LGPD e integridade corporativa: os dois programas que se sustentam

Duas leis, uma infraestrutura

A Lei nº 13.709/2018 (LGPD) e a Lei nº 12.846/2013 (Lei Anticorrupção) tratam de matérias distintas, mas exigem os mesmos elementos de governança: mapeamento de riscos, políticas escritas, treinamento, canal de reporte, monitoramento e alta administração comprometida.

Empresas que implantam os dois programas em projetos separados constroem duas vezes a mesma estrutura — e produzem duas matrizes de risco que não conversam. A integração não é economia de custo apenas; é condição de consistência.

O que o Decreto 11.129/2022 avalia

O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, estabelece os parâmetros de avaliação da efetividade de um programa de integridade. Entre eles:

• comprometimento da alta direção, com apoio visível e inequívoco;
• padrões de conduta e políticas aplicáveis a todos os empregados e administradores;
• extensão do programa a terceiros — fornecedores, prestadores, intermediários;
• treinamentos periódicos;
• análise periódica de riscos, com adaptação do programa;
• registros contábeis que reflitam integralmente as transações;
• controles internos que assegurem confiabilidade dos relatórios;
• canal de denúncias aberto e mecanismos de proteção ao denunciante de boa-fé;
• procedimentos de investigação e medidas disciplinares;
• diligência prévia em contratações e em operações societárias.

Onde os dois programas se sobrepõem

O canal de reporte é o exemplo mais claro: manter dois canais separados fragmenta a informação e confunde quem reporta. Um canal único com triagem por natureza da ocorrência resolve ambos os requisitos.

A camada contratual

Na LGPD, a relação com operadores exige instrumento que defina finalidade, escopo, medidas de segurança e responsabilidades — o contrato passa a ser peça de conformidade, não apenas comercial. As cláusulas mínimas incluem vedação de uso para finalidade própria, obrigação de notificação de incidente em prazo definido, e regras de eliminação ao término.

Na integridade, o vetor equivalente é a diligência prévia de terceiros, calibrada por risco: fornecedores que interagem com a administração pública demandam verificação mais profunda que fornecedores de insumo comum.

Há convergência normativa adicional: a Lei nº 14.133/2021 passou a exigir programa de integridade em contratações de grande porte, tornando a conformidade condição de acesso a mercado público — e não apenas mitigação de risco sancionatório.

Referenciais de sistema de gestão

Duas normas ISO oferecem estrutura auditável e podem ser adotadas como arcabouço comum:

• ISO 37001 — sistema de gestão antissuborno, com requisitos alinhados aos parâmetros do decreto;
• ISO 37301 — sistema de gestão de compliance, de escopo mais amplo, aplicável a obrigações regulatórias em geral, incluindo proteção de dados.

Para a camada de risco, o modelo COSO de gestde riscos corporativos fornece a taxonomia usualmente empregada — identificação, avaliação de probabilidade e impacto, resposta e monitoramento. Adotar taxonomia única de risco para privacidade e integridade permite que a alta administração leia uma matriz, não duas com escalas incompatíveis.