visita, uma peça de vitrine que ninguém mexe há anos. Só que ele coleta dado. Tem formulário de contato, formulário de orçamento, chat, download de catálogo com cadastro, e quase sempre um monte de tecnologia de rastreamento rodando por baixo.

Analytics, pixel de rede social, ferramenta de mapa de calor, tag de anúncio. Cada uma dessas ferramentas coleta comportamento do visitante. E boa parte dessa coleta depende de consentimento válido antes de disparar. Quando o site dispara tudo isso no primeiro acesso, sem perguntar nada, ele está tratando dado sem base legal adequada. Isso é infração.

O agravante é que esse tipo de coleta acontece de forma silenciosa e em escala. Não é um formulário só. É todo visitante, todo dia, o tempo todo. Se a ANPD ou um titular resolver olhar, o rastro está lá, gravado no comportamento do próprio site.

O que a AdOpt faz nessa história

Aqui cabe explicar onde uma plataforma de gestão de consentimento entra, porque muita gente ainda acha que isso é só “aquele aviso de cookies”. Não é.

A AdOpt é uma CMP, sigla pra Consent Management Platform, ou plataforma de gestão de consentimento. O que o visitante vê é o banner. Mas o banner é só a ponta. O que opera por baixo é a infraestrutura: o escaneamento automático de todas as tecnologias de rastreamento do site, o bloqueio dessas tecnologias até o consentimento, o registro jurídico de cada “sim” e “não” com segurança pra auditoria, e a atualização contínua conforme a lei muda, sem você precisar fazer nada.

Essa é a diferença entre parecer estar em conformidade e estar de fato. Um banner solto na tela não bloqueia nada, não registra nada e não prova nada. A infraestrutura de consentimento faz as três coisas. E lembra do “provar” lá do começo? É exatamente isso. Quando a ANPD ou um titular perguntar se você tinha o consentimento daquela pessoa, o registro está lá, com data, hora e o que foi autorizado.

Privacidade não é um banner. É um posicionamento. Pra uma indústria que quer crescer com dado limpo, coletado de gente que disse sim de verdade, isso deixa de ser burocracia e vira ativo. Dado com consentimento vale mais, porque vem de quem confia o suficiente pra continuar.

Por onde a indústria deve começar

Chega de problema, vamos pra solução. Aqui vai um caminho pra um negócio industrial sair do zero e chegar num patamar defensável perante a ANPD.

Passo 1: mapeie o que você coleta

Não dá pra proteger o que você não conhece. O primeiro movimento é levantar todos os pontos onde sua empresa coleta e trata dado pessoal no meio digital. Site, formulários, CRM, ERP, ferramentas de marketing, canais de atendimento, sistema de RH, controle de acesso físico com biometria.

Pra cada ponto, anote três coisas: que dado é coletado, pra que finalidade, e por quanto tempo fica guardado. Esse levantamento é a base de tudo. Sem ele, qualquer ação seguinte é tiro no escuro.

Passo 2: defina a base legal de cada tratamento

Com o mapa na mão, associe cada tratamento a uma das dez bases legais da LGPD. A emissão de nota se apoia em obrigação legal e contrato. O envio de newsletter promocional se apoia em consentimento. A gestão de folha de pagamento se apoia em obrigação legal. E assim por diante.

Onde a base for o consentimento, você precisa de um mecanismo pra coletar e registrar esse consentimento. Onde for legítimo interesse, você precisa conseguir justificar por que aquele interesse é legítimo e não atropela o direito do titular. Esse exercício é o coração da conformidade.

Passo 3: arrume o consentimento do site

Como o site é o ponto mais exposto e mais fácil de corrigir, priorize ele. Implemente uma gestão de consentimento de verdade, com bloqueio automático das tecnologias não essenciais até o visitante autorizar, com opção real de aceitar e recusar, e com registro de cada escolha.

Isso resolve de uma vez a frente de cookies, que é onde a fiscalização de proteção de dados costuma bater primeiro no ambiente digital, porque é visível, é público e é fácil de verificar de fora. Qualquer pessoa consegue abrir seu site e ver se o consentimento está funcionando.

Passo 4: crie os canais e a documentação

A LGPD dá ao titular vários direitos: acessar seus dados, corrigir, pedir eliminação, saber com quem foram compartilhados. A empresa precisa ter um canal pra receber e responder essas solicitações. Um e-mail dedicado e um processo interno já resolvem o básico.

Além disso, é preciso indicar um Encarregado, também chamado de DPO, que é a pessoa responsável por essa interface com os titulares e com a ANPD. Lembra que a autoridade notificou vinte grandes empresas justamente por ausência de Encarregado ou canal? Pois é. Isso é item de checklist da fiscalização.

