LGPD: o que é e como se aplica na prática hoje
Vivemos numa época em que cada clique, cada compra online, cada consulta em um aplicativo gera um rastro de informações pessoais. Nome, CPF, endereço, localização, hábitos de consumo, dados de saúde, opiniões políticas. Tudo isso virou moeda, e também virou alvo. Diante desse cenário, o Brasil decidiu criar uma lei para colocar ordem nessa casa: a Lei Geral de Proteção de Dados Pessoais, conhecida como LGPD.
Se você já se perguntou por que um site pede consentimento antes de salvar seus cookies, por que empresas precisam informar como usam seus dados, ou o que fazer quando tem uma conta vazada na internet, este conteúdo é para você. A seguir, vou explicar o que é a LGPD, quais são os seus principais conceitos, como ela funciona no dia a dia e, principalmente, quais direitos ela garante a você, cidadão e cidadã.
O que é a LGPD
A LGPD é a Lei nº 13.709/2018, sancionada em 14 de agosto de 2018 e em vigor desde setembro de 2020. Ela entrou em vigor com força total, incluindo as sanções administrativas, a partir de agosto de 2021, quando a Autoridade Nacional de Proteção de Dados (ANPD) começou a aplicar multas e demais penalidades previstas em lei.
A finalidade central da LGPD é proteger os direitos fundamentais de liberdade e privacidade dos cidadãos, disciplinando a forma como empresas públicas e privadas, órgãos do governo e qualquer outra organização tratam dados pessoais no Brasil. Isso inclui coleta, armazenamento, compartilhamento, transferência internacional e eliminação dessas informações.
O texto da lei traz um conceito simples e poderoso: dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa natural. Vai além do nome e do CPF. Engloba também dados de localização, endereço de IP, cookies, registros de comportamento em sites, dados de saúde, dados biométricos, dados de crianças e adolescentes, entre outros.
Para dados mais sensíveis, a LGPD cria uma categoria especial: os chamados dados pessoais sensíveis. São informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos, quando vinculados a uma pessoa natural. O tratamento desse tipo de dado depende de bases legais mais restritas.
Como a LGPD se aplica na prática
A aplicação da LGPD começa em uma pergunta aparentemente simples: existe, nessa atividade, tratamento de dados pessoais? Se a resposta for sim, a lei se aplica. O conceito de tratamento é amplo. Conforme o Art. 5º, inciso X, da própria LGPD, tratamento é toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Na prática, quase toda atividade econômica ou institucional hoje envolve tratamento de dados pessoais. Por isso, a LGPD alcança uma enorme gama de agentes:
- Empresas privadas de qualquer porte.
- inclusive Microempreendedores Individuais (MEI).
- micro e pequenas empresas.
- embora a lei preveja tratamento simplificado para pequenos agentes.
- conforme regulamentação da ANPD.
- Órgãos da administração pública direta e indireta.
- nos três Poderes e em todas as esferas.
- federal.
- estadual e municipal.
- Entidades sem fins lucrativos que tratam dados pessoais em suas atividades.
- Profissionais liberais que armazenam dados de clientes.
- como advogados.
- médicos.
- dentistas.
- psicólogos.
- contabilistas.
- Startups.
- aplicativos.
- plataformas digitais.
- marketplaces.
- redes sociais.
- Empresas estrangeiras que oferecem bens ou serviços para pessoas no Brasil ou que processem dados coletados no país.
A territorialidade da LGPD está prevista no Art. 3º. Aplica se a qualquer operação de tratamento realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio, do país de sua sede ou do local onde os dados estão armazenados, desde que o tratamento seja realizado no território brasileiro, tenha como objetivo a oferta de bens ou serviços a pessoas localizadas no Brasil, ou tenha por objeto dados pessoais coletados no território nacional.
Princípios da LGPD que você precisa conhecer
A LGPD traz, no Art. 6º, dez princípios que devem orientar todo o tratamento de dados pessoais. Conhecê-los ajuda a entender quando seus direitos estão sendo respeitados ou violados. Finalidade: o tratamento deve ter propósitos legítimos, específicos e explícitos, informados ao titular. Não se pode coletar dados para um objetivo e usar para outro, sem aviso. Necessidade: o tratamento deve se limitar ao mínimo necessário para a finalidade informada. Menos dados, sempre que possível, é melhor. Adequação: a utilização deve ser compatível com a finalidade informada ao titular. Livre acesso: o titular tem direito de acessar seus dados de forma facilitada e gratuita, sempre que quiser. Qualidade dos dados: as informações devem ser exatas, claras, relevantes e atualizadas, conforme a necessidade. Transparência: o titular deve obter informações claras e adequadas sobre o tratamento e seus responsáveis. Segurança: os agentes de tratamento devem adotar medidas técnicas e administrativas para proteger os dados de acessos não autorizados, situações acidentais ou ilícitas. Prevenção: o agente deve adotar medidas para prevenir danos ao titular em função do tratamento. Não discriminação: é vedado o tratamento para fins discriminatórios, ilícitos ou abusivos. Responsabilização e prestação de contas: o agente deve demonstrar que adotou medidas eficazes para cumprir a lei.
