A adequação das empresas brasileiras à LGPD continua avançando de forma desigual. Enquanto grandes organizações do setor de tecnologia apresentam estruturas mais consolidadas de governança, muitas empresas ainda concentram a responsabilidade pela proteção de dados em poucos profissionais, frequentemente sem equipes dedicadas ou processos formalizados.
Os resultados da pesquisa Privacidade e Proteção de Dados Pessoais 2025, apresentada durante o 17º Seminário de Proteção à Privacidade e aos Dados Pessoais, mostram que apenas 20% das empresas brasileiras possuem uma área ou profissional especificamente dedicado ao tema da proteção de dados. Entre as grandes empresas, a proporção chega a 55%, evidenciando a influência do porte organizacional sobre o grau de maturidade das iniciativas.
Segundo o pesquisador do Cetic.br e coordenador do levantamento TIC Empresas, Leonardo Lins, o cenário reflete uma realidade em que a proteção de dados ainda está fortemente associada à estrutura disponível em cada organização.
“A maturidade varia conforme o porte e o setor da organização. O setor TIC é onde as práticas que investigamos aparecem de forma mais presente”, revelou. Para o pesquisador, as boas práticas tendem a surgir primeiro em grandes empresas e em segmentos mais intensivos em tecnologia, irradiando-se paulatinamente para o restante da economia.
A solidão do DPO
Um dos indicadores considerados centrais pela pesquisa é a nomeação do encarregado pelo tratamento de dados pessoais, ou DPO (Data Protection Officer). Apesar da crescente relevância do tema, a proporção de empresas que possuem essa função permanece em patamar reduzido desde o início da série histórica: era 17% em 2021, passou para 19% em 2023 e chegou a 14% em 2025.
Mais do que a quantidade, os pesquisadores destacam a forma como essa função está distribuída dentro das organizações.
Em 2025, 28% dos encarregados estavam vinculados à área de tecnologia da informação, 18% à área jurídica e 16% à área administrativa. “Nesse último caso, costuma ser o próprio dono”, comentou Leonardo Lins ao explicar a realidade encontrada em muitas pequenas empresas.
Durante o seminário, a diretora-executiva do InternetLab, Fernanda Campagnucci, chamou atenção para o que definiu como a “solidão do encarregado”. A expressão resume um cenário em que a responsabilidade pela adequação à LGPD recai sobre uma única pessoa, frequentemente sem equipe, orçamento ou apoio institucional suficientes para promover mudanças estruturais.
A descrição encontra respaldo nos próprios dados da pesquisa e na avaliação de Leonardo Lins. Segundo ele, especialmente nas pequenas empresas, o encarregado costuma ser alguém que acumula diversas funções simultaneamente.
Para os especialistas, a concentração das responsabilidades em uma única pessoa limita a capacidade das organizações de transformar proteção de dados em uma prática disseminada por diferentes áreas do negócio.
A predominância de profissionais da área de TI também revela como muitas organizações ainda tratam o tema sob uma perspectiva técnica.
Leonardo Lins observou que a presença de especialistas de TI na função não representa necessariamente um problema. O desafio surge quando a proteção de dados deixa de ser uma responsabilidade compartilhada e passa a ser encarada apenas como uma questão de sistemas e infraestrutura.
“É um tema interdisciplinar, que não deveria se restringir aos aspectos técnicos”, afirmou. Além da sobrecarga e da própria insuficiência de autoridade para mudanças estruturais, a abordagem exclusivamente tecnológica pode abrir outras lacunas. “A TI tende a focar nas normas de uso dos sistemas, mas não como as pessoas procedem no dia a dia”, reconheceu o pesquisador.
A observação ajuda a explicar outro indicador destacado durante o seminário: apenas 15% das empresas afirmam possuir inventário de dados pessoais, documento considerado fundamental para identificar quais informações são coletadas, onde são armazenadas, quem tem acesso e para quais finalidades são utilizadas.
Para Fernanda Campagnucci, esse é um dos sinais de que a adequação à LGPD ainda permanece concentrada em ações pontuais, sem necessariamente se converter em uma estratégia organizacional abrangente.
Muito risco, baixo valor
O advento de normas que responsabilizam quem coleta, armazena e utiliza dados pessoais, como o GDPR, da União Europeia, e a LGPD, contrapôs-se a uma tendência disseminada nos anos anteriores e que ajudou a motivar a criação dessas leis. As tecnologias de armazenamento e big data tornaram a coleta de dados tão barata que muitas organizações passaram a acumular informações sem definir previamente como seriam utilizadas. O que antes era um ativo de valor incerto tornou-se um risco evidente, devido às possíveis consequências de vazamentos ou usos indevidos.
A pesquisa também sugere que até hoje boa parte das empresas brasileiras mantém operações relativamente simples de tratamento de dados pessoais.
