Por Que Seu Cliente Está Enviando Esse Questionário Agora
A LGPD atribui ao controlador de dados a responsabilidade por garantir que os operadores com quem trabalha também tratam dados pessoais de forma adequada. Isso significa que toda empresa que compartilha dados de clientes, colaboradores ou parceiros com fornecedores externos — um sistema de CRM terceirizado, uma plataforma de pagamentos, um escritório de contabilidade que acessa folhas de ponto — tem obrigação legal de verificar se esses fornecedores operam com controles mínimos de privacidade.
O questionário de due diligence é o instrumento mais comum para fazer essa verificação. Ele pode vir de um grande varejista para um fornecedor de software, de um banco para uma empresa de cobranças, ou de uma multinacional para qualquer prestador de serviço que acesse sistemas com dados pessoais de funcionários ou clientes. O porte do fornecedor raramente importa para o controlador: a obrigação de diligência existe independentemente de você ser uma empresa com cem colaboradores ou com dois.
Responder Bem vs. Responder Mal: A Distinção que Define o Resultado
Responder bem um questionário de LGPD significa mapear as perguntas por categoria antes de responder qualquer coisa, reunir as evidências documentais que já existem na empresa (não promessas sobre o que será feito), ser transparente sobre lacunas acompanhando-as de um plano de ação concreto e redigir respostas específicas atreladas à realidade atual da operação — não ao que a política de privacidade diz no papel.
Responder mal um questionário de LGPD significa usar respostas genéricas copiadas de modelos sem lastro documental, prometer conformidade futura sem base concreta, deixar em branco perguntas sobre não conformidades — ou, pior, respondê-las como se a conformidade existisse — e afirmar que a empresa “está em conformidade” sem uma única evidência que sustente essa declaração.
A diferença entre os dois caminhos não é apenas técnica. O cliente que envia o questionário tem, na maioria dos casos, experiência suficiente para distinguir uma resposta genuína de uma resposta cosmética. Respostas genéricas não passam pelo filtro de quem avalia centenas de questionários por ano — e quando passam, o risco se transfere para o cliente, que vai perceber isso mais tarde, de forma mais cara.
Passo 1: Mapear as Perguntas por Categoria
O primeiro erro de quem recebe um questionário de LGPD é tentar respondê-lo na ordem em que as perguntas aparecem, pergunta por pergunta, como se fosse um formulário de cadastro. Mas a estrutura de um bom questionário de due diligence agrupa temas que exigem fontes de evidência completamente diferentes — e a melhor forma de não perder prazo e não contradizer as próprias respostas é organizar as perguntas por bloco antes de escrever uma única resposta.
| Bloco de perguntas | O que costuma cobrir |
|---|---|
| Governança e documentação | Política de privacidade, inventário de dados, encarregado de dados nomeado. |
| Segurança da informação | Controles técnicos, gestão de acesso, criptografia. |
| Gestão de incidentes | Plano de resposta, procedimento de notificação. |
| Suboperadores | Quais fornecedores acessam os dados do cliente e sob quais condições. |
| Direitos dos titulares | Canal de atendimento, prazo de resposta. |
| Bases legais | Como o tratamento dos dados do cliente é fundamentado juridicamente. |
Ao organizar as perguntas por bloco, fica imediatamente visível quais áreas têm documentação disponível, quais têm lacunas e quais precisam de uma resposta que combine o que existe com um plano de ação para o que ainda falta. Essa visão de conjunto é o que transforma a resposta ao questionário de uma corrida contra o tempo em um exercício gerenciável.
Passo 2: Reunir Evidências — Não Redigir Promessas
A evidência mais importante para qualquer pergunta de conformidade é o documento que já existe — e não o compromisso de que ele será criado. Uma política de privacidade publicada, mesmo que imperfeita, vale mais do que uma afirmação de que “a empresa segue as diretrizes da LGPD”. Um registro de atividades de tratamento, mesmo que incompleto, é mais defensável do que uma declaração genérica de que “o inventário de dados está em processo de elaboração”.