Esses princípios aparecem constantemente nas decisões da ANPD e do Poder Judiciário. Saber quais são ajuda a fundamentar um pedido, uma reclamação ou uma ação judicial.
Bases legais que autorizam o tratamento de dados
A LGPD não proíbe, em regra, o tratamento de dados pessoais. Ela condiciona esse tratamento a uma das dez bases legais previstas no Art. 7º. As principais são:
- Consentimento: o titular manifesta.
- de forma livre.
- informada e inequívoca.
- sua concordância. Pode ser revogado a qualquer momento.
- e essa revogação tem efeito retroativo para usos futuros.
- Cumprimento de obrigação legal ou regulatória: o tratamento é necessário para que o controlador cumpra uma obrigação prevista em lei.
- regulamento ou norma infralegal.
- Execução de políticas públicas: quando o tratamento é feito pela administração pública para executar políticas públicas previstas em bases legais específicas.
- Realização de estudos por órgãos de pesquisa: garantida a anonimização sempre que possível.
- Execução de contrato: o tratamento é necessário para a execução de contrato entre o titular e o controlador.
- ou de procedimentos preliminares relacionados a contrato do qual o titular seja parte.
- Exercício regular de direitos em processo: como em ações judiciais.
- administrativas ou arbitrais.
- Proteção da vida ou da incolumidade física do titular ou de terceiro: situações de emergência ou de tutela da saúde.
- Tutela da saúde: em procedimentos realizados por profissionais da área da saúde ou por entidades sanitárias.
- Interesse legítimo do controlador ou de terceiro: para finalidades legítimas.
- observado o direito à privacidade e a expectativa razoável do titular. Essa base não se aplica a dados sensíveis.
- Proteção do crédito: para finalidades específicas de proteção ao crédito.
- considerando a legislação aplicável.
Cada base tem requisitos próprios. Consentimento, por exemplo, precisa ser destacado, escrito de forma clara e fornecido de maneira específica para cada finalidade. A ANPD já multou empresas por usar caixas de opção pré-marcadas ou por reunir múltiplas finalidades em um único aceite genérico.
Os seus direitos como titular dos dados
A LGPD inovou ao trazer, no Art. 18, uma lista clara de direitos do titular. Você não precisa ser advogado para exercê-los. Basta, em regra, apresentar um pedido ao controlador, que terá 15 dias para responder, conforme regulamentação da ANPD.
São direitos do titular:
- Confirmação da existência de tratamento.
- Acesso aos dados.
- Correção de dados incompletos.
- inexatos ou desatualizados.
- Anonimização.
- bloqueio ou eliminação de dados desnecessários.
- excessivos ou tratados em desconformidade.
- Portabilidade dos dados a outro fornecedor de serviço ou produto.
- Eliminação dos dados pessoais tratados com consentimento.
- salvo exceções previstas em lei.
- Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
- Revogação do consentimento.
- Revisão de decisões automatizadas que afetem seus interesses.
- incluindo as que definem seu perfil.
- scoring de crédito ou resultado de processos seletivos automatizados.
- Oposição a tratamento que considere indevido.
- Reclamação à ANPD e ao consumidor.
- além de pedido de revisão de decisões.
Na prática, esses direitos são exercidos por meio de canais oficiais disponibilizados pelos controladores, como Política de Privacidade, formulários de DPO (Data Protection Officer) e canais de atendimento ao consumidor.
Quem fiscaliza e aplica sanções
A fiscalização e a aplicação de sanções cabem à Autoridade Nacional de Proteção de Dados (ANPD), criada pela Lei nº 13.853/2019. A ANPD é um órgão federal com natureza autárquica, vinculado à Presidência da República, mas com autonomia técnica e decisória.
