LGPD: proteção de dados pessoais nas empresas
A Lei Geral de Proteção de Dados (LGPD) mudou a forma como empresas de todos os tamanhos coletam, guardam e usam informações de clientes, funcionários e fornecedores. Hoje, um cadastro de clientes, uma lista de contatos no WhatsApp ou uma planilha de currículos já envolvem obrigações legais.
Neste artigo, explicamos o que é a LGPD, quais dados ela protege, as obrigações das empresas, as multas e o passo a passo para adequar o seu negócio.
A Lei Geral de Proteção de Dados é a Lei nº 13.709/2018. Ela define regras para qualquer operação com dados pessoais: coletar, guardar, usar, compartilhar ou apagar. A fiscalização é feita pela ANPD, hoje chamada Agência Nacional de Proteção de Dados.
O objetivo da LGPD é proteger os direitos fundamentais de liberdade e de privacidade das pessoas (art. 1º). Na prática, ela dá às pessoas mais controle sobre as próprias informações e exige das empresas transparência sobre o que fazem com elas.
A lei vale para qualquer pessoa ou empresa, pública ou privada, que trate dados pessoais, sem importar o porte ou o meio, digital ou em papel (art. 3º). Ela se aplica quando:
Há exceções, como o uso pessoal e sem fins econômicos e os fins exclusivamente jornalísticos, artísticos ou acadêmicos (art. 4º).
A Lei Geral de Proteção de Dados foi publicada em 2018, mas a maior parte das regras só começou a valer em 18 de setembro de 2020. As sanções administrativas, como as multas, passaram a ser aplicadas a partir de 1º de agosto de 2021, data definida pela Lei 14.010/2020 (Demarest).
A Lei Geral de Proteção de Dados protege informações sobre pessoas físicas. Dados de empresas, como CNPJ e razão social, não são dados pessoais, mas os dados dos sócios e funcionários são.
Dado pessoal é qualquer informação que identifica uma pessoa ou permite identificá-la (art. 5º, I). Exemplos: nome, CPF, RG, endereço, telefone, e-mail, foto, placa de carro, endereço IP e dados de localização.
São dados que, se mal usados, podem gerar discriminação. Por isso, têm regras mais rígidas (art. 5º, II, e art. 11). Incluem:
Nas empresas, eles aparecem com frequência em atestados médicos, exames ocupacionais e controle de ponto por biometria.
Dado anonimizado é aquele que não permite mais identificar a pessoa, considerando os meios técnicos razoáveis disponíveis (art. 5º, III). Um relatório que diz “30% dos clientes têm entre 25 e 34 anos”, sem nomes ou dados que levem a alguém, é um exemplo.
Dados realmente anonimizados ficam fora da LGPD. Mas, se for possível reverter o processo e identificar a pessoa, eles continuam sendo dados pessoais.
Toda operação com dados precisa respeitar os princípios da Lei Geral de Proteção de Dados e estar apoiada em pelo menos uma base legal, ou seja, um motivo previsto na lei.
Além da boa-fé, a LGPD lista 10 princípios (art. 6º):
| Princípio | Na prática |
|---|---|
| Finalidade | Usar os dados para um propósito legítimo e informado |
| Adequação | O uso precisa combinar com o que foi informado |
| Necessidade | Coletar só o mínimo necessário |
| Livre acesso | A pessoa pode consultar seus dados de forma fácil e gratuita |
| Qualidade dos dados | Manter os dados corretos e atualizados |
| Transparência | Informar de forma clara como os dados são tratados |
| Segurança | Proteger os dados contra acessos indevidos e vazamentos |
| Prevenção | Agir antes para evitar danos |
| Não discriminação | Nunca usar dados para discriminar |
| Responsabilização e prestação de contas | Conseguir demonstrar que cumpre a lei |
O consentimento é apenas uma das 10 bases legais. Ele é necessário quando nenhuma outra base se aplica, como no envio de newsletter ou de ofertas para quem não é cliente.
Quando usado, ele precisa ser livre, informado e inequívoco, para uma finalidade específica. Para dados sensíveis, precisa ser também específico e destacado (art. 11). E a pessoa pode revogá-lo a qualquer momento.
O art. 7º traz 10 bases legais. Para as empresas, as mais usadas no dia a dia, além do consentimento, são estas três.
Quando a lei obriga a empresa a tratar o dado. Exemplo: guardar os dados dos funcionários para cumprir obrigações trabalhistas, previdenciárias e fiscais, como o eSocial.
Quando o dado é necessário para fechar ou cumprir um contrato com a própria pessoa. Exemplo: usar o endereço do cliente para entregar uma compra ou os dados do candidato para fazer uma proposta de emprego.
