A Lei Geral de Proteção de Dados (LGPD) mudou a forma como empresas de todos os tamanhos coletam, guardam e usam informações de clientes, funcionários e fornecedores. Hoje, um cadastro de clientes, uma lista de contatos no WhatsApp ou uma planilha de currículos já envolvem obrigações legais.
Neste artigo, explicamos o que é a LGPD, quais dados ela protege, as obrigações das empresas, as multas e o passo a passo para adequar o seu negócio.
O que é a Lei Geral de Proteção de Dados (LGPD)?
A Lei Geral de Proteção de Dados é a Lei nº 13.709/2018. Ela define regras para qualquer operação com dados pessoais: coletar, guardar, usar, compartilhar ou apagar. A fiscalização é feita pela ANPD, hoje chamada Agência Nacional de Proteção de Dados.
Qual é o objetivo da LGPD (Lei nº 13.709/2018)?
O objetivo da LGPD é proteger os direitos fundamentais de liberdade e de privacidade das pessoas (art. 1º). Na prática, ela dá às pessoas mais controle sobre as próprias informações e exige das empresas transparência sobre o que fazem com elas.
A quem a LGPD se aplica?
A lei vale para qualquer pessoa ou empresa, pública ou privada, que trate dados pessoais, sem importar o porte ou o meio, digital ou em papel (art. 3º). Ela se aplica quando:
- o tratamento acontece no Brasil;
- os dados foram coletados no Brasil; ou
- o objetivo é oferecer produtos ou serviços a pessoas no Brasil.
Há exceções, como o uso pessoal e sem fins econômicos e os fins exclusivamente jornalísticos, artísticos ou acadêmicos (art. 4º).
Quando a LGPD entrou em vigor?
A Lei Geral de Proteção de Dados foi publicada em 2018, mas a maior parte das regras só começou a valer em 18 de setembro de 2020. As sanções administrativas, como as multas, passaram a ser aplicadas a partir de 1º de agosto de 2021, data definida pela Lei 14.010/2020 (Demarest).
Quais dados pessoais são protegidos pela LGPD?
A Lei Geral de Proteção de Dados protege informações sobre pessoas físicas. Dados de empresas, como CNPJ e razão social, não são dados pessoais, mas os dados dos sócios e funcionários são.
O que são dados pessoais para a LGPD?
Dado pessoal é qualquer informação que identifica uma pessoa ou permite identificá-la (art. 5º, I). Exemplos: nome, CPF, RG, endereço, telefone, e-mail, foto, placa de carro, endereço IP e dados de localização.
O que são dados pessoais sensíveis na LGPD?
São dados que, se mal usados, podem gerar discriminação. Por isso, têm regras mais rígidas (art. 5º, II, e art. 11). Incluem:
- origem racial ou étnica;
- convicção religiosa e opinião política;
- filiação a sindicato ou organização religiosa, filosófica ou política;
- dados de saúde e de vida sexual;
- dados genéticos e biométricos, como a digital usada no ponto eletrônico.
Nas empresas, eles aparecem com frequência em atestados médicos, exames ocupacionais e controle de ponto por biometria.
Qual é a diferença entre dados pessoais e dados anonimizados?
Dado anonimizado é aquele que não permite mais identificar a pessoa, considerando os meios técnicos razoáveis disponíveis (art. 5º, III). Um relatório que diz “30% dos clientes têm entre 25 e 34 anos”, sem nomes ou dados que levem a alguém, é um exemplo.
Dados realmente anonimizados ficam fora da LGPD. Mas, se for possível reverter o processo e identificar a pessoa, eles continuam sendo dados pessoais.
Quais são os princípios e as bases legais da LGPD?
Toda operação com dados precisa respeitar os princípios da Lei Geral de Proteção de Dados e estar apoiada em pelo menos uma base legal, ou seja, um motivo previsto na lei.
Quais são os princípios que orientam o tratamento de dados?
