A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n. 13.709/2018, é o marco regulatório brasileiro para a proteção de dados pessoais. Em vigor desde setembro de 2020, com as sanções administrativas aplicáveis a partir de agosto de 2021, a LGPD estabelece regras claras sobre como organizações devem coletar, armazenar, tratar e compartilhar dados pessoais. Com a Autoridade Nacional de Proteção de Dados (ANPD) em plena atividade regulatória e fiscalizatória, entender suas obrigações sob a LGPD não é mais opcional — é uma necessidade operacional e jurídica.
Princípios da LGPD
A LGPD estabelece dez princípios no Artigo 6 que devem nortear todas as atividades de tratamento de dados pessoais:
1. Finalidade. O tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular. Não se pode coletar dados sem um objetivo claro e documentado.
2. Adequação. O tratamento deve ser compatível com as finalidades informadas ao titular. Os dados coletados devem ser pertinentes e proporcionais ao que é necessário.
3. Necessidade. Limitação do tratamento ao mínimo necessário para a realização de suas finalidades. Este princípio combate a coleta excessiva de dados.
4. Livre acesso. Garantia de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como a integralidade dos dados pessoais.
5. Qualidade dos dados. Garantia de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade para o cumprimento da finalidade do tratamento.
6. Transparência. Garantia de informações claras, precisas e facilmente acessíveis sobre o tratamento e os respectivos agentes de tratamento.
7. Segurança. Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
8. Prevenção. Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
9. Não discriminação. Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
10. Responsabilização e prestação de contas. Demonstração pelo agente de tratamento da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas.
A quem se aplica a LGPD
A LGPD tem aplicação ampla e extraterritorial (Artigo 3). Aplica-se a qualquer operação de tratamento de dados pessoais que:
- Seja realizada no território nacional
- Tenha por objetivo a oferta ou o fornecimento de bens ou serviços a indivíduos localizados no Brasil
- Envolva dados pessoais coletados no território nacional
Alcance extraterritorial. Uma empresa sediada em Portugal, nos Estados Unidos ou na Alemanha que ofereça produtos ou serviços a consumidores brasileiros ou que colete dados de pessoas no Brasil está sujeita à LGPD. Este alcance é comparável ao do RGPD europeu (Artigo 3 do RGPD).
- O presente regulamento aplica-se ao tratamento de dados pessoais efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante situado no território da União, independentemente de o tratamento ocorrer dentro ou fora da União.
— RGPD, artigo 3
Exceções. A LGPD não se aplica ao tratamento de dados realizado por pessoa natural para fins exclusivamente particulares e não econômicos, para fins exclusivamente jornalísticos, artísticos ou acadêmicos, ou pelo Estado para fins de segurança pública, defesa nacional e investigação criminal (Artigo 4).
Bases legais para o tratamento
A LGPD estabelece dez bases legais no Artigo 7 que autorizam o tratamento de dados pessoais. Toda operação de tratamento deve se fundamentar em pelo menos uma delas:
1. Consentimento do titular. Deve ser livre, informado, inequívoco e fornecido para uma finalidade determinada. O consentimento pode ser revogado a qualquer momento.
2. Cumprimento de obrigação legal ou regulatória.
3. Execução de políticas públicas pela administração pública.
4. Realização de estudos por órgãos de pesquisa.
5. Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular.
6. Exercício regular de direitos em processo judicial, administrativo ou arbitral.
7. Proteção da vida ou da incolumidade física do titular ou de terceiro.
8. Tutela da saúde em procedimento realizado por profissionais de saúde ou por entidades sanitárias.
9. Interesse legítimo do controlador ou de terceiro. Exige um teste de proporcionalidade (Artigo 10) que equilibre os interesses do controlador com os direitos e expectativas do titular.
10. Proteção do crédito.
Para dados sensíveis (Artigo 11), as bases legais são mais restritas: consentimento específico ou necessidade para cumprimento de obrigação legal, execução de políticas públicas, pesquisa, exercício de direitos, proteção da vida ou tutela da saúde.
Direitos dos titulares
O Artigo 18 da LGPD garante aos titulares de dados um conjunto amplo de direitos:
Confirmação e acesso. O titular pode solicitar a confirmação da existência de tratamento e o acesso aos seus dados pessoais.
Correção. Direito de solicitar a correção de dados incompletos, inexatos ou desatualizados.
Anonimização, bloqueio ou eliminação. Direito de solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
Portabilidade. Direito de solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa.
Eliminação. Direito de solicitar a eliminação dos dados pessoais tratados com base no consentimento.
Informação sobre compartilhamento. Direito de obter informação sobre as entidades públicas e privadas com as quais o controlador compartilhou dados.
Revogação do consentimento. Direito de revogar o consentimento a qualquer momento, mediante manifestação expressa.
Para uma comparação detalhada dos direitos dos titulares sob a LGPD e o RGPD, consulte nosso artigo LGPD vs GDPR: principais diferenças.
