A Lei Geral de Proteção de Dados Pessoais, conhecida como LGPD, estabelece regras para o uso de informações relacionadas a pessoas naturais. Ela alcança atividades comuns, como preencher um cadastro, fazer uma compra, usar um aplicativo, contratar um serviço ou receber uma mensagem promocional.
A proteção não se limita aos dados armazenados na internet. Documentos impressos, planilhas, gravações, imagens e outras formas de tratamento também podem estar submetidos à lei.
Comece por aqui: cumprir a LGPD não significa apenas pedir consentimento. Quem utiliza dados pessoais precisa definir uma finalidade legítima, identificar a base legal adequada, coletar somente o necessário, informar o titular e proteger os dados durante todo o tratamento.
O que é a LGPD?
A LGPD é a Lei nº 13.709/2018. Ela disciplina o tratamento de dados pessoais realizado por pessoas naturais ou jurídicas, de direito público ou privado, e busca proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade.
Tratamento é um termo amplo. Inclui operações como coleta, acesso, classificação, armazenamento, compartilhamento, alteração, análise e eliminação de dados.
Dados pessoais, sensíveis e anonimizados
Identifica ou permite identificar
Nome, CPF, telefone e endereço são exemplos diretos. Localização, identificadores digitais e outros elementos também podem identificar alguém quando analisados em conjunto.
Exige proteção reforçada
A lei inclui dados sobre origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual e informações genéticas ou biométricas vinculadas a uma pessoa.
Não permite identificar o titular
Em regra, a LGPD não considera pessoal o dado que não possa ser associado a alguém por meios técnicos razoáveis e disponíveis no momento do tratamento.
Melhor interesse em primeiro lugar
O tratamento deve observar o melhor interesse de crianças e adolescentes e as exigências específicas previstas na LGPD e nas normas aplicáveis.
Quando a LGPD se aplica?
A lei pode alcançar operações realizadas no Brasil, tratamentos destinados à oferta ou ao fornecimento de bens ou serviços a pessoas localizadas no país e situações em que os dados tenham sido coletados no território nacional.
Existem exceções. Entre elas estão o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos e determinadas atividades jornalísticas, artísticas, acadêmicas, de segurança pública, defesa nacional e investigação penal, conforme as condições legais.
Atenção ao contexto: uma agenda pessoal mantida para uso particular não recebe o mesmo tratamento jurídico de um cadastro utilizado para vender produtos, administrar funcionários ou enviar publicidade.
Quem participa do tratamento de dados?
A pessoa a quem os dados pertencem
É a pessoa natural identificada ou identificável à qual as informações se referem.
Decide sobre o tratamento
É quem toma as principais decisões sobre por que e como os dados pessoais serão utilizados.
Trata dados em nome do controlador
Realiza operações de tratamento seguindo as instruções lícitas do controlador.
Atua como canal de comunicação
Recebe comunicações dos titulares e da ANPD, presta esclarecimentos e desempenha outras atribuições previstas na lei e na regulamentação.
Os princípios da LGPD
Ter uma base legal não basta. Toda atividade de tratamento deve respeitar princípios como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.
- Finalidade: utilizar os dados para propósitos legítimos, específicos e informados.
- Necessidade: limitar a coleta ao que realmente é necessário.
- Transparência: apresentar informações claras e acessíveis ao titular.
- Segurança e prevenção: reduzir riscos de acesso indevido, perda, vazamento ou uso ilícito.
- Não discriminação: impedir o tratamento para fins discriminatórios, ilícitos ou abusivos.
- Responsabilização: demonstrar a adoção de medidas capazes de comprovar o cumprimento da lei.
Consentimento não é a única base legal
Um dos erros mais comuns é imaginar que todo uso de dados depende de consentimento. A LGPD prevê diferentes bases legais. A escolha depende da finalidade, do tipo de dado e das circunstâncias concretas.
Manifestação livre e informada
Deve demonstrar concordância inequívoca para uma finalidade determinada. Autorizações genéricas não atendem às exigências da lei.
Cumprimento de uma norma
Pode justificar o tratamento necessário para atender uma obrigação legal ou regulatória do controlador.
Execução ou preparação contratual
Pode ser utilizada quando o tratamento for necessário para executar contrato ou procedimento preliminar solicitado pelo titular.
Exige avaliação cuidadosa
Não é uma autorização genérica. Seu uso exige finalidade legítima, necessidade, respeito às expectativas e aos direitos do titular, além de transparência e salvaguardas.
Também existem bases relacionadas à proteção da vida, tutela da saúde, exercício regular de direitos, estudos por órgãos de pesquisa, políticas públicas e proteção do crédito. Dados sensíveis seguem hipóteses próprias e mais restritas.
Quais são os direitos do titular?
A LGPD permite que o titular faça solicitações ao controlador. O exercício de cada direito depende dos requisitos legais, da base utilizada e das circunstâncias do tratamento.
- Confirmar se existe tratamento de seus dados e solicitar acesso.
- Corrigir informações incompletas, inexatas ou desatualizadas.
- Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
- Solicitar portabilidade, observadas a regulamentação e a proteção dos segredos comercial e industrial.
- Saber com quais entidades públicas e privadas houve compartilhamento.
- Receber informações sobre a possibilidade de negar consentimento e suas consequências.
- Revogar o consentimento e, nas condições legais, pedir a eliminação dos dados tratados com essa base.