Além da boa-fé, a LGPD lista 10 princípios (art. 6º):
| Princípio | Na prática |
|---|---|
| Finalidade | Usar os dados para um propósito legítimo e informado |
| Adequação | O uso precisa combinar com o que foi informado |
| Necessidade | Coletar só o mínimo necessário |
| Livre acesso | A pessoa pode consultar seus dados de forma fácil e gratuita |
| Qualidade dos dados | Manter os dados corretos e atualizados |
| Transparência | Informar de forma clara como os dados são tratados |
| Segurança | Proteger os dados contra acessos indevidos e vazamentos |
| Prevenção | Agir antes para evitar danos |
| Não discriminação | Nunca usar dados para discriminar |
| Responsabilização e prestação de contas | Conseguir demonstrar que cumpre a lei |
Quando a LGPD exige o consentimento?
O consentimento é apenas uma das 10 bases legais. Ele é necessário quando nenhuma outra base se aplica, como no envio de newsletter ou de ofertas para quem não é cliente.
Quando usado, ele precisa ser livre, informado e inequívoco, para uma finalidade específica. Para dados sensíveis, precisa ser também específico e destacado (art. 11). E a pessoa pode revogá-lo a qualquer momento.
Quais são as outras bases legais da LGPD?
O art. 7º traz 10 bases legais. Para as empresas, as mais usadas no dia a dia, além do consentimento, são estas três.
Cumprimento de obrigação legal ou regulatória
Quando a lei obriga a empresa a tratar o dado. Exemplo: guardar os dados dos funcionários para cumprir obrigações trabalhistas, previdenciárias e fiscais, como o eSocial.
Execução de contrato e procedimentos preliminares
Quando o dado é necessário para fechar ou cumprir um contrato com a própria pessoa. Exemplo: usar o endereço do cliente para entregar uma compra ou os dados do candidato para fazer uma proposta de emprego.
Legítimo interesse e suas limitações
Permite tratar dados para atender a um interesse legítimo da empresa, como prevenir fraudes ou melhorar um serviço, desde que isso não se sobreponha aos direitos da pessoa. Por ser uma base mais aberta, ela exige cuidado: a empresa deve usar só os dados estritamente necessários, ser transparente e conseguir demonstrar que avaliou o equilíbrio entre o seu interesse e os direitos do titular. Ela não pode ser usada para dados sensíveis.
Quais são as obrigações das empresas perante a LGPD?
A Lei Geral de Proteção de Dados não traz uma lista única de tarefas, mas as obrigações abaixo aparecem para praticamente toda empresa.
Mapear os dados pessoais coletados e utilizados
A empresa precisa saber quais dados coleta, de quem, onde ficam guardados, quem tem acesso e com quem são compartilhados. A lei exige que esse registro das operações seja mantido (art. 37).
Definir finalidades e bases legais para o tratamento
Para cada uso de dados, é preciso responder: para que serve e qual base legal permite isso? Dados sem finalidade clara não deveriam ser coletados nem guardados.
Adotar medidas de segurança e controle de acesso
A empresa deve proteger os dados contra acessos indevidos, perda e vazamentos (art. 46). Medidas básicas: senhas fortes, autenticação em dois fatores, acesso apenas para quem precisa, backups e cuidado com arquivos em papel.
Elaborar políticas de privacidade e procedimentos internos
A política de privacidade informa ao público como os dados são tratados. Já os procedimentos internos orientam a equipe: como coletar, onde guardar, por quanto tempo manter e como descartar.
Atender solicitações dos titulares, como prevê a LGPD
Clientes, funcionários e outras pessoas podem pedir acesso, correção ou exclusão dos seus dados. A empresa precisa de um canal para receber esses pedidos e de um fluxo para respondê-los no prazo.
Avaliar a necessidade de indicar um encarregado pelo tratamento de dados
O encarregado, também chamado de DPO, é o canal de comunicação entre a empresa, os titulares e a ANPD (art. 41). A regra geral é que o controlador indique um encarregado e divulgue o contato dele. Microempresas e empresas de pequeno porte podem ser dispensadas, desde que mantenham um canal de comunicação com os titulares e não façam tratamento de alto risco (Resolução CD/ANPD nº 2/2022).
Como adequar uma empresa à LGPD?
A adequação à Lei Geral de Proteção de Dados não é um documento pronto, e sim um processo. Ele pode ser dividido em cinco etapas.
Etapa 1: realizar o diagnóstico de conformidade com a LGPD
O primeiro passo é entender onde a empresa está: quais dados trata, quais documentos já tem, quais riscos existem e o que falta. O diagnóstico define as prioridades do restante do trabalho.