Documente tudo. Política de privacidade clara no site, registro das operações de tratamento, base legal de cada uso, evidências dos consentimentos. Essa documentação é o que transforma “acho que estou em dia” em “consigo provar que estou em dia”. E, de novo, é atenuante na dosimetria.

Passo 5: cuide da segurança e do plano de incidente

Por fim, não adianta consentimento perfeito e sistema furado. Invista em segurança da informação proporcional ao seu porte: controle de acesso, backup, atualização de sistema, treinamento do time contra phishing.

E tenha um plano de resposta a incidente pronto antes de precisar dele. Quem comunica, quem decide, em quanto tempo se avisa a ANPD e os titulares. Empresa que responde a incidente com plano e agilidade sofre muito menos do que empresa que entra em pânico e tenta esconder.

Conformidade não é custo, é diferencial competitivo

Dá pra encarar tudo isso como mais uma obrigação chata, mais um custo, mais uma dor de cabeça. Mas essa é a leitura preguiçosa. A leitura esperta é outra.

Indústria vende pra outras empresas, muitas vezes grandes, muitas vezes com operação internacional. E essas empresas estão cada vez mais exigentes com a conformidade de seus fornecedores. Ter proteção de dados organizada deixou de ser diferencial pra virar requisito em muitos contratos B2B. Quem não tem, perde negócio.

Tem também a questão do dado limpo. Uma base de leads coletada com consentimento real vale mais do que uma lista inflada de contatos que nunca disseram sim. Marketing com dado consentido converte melhor, tem menos reclamação, sofre menos com bloqueio e descadastro. É eficiência, não só compliance.

E tem a reputação. Num mercado onde confiança é escassa, cada sinal de responsabilidade conta. Uma indústria que respeita o dado de quem se relaciona com ela passa uma mensagem clara de seriedade. Isso pesa na hora de fechar contrato, de atrair talento, de construir marca.

Ignorar a LGPD é uma escolha de curto prazo com consequência de longo prazo. Organizar a casa é o contrário: um pequeno esforço agora que protege o negócio por anos. A ANPD está saindo do modo educativo e entrando no modo cobrança. A pergunta não é se a fiscalização vai chegar ao seu setor. É se você vai estar pronto quando chegar.

Perguntas frequentes sobre LGPD na indústria

A LGPD se aplica a empresas industriais mesmo sem venda direta ao consumidor?

Sim. A LGPD se aplica a qualquer empresa que trate dado pessoal, independentemente do setor ou de vender ou não ao consumidor final. Indústrias tratam dado de compradores, fornecedores, representantes, colaboradores e leads do site. Todo esse tratamento está sujeito à lei e à fiscalização da ANPD.

Quais são as multas que a ANPD pode aplicar a uma indústria?

A ANPD pode aplicar advertência, multa simples de até 2% do faturamento no Brasil limitada a 50 milhões de reais por infração, multa diária, publicização da infração, bloqueio ou eliminação de dados, e até suspensão ou proibição da atividade de tratamento. As sanções podem ser cumulativas e cada infração pode gerar uma multa separada.

Preciso de consentimento para todo dado pessoal que a indústria coleta?

Não. O consentimento é apenas uma das dez bases legais da LGPD. Muitos tratamentos se apoiam em outras bases, como obrigação legal, execução de contrato ou legítimo interesse. Emitir nota fiscal, por exemplo, não exige consentimento. Já o envio de comunicação promocional normalmente exige. O correto é definir a base legal adequada para cada tratamento.

Todo cookie do meu site precisa de consentimento?

Não. Cookies necessários, que fazem o site funcionar e garantem segurança, se apoiam em bases como legítimo interesse ou execução de contrato e não podem ser recusados. Já os cookies não essenciais, como os de análise e publicidade, exigem consentimento livre, informado e inequívoco do visitante antes de disparar.

Como a indústria deve começar a se adequar à LGPD no meio digital?

Comece mapeando todos os pontos de coleta de dado no digital, defina a base legal de cada tratamento, implemente uma gestão de consentimento real no site com bloqueio automático das tecnologias não essenciais, crie canais para atender os direitos dos titulares, indique um Encarregado e documente tudo. Essa documentação é atenuante na hora de uma eventual sanção da ANPD.

Autor do Artigo

Autor Convidado

Autores convidados diversos que auxiliam o Blog da Nomus a alcançar assuntos ainda mais amplos da gestão.

Encontre Autor Convidado nas redes sociais:

Veja mais artigos do Blog Industrial da Nomus:

Como escolher o aço certo para reduzir falhas na produção industrialQuais os melhores cursos para os profissionais da indústria?Paradas na produção: qual o impacto da indisponibilidade de peças na indústria?Como editar imagens e vídeos sem instalar softwares ou aplicativos