Para cada bloco de perguntas, vale fazer um levantamento rápido das evidências disponíveis: a URL da política de privacidade e a data da última atualização, o nome e o contato do encarregado de dados nomeado (ou a justificativa documentada de que a empresa está enquadrada na exceção legal para não nomeação), o contrato padrão de operador de dados utilizado com seus próprios fornecedores, os registros de treinamento da equipe que acessa dados pessoais e o procedimento — mesmo que simples — de como a empresa responderia a um incidente de segurança.
Porém, é importante ser realista sobre o que a evidência prova. Um certificado ISO 27001 atesta controles de segurança da informação auditados por terceiros — mas a maioria das pequenas e médias empresas não tem essa certificação. O que ela tem, frequentemente, é um conjunto de controles práticos: senhas com autenticação de dois fatores, acesso por perfil com registro de logs, backup com criptografia. Esses controles precisam ser descritos com precisão, porque um cliente experiente prefere uma descrição honesta de controles simples a uma afirmação inflada sobre “infraestrutura de segurança robusta” sem nenhum detalhe técnico.
Passo 3: Transparência sobre Lacunas com Plano de Ação
O ponto que mais gera ansiedade em fornecedores que recebem um questionário de LGPD é o que fazer com as perguntas que não têm resposta positiva. A tentação é deixar a lacuna sem resposta, dar uma resposta evasiva ou afirmar uma conformidade que não existe. Todavia, as três alternativas são piores do que a honestidade direta.
Um cliente que descobre, durante a execução do contrato, que as respostas ao questionário não correspondiam à realidade da empresa tem base para encerrar o relacionamento comercial por quebra de confiança — além da exposição regulatória que isso gera para ele. A transparência sobre lacunas, acompanhada de um plano de ação específico com prazos realistas, é tratada pela maioria dos avaliadores experientes não como um problema, mas como um sinal de maturidade de governança.
A estrutura de uma resposta honesta a uma lacuna é simples: “Atualmente não temos [X]. Estamos implementando [ação específica] com previsão de conclusão em [prazo]. Neste momento, mitigamos o risco por meio de [controle compensatório existente].” Essa resposta não elimina a lacuna — mas demonstra que a empresa sabe onde está, para onde está indo e quais controles existem no caminho. É exatamente isso que o avaliador precisa ver para tomar uma decisão informada.
Quando o Prazo É Curto: O Que Priorizar
Em cinco dias úteis, não é possível construir um programa de privacidade do zero — mas é possível reunir, organizar e documentar o que já existe de forma clara e defensável. A prioridade, nesse cenário, é clara: responder com evidências o que tem resposta, ser honesto e propositivo sobre o que não tem, e não inventar o que não existe.
Ainda assim, há uma distinção que vale fazer antes de começar. Alguns questionários são pré-contratuais — enviados antes da assinatura de um contrato para avaliar se o fornecedor é um risco aceitável. Outros são de renovação — enviados para reavaliar um fornecedor com quem o cliente já trabalha. A diferença importa para o tom das respostas: no segundo caso, a relação comercial já existe e o cliente provavelmente tem familiaridade com a operação do fornecedor, o que abre mais espaço para uma conversa franca sobre lacunas e prazos de adequação.
Entretanto, em nenhum dos dois casos é recomendável pedir extensão de prazo sem ter sequer iniciado o processo. Solicitar mais tempo antes de fazer qualquer análise sinaliza, para o avaliador, que a empresa não tem os documentos básicos disponíveis — o que por si só é uma resposta sobre o nível de maturidade de conformidade.
O Que Não Fazer: Respostas que Constroem Risco em Vez de Credibilidade
Contudo, erros de conteúdo não são os únicos problemas em respostas a questionários de LGPD. Há erros de forma que comprometem a credibilidade antes mesmo de o avaliador checar os documentos.
Respostas copiadas de modelos genéricos de internet que não fazem referência à realidade específica da empresa são facilmente identificáveis — e transmitem a mensagem de que ninguém na organização se dedicou a responder de verdade. Respostas que afirmam “estamos em total conformidade com a LGPD” sem nenhuma evidência específica são, no mínimo, implausíveis — porque conformidade total é rara mesmo em grandes organizações com DPOs experientes. E respostas que contradizem outras respostas no mesmo questionário — afirmando na pergunta 12 ter um canal de atendimento ao titular funcional e deixando em branco a pergunta 28 sobre prazo de resposta a solicitações — sinalizam que as respostas foram redigidas sem uma revisão integrada.