- Opor-se ao tratamento realizado em desconformidade com a LGPD.
- Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
- Apresentar petição à ANPD e, em relações de consumo, aos órgãos de defesa do consumidor.
Como fazer uma solicitação sobre seus dados?
Identifique o canal oficial
Procure no site, aplicativo, contrato ou aviso de privacidade o contato indicado para assuntos relacionados a dados pessoais.
Descreva o pedido claramente
Informe se deseja confirmação, acesso, correção, esclarecimento sobre compartilhamento ou o exercício de outro direito.
Proteja sua identificação
O controlador pode adotar meios proporcionais para confirmar a identidade do solicitante. Evite enviar documentos por canais não oficiais.
Guarde os registros
Conserve o pedido, o protocolo, as mensagens recebidas e os documentos relacionados à solicitação.
Avalie os próximos canais
Se não houver resposta adequada, verifique os canais da ANPD e, quando existir relação de consumo, dos órgãos de proteção do consumidor.
O que empresas e organizações precisam fazer?
A adequação deve considerar a atividade, o volume de informações, os riscos e os tipos de dados utilizados. Copiar documentos prontos sem compreender as operações reais não demonstra conformidade.
- Mapear quais dados são coletados, para quais finalidades e por quanto tempo permanecem armazenados.
- Identificar a base legal adequada para cada finalidade.
- Evitar a coleta de informações excessivas ou sem utilidade definida.
- Apresentar avisos de privacidade claros, acessíveis e coerentes com a prática.
- Controlar acessos e adotar senhas, cópias de segurança, atualizações e outras medidas proporcionais aos riscos.
- Revisar contratos com operadores, fornecedores e parceiros que tenham acesso aos dados.
- Manter um canal para solicitações dos titulares.
- Preparar procedimentos para prevenir, identificar e responder a incidentes de segurança.
- Orientar as pessoas que trabalham com dados pessoais.
- Registrar decisões e medidas capazes de demonstrar conformidade.
Pequenos negócios também devem cumprir a LGPD?
Sim. Entretanto, a Resolução CD/ANPD nº 2/2022 prevê tratamento jurídico diferenciado para determinados agentes de pequeno porte. Esse regime pode permitir registros simplificados, prazos diferenciados e dispensa da indicação de encarregado.
A flexibilização não elimina a obrigação de respeitar os princípios, adotar uma base legal, proteger os dados e atender os direitos dos titulares. Além disso, nem todo pequeno agente pode utilizar o regime diferenciado. Tratamentos de alto risco e outros critérios previstos na regulamentação podem afastar alguns benefícios.
Na prática: o agente de pequeno porte que estiver dispensado de indicar encarregado ainda deverá disponibilizar um canal de comunicação para os titulares.
O que fazer em caso de incidente de segurança?
Um incidente pode envolver perda, destruição, alteração, acesso ou divulgação não autorizada de dados. A primeira providência é conter a situação, preservar registros e avaliar quais informações e pessoas foram afetadas.
Quando o incidente puder causar risco ou dano relevante aos titulares, o controlador deverá observar as regras de comunicação à ANPD e às pessoas afetadas. A Resolução CD/ANPD nº 15/2024 estabelece critérios, procedimentos e prazos para essa comunicação.
Não espere um incidente acontecer para começar: mantenha responsáveis definidos, contatos atualizados, cópias de segurança e um procedimento de resposta compatível com os riscos da atividade.
LGPD no marketing digital
O uso de e-mails, telefones, cookies, perfis de comportamento e listas de contatos precisa ter finalidade legítima e base legal adequada. O consentimento pode ser necessário em algumas situações, mas não deve ser tratado como a única possibilidade.
A comunicação deve permitir que a pessoa compreenda como seus dados são utilizados e exerça seus direitos. Também é importante evitar interfaces que confundam, pressionem ou dificultem escolhas. Entenda melhor esse tema no conteúdo sobre dark patterns e práticas abusivas.
Quais sanções podem ser aplicadas?
Após processo administrativo, a ANPD pode aplicar as sanções previstas na LGPD, de acordo com a gravidade e as circunstâncias da infração. Entre elas estão advertência, multa, divulgação da infração, bloqueio ou eliminação dos dados relacionados e suspensão de determinadas atividades de tratamento.
A multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado, do grupo ou do conglomerado no Brasil, excluídos os tributos e observados os critérios legais, limitada a R$ 50 milhões por infração.
Além das sanções administrativas, uma situação também pode produzir consequências civis, contratuais, consumeristas ou relacionadas a outras normas aplicáveis.
Checklist rápido de proteção de dados
- Sei quais dados pessoais são coletados.
- Consigo explicar por que cada informação é necessária.
- Identifiquei uma base legal para cada finalidade.
- Não utilizo consentimentos genéricos ou previamente marcados.
- Informo com clareza os usos e compartilhamentos relevantes.
- Tenho um canal para atender os titulares.
- Limito o acesso aos dados conforme a necessidade.
- Reviso o armazenamento e elimino dados quando não houver justificativa para mantê-los.
- Tenho um procedimento para responder a incidentes.
- Reviso periodicamente as práticas e os documentos de privacidade.
Fontes oficiais
Este conteúdo possui finalidade educativa e apresenta informações gerais. A aplicação da LGPD depende das características de cada atividade de tratamento.