Entre as atribuições da ANPD estão:, Editar normas e procedimentos sobre proteção de dados pessoais. Fiscalizar e aplicar sanções em caso de violação à LGPD. Emitir orientações e recomendações. Promover ações de educação e conscientização. Realizar auditorias e solicitar relatórios de impacto. Receber e processar reclamações dos titulares. Coordenar ações com órgãos reguladores setoriais, como Banco Central, ANS, Anatel, CVM, entre outros.
As sanções administrativas vão desde advertência, com indicação de prazo para correção, até multas de até 2% do faturamento da pessoa jurídica, limitadas a R$ 50 milhões por infração, além de bloqueio, eliminação ou anonimização dos dados, e até proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados.
A LGPD também prevê, no Art. 52, sanções que vão muito além de multas. Há, ainda, a possibilidade de reparação civil por dano patrimonial, moral, individual ou coletivo, conforme o Art. 42 da lei.
Comparativo entre LGPD e principais legislações internacionais
A LGPD foi fortemente inspirada no Regulamento Geral de Proteção de Dados da União Europeia, o GDPR. Mas há diferenças importantes. A tabela a seguir compara os principais pontos.
| Aspecto | LGPD (Brasil) | GDPR (União Europeia) | CCPA/CPRA (Califórnia, EUA) |
|---|---|---|---|
| Lei | Lei nº 13.709/2018 | Regulamento (UE) 2016/679 | California Consumer Privacy Act + California Privacy Rights Act |
| Vigência total | Setembro de 2020 (texto), agosto de 2021 (sanções) | Maio de 2018 | Janeiro de 2020 / janeiro de 2023 |
| Autoridade central | ANPD | EDPB + autoridades nacionais | California Privacy Protection Agency |
| Consentimento | Livre, informado, inequívoco | Livre, específico, informado, inequívoco | Opt-out, com exceções |
| Multa máxima | 2% do faturamento ou R$ 50 milhões por infração | 4% do faturamento global ou € 20 milhões | US$ 2.500 por violação e US$ 7.500 por violação intencional ou envolvendo menores |
| Encarregado (DPO) | Pode ser exigido | Obrigatório em muitos casos | Não obrigatório |
| Transferência internacional | Exige mecanismos específicos, decisão de adequação ou garantias contratuais | Exige decisão de adequação, cláusulas-padrão ou BCRs | Regras próprias |
| Direitos do titular | 11 direitos previstos no Art. 18 | Direitos equivalentes mais acesso, retificação, esquecimento, portabilidade | Direito de saber, excluir e limitar venda |
A semelhança com a norma europeia facilita a transferência internacional de dados entre empresas brasileiras e europeias, desde que cumpridos requisitos específicos.
Casos práticos que mostram a LGPD em ação
Para tornar o tema mais concreto, vale citar exemplos cotidianos em que a LGPD já está em jogo.
Em primeiro lugar, e o caso dos cookies. Sempre que você acessa um site e aparece um banner perguntando se aceita cookies, isso é exigência da LGPD, somada a regulamentação da ANPD sobre cookies. O aceite precisa ser livre e informado. Caixas pré-marcadas ou banners que somem sem opção de recusa estão em desacordo com a lei.
Em segundo lugar, e o vazamento de dados. Em 2021, o caso do Banco Inter expôs dados de clientes. Empresas que sofrem incidentes desse tipo precisam comunicar à ANPD e aos titulares afetados em prazo razoável, conforme regulamentação específica.
Em terceiro lugar, e o uso de dados para crédito. O Cadastro Positivo, previsto na Lei nº 12.414/2011, com alterações recentes, passou a operar sob bases específicas. O consumidor pode cancelar o compartilhamento de seus dados com bureaux de crédito a qualquer momento, e essa é uma faculdade garantida pela LGPD.
Em quarto lugar, decisões automatizadas. Se um sistema nega crédito automaticamente com base em comportamento de consumo ou geolocalização, o titular tem direito a pedir revisão da decisão, conforme o Art. 20 da LGPD.
Esses exemplos mostram que a LGPD não é apenas teoria. Ela produz efeitos concretos no dia a dia, e cada vez mais é invocada em ações judiciais e procedimentos administrativos.
O papel do encarregado de proteção de dados (DPO)
A LGPD prevê, no Art. 41, a figura do encarregado, também conhecido pelo termo inglês Data Protection Officer (DPO). Trata-se da pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.
A indicação do DPO é obrigatória para todos os agentes de tratamento, embora possa haver tratamento simplificado para micro e pequenas empresas, conforme regulamentação da ANPD. Na prática, mesmo empresas de pequeno porte precisam designar um ponto de contato responsável pela proteção de dados.
