O presente artigo tem por objetivo apontar o contexto que possibilitou a edição da Lei Geral de Proteção de Dados -13.709 - (LGPD) bem como, o impacto que o novo diploma legal causará nas empresas públicas brasileiras, que por ostentarem natureza jurídica de direito privado, independentemente do tamanho ou da complexidade da atividade explorada, deverão atender as disposições contidas na Lei 13.709. Ressaltamos o protagonismo que o departamento de auditoria interna deverá exercer na implementação e avaliação do programa de proteção de dados pessoais, para tanto, propomos uma metodologia para elaboração de programa de auditoria, embasada numa visão holística e sistemática, orientada à avaliação de compliance e da eficiência e eficácia dos processos de gerenciamento de riscos, controles e governança.