Permite tratar dados para atender a um interesse legítimo da empresa, como prevenir fraudes ou melhorar um serviço, desde que isso não se sobreponha aos direitos da pessoa. Por ser uma base mais aberta, ela exige cuidado: a empresa deve usar só os dados estritamente necessários, ser transparente e conseguir demonstrar que avaliou o equilíbrio entre o seu interesse e os direitos do titular. Ela não pode ser usada para dados sensíveis.
A Lei Geral de Proteção de Dados não traz uma lista única de tarefas, mas as obrigações abaixo aparecem para praticamente toda empresa.
A empresa precisa saber quais dados coleta, de quem, onde ficam guardados, quem tem acesso e com quem são compartilhados. A lei exige que esse registro das operações seja mantido (art. 37).
Para cada uso de dados, é preciso responder: para que serve e qual base legal permite isso? Dados sem finalidade clara não deveriam ser coletados nem guardados.
A empresa deve proteger os dados contra acessos indevidos, perda e vazamentos (art. 46). Medidas básicas: senhas fortes, autenticação em dois fatores, acesso apenas para quem precisa, backups e cuidado com arquivos em papel.
A política de privacidade informa ao público como os dados são tratados. Já os procedimentos internos orientam a equipe: como coletar, onde guardar, por quanto tempo manter e como descartar.
Clientes, funcionários e outras pessoas podem pedir acesso, correção ou exclusão dos seus dados. A empresa precisa de um canal para receber esses pedidos e de um fluxo para respondê-los no prazo.
O encarregado, também chamado de DPO, é o canal de comunicação entre a empresa, os titulares e a ANPD (art. 41). A regra geral é que o controlador indique um encarregado e divulgue o contato dele. Microempresas e empresas de pequeno porte podem ser dispensadas, desde que mantenham um canal de comunicação com os titulares e não façam tratamento de alto risco (Resolução CD/ANPD nº 2/2022).
A adequação à Lei Geral de Proteção de Dados não é um documento pronto, e sim um processo. Ele pode ser dividido em cinco etapas.
O primeiro passo é entender onde a empresa está: quais dados trata, quais documentos já tem, quais riscos existem e o que falta. O diagnóstico define as prioridades do restante do trabalho.
Aqui se registra, área por área, o caminho de cada dado: onde entra (site, WhatsApp, contrato, currículo), onde fica, quem acessa, com quem é compartilhado e quando é apagado. Esse mapeamento vira o registro de operações exigido pela lei.
Contratos com fornecedores que acessam dados da empresa, como contabilidade, sistema de folha, CRM e hospedagem do site, devem prever regras de proteção de dados. O mesmo vale para contratos com clientes e para os contratos de trabalho.
Com o mapa pronto, a empresa cria ou ajusta a política de privacidade, as regras internas de uso e descarte de dados, o canal de atendimento aos titulares e as medidas técnicas de segurança.
Boa parte dos incidentes nasce de erro humano: uma planilha enviada para a pessoa errada, um computador sem senha, um documento deixado na mesa. Treinar a equipe e revisar o processo periodicamente mantém a adequação viva.
O descumprimento da Lei Geral de Proteção de Dados pode gerar sanções aplicadas pela ANPD e, além disso, ações de indenização na Justiça.
A multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II). A lei também prevê outras sanções:
Para muitas empresas, a publicização e a suspensão do uso dos dados podem pesar tanto quanto a multa.
A ANPD segue o seu Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). As infrações são classificadas como leves, médias ou graves, e a multa parte de um valor-base que considera a gravidade, o faturamento e o grau do dano. Esse valor aumenta com agravantes, como a reincidência, e diminui com atenuantes, como a cooperação com a fiscalização e a adoção rápida de medidas para corrigir o problema (Pinheiro Guimarães).
Sim. Além das sanções da ANPD, quem causar dano a alguém por violar a LGPD deve repará-lo, seja dano material ou moral, individual ou coletivo (art. 42). O juiz pode inclusive inverter o ônus da prova a favor do titular, ou seja, caberá à empresa provar que agiu corretamente.
Boas práticas de governança e a correção rápida são consideradas atenuantes no cálculo das sanções.
Nenhuma empresa está totalmente livre de incidentes. O que a Lei Geral de Proteção de Dados cobra é uma resposta rápida, transparente e documentada.
Incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. Exemplos: ataque hacker, ransomware, e-mail com planilha enviado para a pessoa errada, notebook roubado ou acesso indevido de um funcionário.
