Checklist de Auditoria LGPD para Pequenas Empresas
Para a primeira varredura de LGPD: mapeamento de dados, base legal, consentimento, terceiros e direitos do titular.
- Itens
- 23
- Seções
- 5
- Itens que abrem ação
- 18
O checklist completo
É exatamente o que vem pronto no Gestão MVD — nada resumido para esta página.
Este modelo é um ponto de partida. Ao entrar no Gestão MVD, ele vira uma cópia sua: você renomeia, acrescenta ou remove itens e seções, muda a ordem e escolhe como cada pergunta é respondida — são 18 tipos de campo, de conforme/não conforme a foto, nota, data e assinatura. A sua operação não precisa caber no nosso modelo.
1.Mapeamento de Dados Pessoais
Identificar quais dados pessoais a empresa coleta, onde armazena e por quanto tempo retém.
- Existe um inventário (registro) de quais dados pessoais a empresa coleta de clientes, funcionários e fornecedoresconforme / não conformese dá não conforme, abre um plano de açãopede foto
- A finalidade de cada coleta de dados está documentada e é legítimaconforme / não conformese dá não conforme, abre um plano de ação
- Existem prazos definidos de retenção e descarte dos dados pessoaisconforme / não conformese dá não conforme, abre um plano de ação
- A empresa coleta dados sensíveis (saúde, biometria, origem racial, opinião política, etc.)?sim / não
- Quantidade aproximada de titulares cujos dados são tratadosnúmeroaceita “não se aplica”
2.Base Legal e Consentimento
Verificar se há fundamento jurídico para cada tratamento de dados (art. 7º da LGPD).
- Cada tratamento de dados possui uma base legal definida (consentimento, execução de contrato, obrigação legal, etc.)conforme / não conformese dá não conforme, abre um plano de ação
- Quando o consentimento é a base legal, ele é coletado de forma livre, informada e inequívocaconforme / não conformese dá não conforme, abre um plano de ação
- Existe registro/evidência dos consentimentos obtidos (formulário, log, opt-in)conforme / não conformese dá não conforme, abre um plano de açãopede foto
- O titular consegue revogar o consentimento de forma fácilconforme / não conformese dá não conforme, abre um plano de ação
3.Transparência e Direitos dos Titulares
Avaliar canais de atendimento e cumprimento dos direitos previstos no art. 18 da LGPD.
- A empresa possui uma Política de Privacidade publicada e acessível (site, contrato, recepção)conforme / não conformese dá não conforme, abre um plano de açãopede foto
- Existe um canal claro para o titular solicitar acesso, correção ou exclusão dos seus dadosconforme / não conformese dá não conforme, abre um plano de ação
- Foi designado um encarregado pelo tratamento de dados (DPO) ou responsável internoconforme / não conformese dá não conforme, abre um plano de ação
- Nome/contato do encarregado ou responsável pela LGPD na empresatexto curtoaceita “não se aplica”
4.Segurança da Informação
Medidas técnicas e administrativas de proteção (art. 46 da LGPD).
- Acesso aos dados pessoais é restrito apenas a quem precisa (controle de acesso por perfil/senha)conforme / não conformese dá não conforme, abre um plano de ação
- Os sistemas e arquivos com dados pessoais possuem backup periódicoconforme / não conformese dá não conforme, abre um plano de ação
- Documentos físicos com dados pessoais ficam guardados em local seguro (armário trancado, sala restrita)conforme / não conformese dá não conforme, abre um plano de açãopede foto
- Senhas são individuais e há política de troca periódicaconforme / não conformese dá não conforme, abre um plano de ação
- Existe um plano de resposta para vazamento/incidente de dados (quem avisar, prazo, ANPD)conforme / não conformese dá não conforme, abre um plano de ação
5.Terceiros e Compartilhamento
Verificar contratos e fluxos de compartilhamento de dados com fornecedores e parceiros.
- Contratos com fornecedores que acessam dados pessoais (contabilidade, sistemas, marketing) têm cláusula de proteção de dadosconforme / não conformese dá não conforme, abre um plano de açãopede foto
- A empresa sabe quais dados são compartilhados com cada terceiro e com qual finalidadeconforme / não conformese dá não conforme, abre um plano de ação
- Ferramentas/serviços em nuvem utilizados oferecem garantias de conformidade com a LGPDconforme / não conformese dá não conforme, abre um plano de ação
- Nível de maturidade geral da empresa em LGPD (avaliação do auditor)nota
- Recomendações prioritárias e observações do auditortexto livreaceita “não se aplica”
E depois de responder?
No Gestão MVD isso não termina num papel
- A pessoa responde no celular, no lugar da verificação, e anexa foto onde o modelo pede.
- O que sai não conforme abre um plano de ação com responsável e prazo — são 18 itens assim neste modelo. A ação guarda de onde veio, então dá para provar o que foi feito depois do apontamento.
- A aplicação recebe nota, e o histórico mostra se a unidade está melhorando ou piorando.
- Quem aplicou assina no fim, e a assinatura fica no registro.