Etapa 2: mapear operações e fluxos de dados
Aqui se registra, área por área, o caminho de cada dado: onde entra (site, WhatsApp, contrato, currículo), onde fica, quem acessa, com quem é compartilhado e quando é apagado. Esse mapeamento vira o registro de operações exigido pela lei.
Etapa 3: revisar contratos com clientes e fornecedores
Contratos com fornecedores que acessam dados da empresa, como contabilidade, sistema de folha, CRM e hospedagem do site, devem prever regras de proteção de dados. O mesmo vale para contratos com clientes e para os contratos de trabalho.
Etapa 4: implementar políticas e medidas de segurança
Com o mapa pronto, a empresa cria ou ajusta a política de privacidade, as regras internas de uso e descarte de dados, o canal de atendimento aos titulares e as medidas técnicas de segurança.
Etapa 5: treinar colaboradores e monitorar a conformidade
Boa parte dos incidentes nasce de erro humano: uma planilha enviada para a pessoa errada, um computador sem senha, um documento deixado na mesa. Treinar a equipe e revisar o processo periodicamente mantém a adequação viva.
Quais são as multas e sanções por descumprimento da LGPD?
O descumprimento da Lei Geral de Proteção de Dados pode gerar sanções aplicadas pela ANPD e, além disso, ações de indenização na Justiça.
Qual é o valor da multa por violação da LGPD?
A multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II). A lei também prevê outras sanções:
- advertência, com prazo para correção;
- multa diária;
- publicização da infração, ou seja, tornar o caso público;
- bloqueio ou eliminação dos dados envolvidos;
- suspensão parcial do banco de dados ou da atividade de tratamento por até 6 meses, prorrogáveis;
- proibição parcial ou total das atividades de tratamento de dados.
Para muitas empresas, a publicização e a suspensão do uso dos dados podem pesar tanto quanto a multa.
Como são calculadas as sanções administrativas?
A ANPD segue o seu Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). As infrações são classificadas como leves, médias ou graves, e a multa parte de um valor-base que considera a gravidade, o faturamento e o grau do dano. Esse valor aumenta com agravantes, como a reincidência, e diminui com atenuantes, como a cooperação com a fiscalização e a adoção rápida de medidas para corrigir o problema (Pinheiro Guimarães).
A empresa pode responder por danos causados aos titulares?
Sim. Além das sanções da ANPD, quem causar dano a alguém por violar a LGPD deve repará-lo, seja dano material ou moral, individual ou coletivo (art. 42). O juiz pode inclusive inverter o ônus da prova a favor do titular, ou seja, caberá à empresa provar que agiu corretamente.
Como reduzir os riscos de penalidades da LGPD?
- Faça a adequação e mantenha os documentos que provam isso.
- Tenha um plano de resposta a incidentes antes que eles aconteçam.
- Coopere com a ANPD em caso de fiscalização.
- Corrija rapidamente os problemas identificados.
Boas práticas de governança e a correção rápida são consideradas atenuantes no cálculo das sanções.
O que fazer em caso de vazamento de dados pessoais?
Nenhuma empresa está totalmente livre de incidentes. O que a Lei Geral de Proteção de Dados cobra é uma resposta rápida, transparente e documentada.
Como identificar e conter um incidente de segurança
Incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. Exemplos: ataque hacker, ransomware, e-mail com planilha enviado para a pessoa errada, notebook roubado ou acesso indevido de um funcionário.
Ao identificar o problema, a prioridade é conter: bloquear acessos, trocar senhas, isolar sistemas afetados e preservar as evidências do que aconteceu.
Quando comunicar a ANPD e os titulares afetados?
Quando o incidente puder causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e as pessoas afetadas (art. 48). Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), o prazo é de 3 dias úteis a partir do momento em que a empresa soube que o incidente afetou dados pessoais. Para agentes de pequeno porte, o prazo é de 6 dias úteis (Cescon Barrieu).
A comunicação deve informar, entre outros pontos, quais dados foram afetados, quantas pessoas, os riscos envolvidos e as medidas adotadas. Informações que ainda não estiverem disponíveis podem ser complementadas em até 20 dias úteis.
Como documentar o incidente e prevenir novas ocorrências?
Todo incidente deve ser registrado internamente, mesmo os que não precisaram ser comunicados à ANPD. Esse registro deve ser guardado por pelo menos 5 anos. Depois de resolver o caso, vale entender a causa e ajustar o que falhou: um processo, uma permissão de acesso ou um treinamento da equipe.