Encarregado de proteção de dados (DPO)
O Artigo 41 da LGPD determina que o controlador deve indicar um encarregado pelo tratamento de dados pessoais. O encarregado tem as seguintes funções:
- Aceitar reclamações e comunicações dos titulares e prestar esclarecimentos
- Receber comunicações da ANPD e adotar providências
- Orientar os funcionários e os contratados da entidade sobre as práticas de proteção de dados
- Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares
A ANPD pode estabelecer normas complementares sobre a dispensa de indicação do encarregado para agentes de tratamento de pequeno porte.
Relatório de impacto à proteção de dados pessoais
O Artigo 38 da LGPD prevê que a ANPD pode determinar ao controlador a elaboração de um relatório de impacto à proteção de dados pessoais (RIPD). Este relatório deve conter:
- A descrição dos tipos de dados coletados
- A metodologia utilizada para a coleta
- As medidas de segurança da informação
- A análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco
Embora a ANPD ainda não tenha regulamentado completamente os critérios para obrigatoriedade do RIPD, é altamente recomendável que empresas que tratam dados em grande escala ou dados sensíveis elaborem este documento preventivamente.
Transferências internacionais de dados
A LGPD regula as transferências internacionais de dados pessoais no Artigo 33. As transferências são permitidas quando:
- Para países ou organismos internacionais que proporcionem grau de proteção adequado
- Quando o controlador oferecer garantias de cumprimento dos princípios da LGPD (cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais)
- Mediante consentimento específico do titular
- Para cumprimento de obrigação legal ou regulatória
- Para cooperação jurídica internacional
A ANPD vem trabalhando na regulamentação dos mecanismos de transferência, incluindo cláusulas-padrão contratuais e critérios de adequação, em linha com os mecanismos do RGPD europeu.
Sanções e penalidades
O Artigo 52 da LGPD estabelece um regime de sanções administrativas aplicáveis pela ANPD:
Advertência. Com indicação de prazo para adoção de medidas corretivas.
Multa simples. Até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada no total a R$ 50 milhões por infração.
Multa diária. Observado o mesmo limite total de R$ 50 milhões.
Publicização da infração. Após devidamente apurada e confirmada a sua ocorrência.
Bloqueio dos dados pessoais a que se refere a infração até a sua regularização.
Eliminação dos dados pessoais a que se refere a infração.
Suspensão parcial do funcionamento do banco de dados por no máximo 6 meses, prorrogável por igual período.
Suspensão do exercício da atividade de tratamento de dados pessoais por no máximo 6 meses, prorrogável por igual período.
Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
A ANPD já aplicou sanções a empresas brasileiras, incluindo advertências e determinações de adequação, demonstrando que a fiscalização é ativa.
Quatro abordagens para conformidade com a LGPD
Contratar um advogado especializado
Custo: R$ 15.000 a R$ 50.000 para um programa de conformidade completo. Prazo: 4 a 8 semanas.
Um advogado especializado em proteção de dados pode conduzir um mapeamento completo dos fluxos de dados, elaborar políticas internas, treinar equipes e estruturar a resposta a incidentes. Recomendado para empresas com grande volume de dados ou dados sensíveis.
Usar uma ferramenta de IA genérica
Custo aparente: R$ 0. Custo real: as lacunas de conformidade que ela cria.
Ferramentas de IA genéricas podem gerar texto que se parece com uma política de privacidade, mas não auditam seus fluxos de dados reais nem garantem cobertura das dez bases legais e dos princípios da LGPD.
Copiar um modelo gratuito
Custo: R$ 0. Risco: elevado.
Modelos gratuitos são genéricos, frequentemente desatualizados e nunca adaptados à sua atividade específica. A ANPD espera que sua política de privacidade reflita suas práticas reais de tratamento.
Usar um gerador especializado de documentos legais
Custo: 19,90 € a 49,90 € (2 a 4 documentos consoante o pack, pagamento único) (≈ R$110 a R$275). Prazo: menos de 10 minutos.
Um gerador especializado faz perguntas direcionadas sobre sua empresa e produz uma política de privacidade que aborda as exigências da LGPD, incluindo as bases legais, os direitos dos titulares e as obrigações de transparência.
Para verificar rapidamente a conformidade do seu site, utilize o nosso scanner de conformidade gratuito. Consulte também a nossa comparação LGPD vs RGPD para entender as diferenças principais, e o nosso guia sobre a política de privacidade LGPD.
Conclusão
A LGPD transformou o cenário de proteção de dados no Brasil. Com princípios claros, bases legais definidas, direitos amplos dos titulares e sanções que podem chegar a R$ 50 milhões, a conformidade não é mais uma opção — é uma obrigação legal com consequências reais. A ANPD está ativa na fiscalização e na regulamentação, e o arcabouço normativo continua a se desenvolver. Cada dia sem conformidade é um dia de exposição desnecessária a riscos regulatórios e reputacionais. Aja agora para proteger sua empresa e a confiança de seus clientes.