O encarregado pode ser pessoa física ou jurídica, interna ou externa à organização. Suas atribuições incluem:
- Aceitar reclamações e comunicações dos titulares.
- prestar esclarecimentos e tomar providências.
- Receber comunicações da ANPD e adotar as medidas cabíveis.
- Orientar os funcionários e contratados da entidade sobre práticas de proteção de dados pessoais.
- Executar as demais atribuições determinadas pelo controlador ou previstas em normas complementares.
O nome e o contato do encarregado devem ser divulgados publicamente, em local de fácil acesso, preferencialmente no site da organização.
Como fazer uma reclamação ou exigir seus direitos
Se você acredita que seus direitos estão sendo desrespeitados, há diversos caminhos que você pode seguir.
Em primeiro lugar, tente resolver diretamente com a empresa. Toda organização deve disponibilizar um canal claro para receber pedidos do titular. Identifique esse canal na Política de Privacidade e registre seu pedido por escrito, preferencialmente com confirmação de recebimento.
Em segundo lugar, se não houver resposta em 15 dias, ou se a resposta for insatisfatória, você pode:
- Registrar reclamação na plataforma consumidor.gov.br.
- se a relação for de consumo.
- Registrar reclamação no Procon da sua cidade ou estado.
- Encaminhar reclamação diretamente à ANPD.
- por meio dos canais oficiais no site gov.br/anpd.
- Acionar o Poder Judiciário.
- com ação que pode pedir indenização por dano moral.
- material ou coletivo.
- conforme o Art. 42 da LGPD.
Em terceiro lugar, guardar provas é fundamental. Prints de tela, e-mails, protocolos de atendimento, contratos e quaisquer outros documentos que demonstrem a relação de tratamento devem ser preservados.
Atenção a pontos sensíveis
A LGPD contém dispositivos específicos para situações que merecem cuidado redobrado. Dados de crianças e adolescentes, por exemplo, têm tratamento especial. O consentimento deve ser dado por pelo menos um dos pais ou responsáveis, e o tratamento deve ser realizado com base em seu melhor interesse, conforme Art. 14.
Dados relacionados à saúde, incluindo prontuários médicos e exames, exigem sigilo reforçado. A LGPD dialoga com a legislação sanitária, como a Resolução do Conselho Federal de Medicina, e prevê o sigilo profissional como regra.
Dados biométricos, como reconhecimento facial, impressão digital ou leitura de íris, são considerados sensíveis e exigem base legal específica. O uso indiscriminado em condomínios, escolas, prédios comerciais e órgãos públicos tem sido alvo de decisões judiciais e da ANPD.
Transferências internacionais, por fim, exigem cuidado adicional. O controlador precisa comprovar que o país de destino oferece grau de proteção adequado ou adotar garantias contratuais específicas, como cláusulas-padrão contratuais aprovadas pela ANPD.
Perguntas Frequentes (FAQ)
A LGPD se aplica a profissionais liberais e pequenas empresas?
Sim, a LGPD se aplica a qualquer pessoa natural ou jurídica, de direito público ou privado, que realize tratamento de dados pessoais no Brasil. Para microempresas, empresas de pequeno porte e Microempreendedores Individuais, a ANPD editou regulamentação específica prevendo tratamento simplificado, mas a obrigação de proteger os dados continua valendo.
Posso pedir a exclusão de qualquer dado meu na internet?
Nem sempre. O direito de eliminação dos dados previsto no Art. 18, inciso VI, da LGPD, se aplica principalmente quando o tratamento foi feito com base em consentimento ou quando os dados são desnecessários, excessivos ou tratados em desconformidade. Há exceções, como o cumprimento de obrigação legal, o exercício regular de direitos em processo e o legítimo interesse que justifique a manutenção.
O que acontece se uma empresa vazar meus dados?
A empresa deve comunicar o incidente à ANPD e aos titulares afetados em prazo razoável, conforme regulamentação. A ANPD pode aplicar sanções administrativas, incluindo multas, e o titular pode buscar reparação judicial por danos morais e materiais. A responsabilidade objetiva do controlador e do operador está prevista no Art. 42 da LGPD.
Posso recusar o envio de informações pelo site?
Sim. Você tem o direito de não fornecer consentimento e de ser informado sobre as consequências da recusa, conforme o Art. 18, inciso VIII, da LGPD. Na prática, isso significa que o site não pode condicionar o fornecimento de um serviço ao consentimento para finalidades que não são essenciais.
A LGPD garante direito de esquecimento?