Quais são os direitos dos titulares na LGPD?
Titular é a pessoa a quem os dados se referem: o cliente, o funcionário, o candidato a uma vaga. A Lei Geral de Proteção de Dados garante a eles uma série de direitos (art. 18):
- confirmar se a empresa trata os seus dados;
- acessar os dados;
- corrigir dados incompletos, errados ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei;
- pedir a portabilidade dos dados para outro fornecedor;
- pedir a eliminação dos dados tratados com base no consentimento;
- saber com quem os dados foram compartilhados;
- ser informado sobre a possibilidade de não dar o consentimento e suas consequências;
- revogar o consentimento.
Como solicitar acesso, correção ou exclusão de dados?
O pedido é feito diretamente à empresa, pelo canal indicado na política de privacidade ou ao encarregado. O pedido de acesso pode ser respondido na hora, de forma simplificada, ou em até 15 dias, de forma completa (art. 19).
Para a empresa, isso significa ter um canal funcionando e um fluxo interno para localizar os dados e responder no prazo.
Em quais situações é possível revogar o consentimento?
Sempre que o tratamento for baseado no consentimento, a pessoa pode revogá-lo a qualquer momento, de forma gratuita e facilitada. A revogação vale dali para frente: o que foi feito antes, com o consentimento válido, continua regular.
Quando o tratamento se apoia em outra base legal, como uma obrigação legal, a revogação não impede o uso. Por exemplo, a empresa continua obrigada a guardar documentos trabalhistas de um ex-funcionário pelo prazo legal.
Como apresentar uma reclamação à ANPD?
Se a empresa não responder ou negar o pedido sem justificativa, o titular pode apresentar uma petição à ANPD pelo portal gov.br. Antes, é preciso ter procurado a empresa. Violações que atingem várias pessoas também podem ser denunciadas à ANPD, inclusive de forma anônima (Tecnoblog).
Perguntas frequentes sobre a Lei Geral de Proteção de Dados
Pequenas empresas precisam cumprir a LGPD?
Sim. A LGPD vale para empresas de qualquer porte, inclusive MEI. O que existe é um regime simplificado para microempresas, empresas de pequeno porte e startups (Resolução CD/ANPD nº 2/2022), com registros mais simples, prazos em dobro e possibilidade de dispensa do encarregado. Esse regime não vale para quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala.
Toda empresa precisa ter um encarregado de dados pela LGPD?
A regra é indicar um encarregado. Microempresas e empresas de pequeno porte podem ser dispensadas, desde que mantenham um canal de comunicação com os titulares e não façam tratamento de alto risco. O encarregado pode ser um funcionário ou um profissional externo.
É obrigatório ter uma política de privacidade no site?
A lei exige que a empresa informe de forma clara, acessível e fácil como trata os dados (princípio da transparência e art. 9º). Se o site coleta dados, por formulário, cadastro, cookies ou loja virtual, a política de privacidade é a forma mais prática de cumprir esse dever.
A LGPD exige consentimento para todo tratamento de dados?
Não. O consentimento é uma das 10 bases legais. Muitos tratamentos se apoiam em outras, como cumprimento de obrigação legal, execução de contrato e legítimo interesse. Pedir consentimento quando ele não é a base adequada pode até gerar problemas, porque a pessoa pode revogá-lo a qualquer momento.
Como contratar assessoria jurídica para adequação à LGPD?
Procure advogados com atuação em proteção de dados e direito empresarial. Uma boa assessoria começa pelo diagnóstico da empresa, entrega documentos pensados para a sua realidade, e não modelos genéricos, e orienta a equipe sobre como aplicar as regras no dia a dia.
Conclusão: a Lei Geral de Proteção de Dados na rotina da sua empresa
A Lei Geral de Proteção de Dados não é um assunto só de grandes empresas ou de tecnologia. Ela está no cadastro de clientes, na lista de contatos do WhatsApp, nos currículos recebidos e na pasta de cada funcionário.
A adequação protege a empresa de multas e processos e, ao mesmo tempo, aumenta a confiança de clientes e parceiros. Cada negócio tem uma realidade diferente, e um advogado pode avaliar quais medidas fazem sentido para a sua empresa.