Apesar disso, o erro mais comum e mais custoso é o silêncio sobre uma não conformidade relevante que o cliente descobre por conta própria depois. Nesse cenário, o problema não é mais a lacuna de conformidade — é a perda de confiança gerada pela omissão deliberada.
Conclusão: O Questionário É uma Oportunidade, Não Apenas uma Ameaça
Receber um questionário de due diligence de LGPD com prazo curto é desconfortável — mas a empresa que responde bem sai da situação com mais do que o contrato mantido. Ela sai com um diagnóstico atualizado do seu próprio nível de conformidade, com a documentação que deveria ter produzido de qualquer forma organizada em um lugar acessível e com uma relação comercial em terreno mais sólido do que antes.
Mas o ponto mais importante para quem está respondendo pela primeira vez é este: o cliente não espera perfeição. Ele espera honestidade, especificidade e evidência de que a empresa leva o tema a sério. Senão houver evidência de que o tema é levado a sério, a resposta ao questionário — por melhor que seja redigida — não vai convencer ninguém.
Para entender como estruturar o programa de privacidade que sustenta as respostas a esse tipo de questionário, veja também: Checklist de Adequação à LGPD: O Que a ANPD Exige nas Fiscalizações. Para compreender o processo de due diligence do ponto de vista de quem avalia fornecedores, veja também: Gestão de Operadores (Fornecedores) sob a LGPD: Contratos, Auditorias e Responsabilidade Solidária.
Perguntas frequentes (FAQ)
Suas dúvidas sobre responder questionários de LGPD
1. Preciso ter todas as evidências prontas antes de responder o questionário?
Não — mas precisa ser honesto sobre o que tem e o que não tem. Reúna as evidências existentes, organize as respostas com base na realidade atual da empresa e seja transparente sobre lacunas com um plano de ação concreto. O que o avaliador busca é confiabilidade, não perfeição. Uma empresa que documenta o que tem e apresenta um caminho claro para o que está construindo transmite mais credibilidade do que uma empresa que afirma conformidade total sem nenhuma evidência que a sustente.
2. O que fazer quando o questionário pergunta sobre certificações que a empresa não tem?
Seja direto: informe que a empresa não possui a certificação e descreva os controles equivalentes que existem em operação. Um cliente que pergunta sobre ISO 27001, por exemplo, quer entender qual é o nível de maturidade de segurança da informação do fornecedor — não necessariamente exigir o certificado como critério eliminatório. A resposta que descreve com precisão os controles técnicos existentes — autenticação de dois fatores, gestão de acessos por perfil, backups criptografados, política de senhas — é mais útil para o avaliador do que uma negação simples sem contexto.
3. Quanto tempo é razoável para responder um questionário de LGPD de um cliente?
O prazo é definido pelo cliente — e os mais comuns variam entre cinco e quinze dias úteis. Quando o prazo parecer insuficiente para reunir as evidências necessárias, é possível negociar uma extensão, mas com uma justificativa específica: quais documentos estão sendo levantados e qual prazo adicional seria necessário. Pedir extensão sem ter iniciado o processo sinaliza desorganização. Pedir extensão indicando que o DPO está consolidando os registros de controles técnicos para garantir precisão nas respostas sinaliza seriedade.
4. O que acontece se o cliente identificar que as respostas ao questionário não correspondiam à realidade?
As consequências dependem da gravidade da discrepância. Se o cliente identificar respostas imprecisas durante a execução do contrato — por exemplo, ao realizar uma auditoria in loco —, a relação comercial pode ser encerrada por quebra de confiança, independentemente de qualquer questão técnica de conformidade. Em contextos onde o contrato envolve tratamento de dados pessoais sensíveis, a omissão deliberada sobre não conformidades pode ainda gerar responsabilidade solidária ao controlador pelos danos causados a titulares, o que eleva a exposição de ambas as partes. Transparência desde o início é, nesse contexto, tanto uma postura ética quanto uma estratégia comercial mais segura.