A LGPD não usa o termo esquecimento, mas prevê a eliminação de dados pessoais tratados com consentimento, salvo exceções previstas em lei. O exercício desse direito depende da base legal que autorizou o tratamento e da existência de finalidade legítima para a manutenção dos dados.
Conclusão
A LGPD é uma das legislações mais relevantes do país no campo da proteção de direitos fundamentais. Ela trouxe regras claras, instrumentos de fiscalização e mecanismos de responsabilização que mudaram a forma como empresas, governo e cidadãos lidam com informações pessoais. Conhecê-la é, hoje, um exercício de cidadania.
Se você já teve um vazamento, se suas informações pessoais foram usadas sem consentimento, se você foi alvo de decisões automatizadas sem possibilidade de revisão, ou se simplesmente quer entender seus direitos, a LGPD oferece caminhos concretos. Em muitas situações, a lei por si só resolve. Em outras, é preciso buscar orientação jurídica especializada para avaliar cada caso.
A LGPD não é só uma norma para empresas. Ela é uma conquista da sociedade brasileira, e seu exercício depende do conhecimento e da vigilância de cada um.
Se você está passando por uma situação parecida, não enfrente sozinho(a). A Dra Kauane Silva atende pessoas em Porto Belo e região, com orientação personalizada pra cada caso. Entre em contato para uma consulta confidencial.
Este conteúdo tem caráter informativo e não substitui consulta com advogada habilitada. Procure profissional inscrito na OAB.
Referências consultadas
Lei nº 13.709/2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm, Lei nº 13.853/2019. Cria a Autoridade Nacional de Proteção de Dados (ANPD). Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2019/2019/lei/l13853.htm, Autoridade Nacional de Proteção de Dados (ANPD). Disponível em: https://www.gov.br/anpd/pt-br, Conselho Nacional de Justiça. Cartilha sobre LGPD. Disponível em: https://www.cnj.jus.br, Regulamento (UE) 2016/679. General Data Protection Regulation (GDPR). Disponível em: https://eur-lex.europa.eu/eli/reg/2016/679/oj, Lei nº 12.414/2011. Cadastro Positivo. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12414.htm, Lei nº 8.078/1990. Código de Defesa do Consumidor (CDC). Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078.htm, Lei nº 10.406/2002. Código Civil Brasileiro. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/2002/l10406.htm
Se voce esta passando por isso, nao enfrente sozinho(a)
A Dra. Kauane Silva ja ajudou pessoas em situacoes semelhantes a encontrarem o caminho juridico mais adequado. A primeira orientacao e confidencial – e pode esclarecer suas duvidas antes de qualquer decisao.
Veja tambem
Perguntas Frequentes (FAQ)
1. A LGPD se aplica a profissionais liberais e pequenas empresas?
Sim, a LGPD se aplica a qualquer pessoa natural ou jurídica, de direito público ou privado, que realize tratamento de dados pessoais no Brasil. Para microempresas, empresas de pequeno porte e Microempreendedores Individuais, a ANPD editou regulamentação específica prevendo tratamento simplificado, mas a obrigação de proteger os dados continua valendo.
2. Posso pedir a exclusão de qualquer dado meu na internet?
Nem sempre. O direito de eliminação dos dados previsto no Art. 18, inciso VI, da LGPD, se aplica principalmente quando o tratamento foi feito com base em consentimento ou quando os dados são desnecessários, excessivos ou tratados em desconformidade. Há exceções, como o cumprimento de obrigação legal, o exercício regular de direitos em processo e o legítimo interesse que justifique a manutenção.
3. O que acontece se uma empresa vazar meus dados?
A empresa deve comunicar o incidente à ANPD e aos titulares afetados em prazo razoável, conforme regulamentação. A ANPD pode aplicar sanções administrativas, incluindo multas, e o titular pode buscar reparação judicial por danos morais e materiais. A responsabilidade objetiva do controlador e do operador está prevista no Art. 42 da LGPD.
4. Posso recusar o envio de informações pelo site?
Sim. Você tem o direito de não fornecer consentimento e de ser informado sobre as consequências da recusa, conforme o Art. 18, inciso VIII, da LGPD. Na prática, isso significa que o site não pode condicionar o fornecimento de um serviço ao consentimento para finalidades que não são essenciais.
5. A LGPD garante direito de esquecimento?
A LGPD não usa o termo esquecimento, mas prevê a eliminação de dados pessoais tratados com consentimento, salvo exceções previstas em lei. O exercício desse direito depende da base legal que autorizou o tratamento e da existência de finalidade legítima para a manutenção dos dados.