“Quando perguntamos para que servem os dados coletados dos clientes, a maioria responde que é para ‘entrar em contato’. Estratégias mais sofisticadas de segmentação e análise ainda são incipientes na maioria dos setores”, contou Lins.
O resultado indica que, embora o debate sobre inteligência artificial, personalização e uso avançado de dados esteja ganhando espaço, a realidade da maior parte das organizações brasileiras ainda está concentrada em processos relativamente básicos de armazenamento e gestão de informações pessoais.
O desafio de estender a LGPD à cadeia de valor
Outro ponto destacado na pesquisa é a dificuldade de disseminar práticas de proteção de dados ao longo das cadeias produtivas.
Mesmo entre empresas que já adotam procedimentos internos de conformidade, ainda são limitados os casos em que fornecedores e parceiros são formalmente cobrados a demonstrar conformidade com a LGPD.
Nos ecossistemas mais maduros, segundo Lins, o movimento tende a ocorrer de cima para baixo. Grandes empresas e organizações mais expostas a exigências regulatórias costumam liderar esse processo, que posteriormente alcança fornecedores e parceiros menores.
A velocidade dessa disseminação, contudo, varia de acordo com o setor econômico e com o grau de maturidade digital das organizações envolvidas.
Setor público apresenta avanços, mas desigualdades persistem
Na administração pública, a coordenadora da pesquisa TIC Governo, Daniela Costa, destacou que houve crescimento na existência de áreas ou responsáveis pela implementação da LGPD entre 2021 e 2025, especialmente nas prefeituras. No entanto, permanecem diferenças significativas entre capitais e municípios menores.
Entre as principais medidas adotadas pelas prefeituras estão a nomeação de encarregados de dados e a disponibilização de canais de atendimento para que cidadãos possam fazer solicitações relacionadas ao uso de informações pessoais.
Nos órgãos federais e estaduais, 62% já haviam nomeado encarregados de dados, 57% disponibilizavam canais de atendimento online e 52% publicavam políticas de privacidade em seus portais. Em contrapartida, apenas 44% possuíam programas de governança em privacidade e proteção de dados, e 43% haviam implementado planos de resposta a incidentes de segurança.
Daniela também chamou atenção para a importância da capacitação de servidores públicos para consolidar uma cultura de proteção de dados. Os dados da TIC Governo mostram que iniciativas de treinamento sobre LGPD alcançaram 95% dos órgãos do Judiciário, 83% do Ministério Público e 75% do Legislativo, mas ainda estavam presentes em apenas 61% dos órgãos do Executivo e em 35% das prefeituras com área de TI.
O levantamento aponta ainda desafios em áreas altamente sensíveis. Apenas 28% dos estabelecimentos públicos de saúde possuem documento formal definindo sua política de segurança da informação.
Já na educação, o avanço da digitalização amplia a relevância do tema. A pesquisa mostra crescimento das iniciativas voltadas à privacidade e à proteção de dados nas redes de ensino, ao mesmo tempo em que se expande o uso de plataformas digitais e ferramentas de inteligência artificial.
Segundo Daniela Costa, o aumento de debates, palestras e ações de conscientização sugere uma incorporação gradual do tema às rotinas educacionais, movimento impulsionado pela crescente preocupação com a proteção de crianças e adolescentes no ambiente digital.
Governança de dados no Brasil
Empresas
- 69% das empresas mantêm dados pessoais de clientes e usuários
- 58% armazenam dados de parceiros e fornecedores
- Apenas 20% possuem área ou profissional dedicado à proteção de dados
- Entre as grandes empresas, o índice sobe para 55%
- Somente 14% possuem encarregado de proteção de dados (DPO)
- 28% dos DPOs vêm da área de TI
- 18% atuam na área jurídica
- 16% estão na área administrativa
- Apenas 15% das empresas possuem inventário de dados pessoais
- O setor TIC apresenta os indicadores mais avançados de adequação à LGPD
Órgãos públicos
- 62% dos órgãos federais e estaduais já nomearam encarregados de proteção de dados
- 57% disponibilizam canais online para solicitações relacionadas a dados pessoais
- 52% publicam políticas de privacidade em seus portais
- 44% possuem programas de governança em privacidade e proteção de dados
- 43% contam com planos de resposta a incidentes de segurança envolvendo dados pessoais.
- 95% dos órgãos do Judiciário realizaram ações de capacitação sobre LGPD.
- O percentual é de 83% no Ministério Público e de 75% no Legislativo.
- Entre órgãos do Executivo, o índice cai para 61%.
- Apenas 35% das prefeituras com área de TI realizaram capacitações sobre o tema
- Somente 28% dos estabelecimentos públicos de saúde possuem política formal de segurança da informação
- As prefeituras ampliaram a adoção de estruturas voltadas à LGPD desde 2021, mas permanecem diferenças significativas entre capitais e municípios menores
