Voltar ao blog
Equipe Topo

LGPD na contabilidade: a auditoria invisível que pode custar 2% do faturamento

Dados de sócios, funcionários e fornecedores nos balanços são dados pessoais. A ANPD já autuou empresas e a multa pode chegar a R$ 50 milhões por infração. O que mudou em 2025 e o que precisa estar no seu controle.

LGPDANPDcomplianceauditoriaprivacidade

O caso Telekall e o fim da fase de orientação

Em julho de 2023, a Autoridade Nacional de Proteção de Dados (ANPD) publicou no Diário Oficial sua primeira sanção financeira por descumprimento da LGPD. A empresa autuada foi a Telekall Infoservice. A multa, de R$ 14.400, foi simbólica em valor mas categórica em sinal. A ANPD saiu da fase de orientação e entrou na fase de fiscalização.

De lá para cá, o cenário mudou. Em 2025, com regulamentos específicos sobre sanções publicados e plano de fiscalização ativo, a ANPD passou a buscar infrações proativamente, sem depender apenas de denúncias. A multa pode chegar a 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração.

A pergunta não é mais se a fiscalização chega. É quando, e o que ela vai encontrar.

Por que contabilidade trata dado pessoal o tempo todo

Existe uma percepção comum de que LGPD é problema de quem opera marketing, atendimento, RH. A contabilidade, sob essa visão, lida com números, não com pessoas.

A realidade é outra. O razão contábil contém CPF de sócios em atas de distribuição de lucros. A folha de pagamento traz dados pessoais sensíveis de todos os funcionários. Notas fiscais identificam fornecedores e clientes pessoa física. Conciliações bancárias citam beneficiários por nome e documento. Anexos de auditoria incluem contratos com cláusulas que identificam pessoas naturais.

Todo esse conteúdo é dado pessoal sob a definição da LGPD. E todo ele transita por sistemas, planilhas, e-mails, anexos compartilhados. Cada movimento é, em tese, um tratamento de dado pessoal -- com base legal exigida e trilha de quem acessou o que.

O que a ANPD olha em uma fiscalização

A dosimetria que a ANPD aplica para definir o valor da multa não olha apenas o que aconteceu. Olha a postura.

  • Base legal de tratamento: existe? está documentada? aplica-se ao caso concreto?
  • Encarregado (DPO): foi indicado? a indicação foi comunicada publicamente?
  • Políticas e governança: existem? são seguidas? estão atualizadas?
  • Boas práticas: a empresa adota framework reconhecido? participa de programas?
  • Cooperação: respondeu prontamente às solicitações? trouxe transparência?
  • Medidas corretivas: adotou correção após identificar problema? em quanto tempo?

Boa parte desses critérios depende de uma coisa: evidência. Se a empresa diz que tem política de acesso, ela precisa mostrar quem teve acesso a que dado, quando, e com que base. Se diz que conciliações bancárias são revisadas apenas por usuários autorizados, ela precisa mostrar a trilha. Se diz que dados de sócios são consultados sob necessidade, ela precisa mostrar o log.

A trilha de auditoria como evidência de boa fé

Em uma fiscalização da ANPD, dois tipos de empresa se distinguem com clareza.

A primeira chega com discurso. Diz que tem cuidado. Diz que orienta o time. Diz que já pensou no assunto. Quando a ANPD pede evidência de quem acessou determinado dado em determinada data, a empresa precisa reconstruir. A reconstrução demora, e os ganchos para autuação se multiplicam.

A segunda chega com sistema. Cada alteração em dado sensível -- aprovar uma conciliação, anexar evidência, trocar o responsável -- está registrada com autor, data e hora. A trilha é só de inclusão, ordenada e filtrável. Quando a ANPD pergunta, a resposta é uma consulta.

Essa diferença não é cosmética. É ela que separa multa de advertência, e dentro da multa, separa mínimo de máximo. A "pronta adoção de medidas corretivas" -- um dos critérios explícitos de dosimetria -- só existe na prática para quem tem rastreabilidade.

Custar 2% do faturamento é o pior cenário; não ter resposta é o mais provável

A multa de 2% é a manchete. O cenário diário é mais sutil. É o pedido de informação da ANPD que chega por e-mail formal e exige resposta em prazo curto. É a demanda de um titular pedindo acesso aos próprios dados, que precisa ser respondida em até 15 dias com lista completa de tratamentos. É o incidente de segurança que precisa ser comunicado em prazo razoável, com descrição de medidas tomadas.

Empresas que tratam contabilidade como caixa preta -- onde só o time interno sabe quem acessou o que -- não têm como cumprir esses prazos. Empresas que tratam contabilidade como processo auditável respondem rápido, com evidência, sem fragmentar a operação.

A LGPD, por essa lente, deixa de ser regulamentação adicional. Vira teste de maturidade do controle interno que a empresa já deveria ter independente da lei.

Construir trilha de acesso, registro só de inclusão e respostas em prazo curto a partir de planilhas compartilhadas e infraestrutura improvisada é teoricamente possível -- e cansativo. A TOPO trata cada operação contábil como evento auditável por padrão, já preparado para uma fiscalização da ANPD. Conheça a auditoria nativa da plataforma.

Fontes