Ao identificar o problema, a prioridade é conter: bloquear acessos, trocar senhas, isolar sistemas afetados e preservar as evidências do que aconteceu.
Quando o incidente puder causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e as pessoas afetadas (art. 48). Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), o prazo é de 3 dias úteis a partir do momento em que a empresa soube que o incidente afetou dados pessoais. Para agentes de pequeno porte, o prazo é de 6 dias úteis (Cescon Barrieu).
A comunicação deve informar, entre outros pontos, quais dados foram afetados, quantas pessoas, os riscos envolvidos e as medidas adotadas. Informações que ainda não estiverem disponíveis podem ser complementadas em até 20 dias úteis.
Todo incidente deve ser registrado internamente, mesmo os que não precisaram ser comunicados à ANPD. Esse registro deve ser guardado por pelo menos 5 anos. Depois de resolver o caso, vale entender a causa e ajustar o que falhou: um processo, uma permissão de acesso ou um treinamento da equipe.
Titular é a pessoa a quem os dados se referem: o cliente, o funcionário, o candidato a uma vaga. A Lei Geral de Proteção de Dados garante a eles uma série de direitos (art. 18):
O pedido é feito diretamente à empresa, pelo canal indicado na política de privacidade ou ao encarregado. O pedido de acesso pode ser respondido na hora, de forma simplificada, ou em até 15 dias, de forma completa (art. 19).
Para a empresa, isso significa ter um canal funcionando e um fluxo interno para localizar os dados e responder no prazo.
Sempre que o tratamento for baseado no consentimento, a pessoa pode revogá-lo a qualquer momento, de forma gratuita e facilitada. A revogação vale dali para frente: o que foi feito antes, com o consentimento válido, continua regular.
Quando o tratamento se apoia em outra base legal, como uma obrigação legal, a revogação não impede o uso. Por exemplo, a empresa continua obrigada a guardar documentos trabalhistas de um ex-funcionário pelo prazo legal.
Se a empresa não responder ou negar o pedido sem justificativa, o titular pode apresentar uma petição à ANPD pelo portal gov.br. Antes, é preciso ter procurado a empresa. Violações que atingem várias pessoas também podem ser denunciadas à ANPD, inclusive de forma anônima (Tecnoblog).
Sim. A LGPD vale para empresas de qualquer porte, inclusive MEI. O que existe é um regime simplificado para microempresas, empresas de pequeno porte e startups (Resolução CD/ANPD nº 2/2022), com registros mais simples, prazos em dobro e possibilidade de dispensa do encarregado. Esse regime não vale para quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala.
A regra é indicar um encarregado. Microempresas e empresas de pequeno porte podem ser dispensadas, desde que mantenham um canal de comunicação com os titulares e não façam tratamento de alto risco. O encarregado pode ser um funcionário ou um profissional externo.
A lei exige que a empresa informe de forma clara, acessível e fácil como trata os dados (princípio da transparência e art. 9º). Se o site coleta dados, por formulário, cadastro, cookies ou loja virtual, a política de privacidade é a forma mais prática de cumprir esse dever.
Não. O consentimento é uma das 10 bases legais. Muitos tratamentos se apoiam em outras, como cumprimento de obrigação legal, execução de contrato e legítimo interesse. Pedir consentimento quando ele não é a base adequada pode até gerar problemas, porque a pessoa pode revogá-lo a qualquer momento.
Procure advogados com atuação em proteção de dados e direito empresarial. Uma boa assessoria começa pelo diagnóstico da empresa, entrega documentos pensados para a sua realidade, e não modelos genéricos, e orienta a equipe sobre como aplicar as regras no dia a dia.
A Lei Geral de Proteção de Dados não é um assunto só de grandes empresas ou de tecnologia. Ela está no cadastro de clientes, na lista de contatos do WhatsApp, nos currículos recebidos e na pasta de cada funcionário.
A adequação protege a empresa de multas e processos e, ao mesmo tempo, aumenta a confiança de clientes e parceiros. Cada negócio tem uma realidade diferente, e um advogado pode avaliar quais medidas fazem sentido para a sua empresa.
A violação de propriedade intelectual acontece quando alguém usa, copia ou explora sem autorização uma…
Em 16 de outubro de 2026, o Congresso Nacional promulgou a Emenda Constitucional 141, que…
Saber quanto custa um advogado para divórcio é uma das primeiras dúvidas de quem decide…
A demissão sem justa causa é uma das situações mais comuns, e também uma das…
Muitas empresas só percebem que um contrato tem cláusulas problemáticas depois que o problema já…
Contratar ou prestar serviços sem um contrato de prestação de serviços bem elaborado é um…