LGPD para empresas: conheça as principais obrigações

O que é a LGPD e por que ela existe

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), conhecida como LGPD, entrou em vigor em setembro de 2020 e é a principal norma brasileira que regula o tratamento de dados pessoais no país. Inspirada no Regulamento Geral de Proteção de Dados da União Europeia (GDPR), a legislação brasileira surgiu para dar mais transparência, segurança e controle às pessoas sobre as informações que compartilham com empresas, órgãos públicos e outras organizações.

Para entender a importância da LGPD, vale lembrar que vivemos em uma economia movida por dados. Cada cadastro em um e-commerce, cada consulta em um plano de saúde, cada currículo enviado em um processo seletivo e até cada interação em redes sociais gera um volume enorme de informações pessoais. Antes da LGPD, o Brasil não tinha uma legislação abrangente que disciplinasse como esses dados deveriam ser coletados, armazenados, compartilhados e descartados.

A LGPD preenche essa lacuna ao estabelecer princípios, bases legais, direitos dos titulares, obrigações para os agentes de tratamento e um regime de sanções. Tudo isso com um objetivo central: proteger a privacidade e a autodeterminação informativa de cada cidadão.

Quem precisa cumprir a LGPD

Diferentemente do que muitos imaginam, a LGPD não se aplica apenas a grandes corporações de tecnologia. A norma tem alcance amplo e praticamente universal. Estão obrigadas a cumprir a lei todas as pessoas físicas ou jurídicas, de direito público ou privado, que realizem tratamento de dados pessoais no país, mesmo que a sede da empresa esteja no exterior.

Na prática, isso significa que estão sob a égide da LGPD:

• Empresas de todos os portes.
• do microempreendedor individual à grande corporação.
• Clínicas.
• consultórios.
• hospitais e laboratórios.
• Escritórios de advocacia.
• contabilidade e consultoria.
• Escolas.
• universidades e cursos livres.
• Lojas físicas e comércio eletrônico.
• Associações.
• ONGs e entidades religiosas.
• Órgãos públicos dos três poderes e das três esferas.
• Profissionais liberais que tratam dados de clientes.

O ponto-chave é a atividade de tratamento de dados, não o tamanho ou o segmento da organização. Se há coleta, armazenamento, uso, compartilhamento ou eliminação de informações pessoais, a LGPD se aplica.

As principais obrigações das empresas

A LGPD traz uma série de obrigações para os agentes de tratamento. Conhecer cada uma delas é essencial para evitar passivos e construir uma relação de confiança com clientes, colaboradores e parceiros. A seguir, listamos as principais responsabilidades que toda empresa precisa observar.

Indicar um encarregado de tratamento de dados (DPO)

Uma das obrigações mais conhecidas é a designação de um encarregado, também chamado de DPO (Data Protection Officer). A função está prevista no art. 41 da LGPD e foi regulamentada pela Resolução CD/ANPD nº 18/2024. O encarregado é a pessoa que serve como ponto de contato entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Entre as atribuições do encarregado estão:

• Aceitar reclamações e comunicações dos titulares.
• prestar esclarecimentos e adotar providências.
• Receber comunicações da ANPD e adotar as medidas cabíveis.
• Orientar os funcionários e contratados da empresa sobre as práticas de proteção de dados.
• Executar as demais atribuições determinadas pelo controlador ou por normas complementares.

A empresa pode designar uma pessoa física ou jurídica para a função, e o nome e os dados de contato do encarregado devem ser divulgados publicamente, geralmente no site institucional e em documentos de privacidade.

Manter registro das operações de tratamento

O art. 37 da LGPD exige que os agentes de tratamento mantenham um registro das operações de tratamento de dados pessoais que realizam, especialmente quando se enquadrarem nas hipóteses do art. 33 (transferência internacional) e em outras situações definidas pela ANPD. A Resolução CD/ANPD nº 19/2024 detalhou as regras para esse registro.

Esse documento deve descrever, entre outros pontos:

• Quais dados pessoais são tratados.
• Para quais finalidades.
• Quais bases legais fundamentam o tratamento.
• Com quem os dados são compartilhados.
• Quais medidas de segurança são adotadas.
• Qual o prazo de retenção dos dados.
• Quais medidas de proteção foram tomadas desde a concepção do produto ou serviço.

O registro funciona como um verdadeiro mapa do tratamento de dados dentro da organização e é uma ferramenta essencial para auditorias internas, fiscalizações e gestão de riscos.

Elaborar e divulgar política de privacidade

Toda empresa deve disponibilizar aos titulares uma política de privacidade clara, acessível e completa. Esse documento deve informar, de forma objetiva, quais dados são coletados, por que são coletados, com quem são compartilhados, por quanto tempo são armazenados e quais são os direitos do titular.

A política precisa estar em local de fácil acesso, preferencialmente no site institucional, em aplicativos e em outros canais onde a coleta ocorre. O texto deve ser redigido em linguagem clara, evitando jargões excessivos e termos técnicos que dificultem a compreensão do usuário comum.

Respeitar e garantir os direitos dos titulares

O art. 18 da LGPD lista dez direitos que os titulares dos dados podem exercer diante dos agentes de tratamento. A empresa precisa estar preparada para receber, analisar e responder a essas solicitações, sempre dentro dos prazos e procedimentos previstos em lei. São eles:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos.
• inexatos ou desatualizados.
• Anonimização.
• bloqueio ou eliminação de dados desnecessários.
• excessivos ou tratados em desconformidade.
• Portabilidade dos dados a outro fornecedor de serviço ou produto.
• Eliminação dos dados pessoais tratados com consentimento.
• Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
• Revogação do consentimento.
• Oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento.

O descumprimento dessas solicitações, especialmente quando injustificado, pode configurar infração e gerar sanções administrativas.

Adotar medidas de segurança da informação

O art. 46 da LGPD obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados, situações acidentais ou ilícitas, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado.

Essas medidas incluem, por exemplo:

• Controle de acesso físico e lógico aos dados.
• Criptografia de informações sensíveis.
• Políticas internas de segurança da informação.
• Treinamento contínuo de colaboradores.
• Procedimentos de resposta a incidentes.
• Avaliação periódica de riscos e vulnerabilidades.

As empresas devem considerar que a segurança dos dados não é apenas uma obrigação legal, mas também um diferencial competitivo e um fator de confiança para o mercado.

Comunicar incidentes de segurança

Quando ocorre um incidente de segurança que possa causar risco ou dano relevante aos titulares, a empresa precisa comunicar o fato à ANPD e, em alguns casos, aos próprios titulares afetados. A regra está prevista no art. 48 da LGPD e foi detalhada pela Resolução CD/ANPD nº 15/2024.

A comunicação deve conter, no mínimo:

• Descrição do que aconteceu.
• Tipos de dados afetados.
• Número de pessoas potencialmente impactadas.
• Medidas que foram tomadas para remediar o problema.
• Riscos envolvidos.

A omissão ou demora na comunicação pode ser considerada infração grave, principalmente se houver indícios de que a empresa tentou ocultar o ocorrido.

Realizar análise de impacto à proteção de dados pessoais

Determinados tratamentos de dados exigem a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsto no art. 38 da LGPD. O RIPD é um documento que descreve os processos de tratamento, avalia os riscos envolvidos e indica as medidas para mitigá-los.

Ele é especialmente importante em situações como:

• Tratamento de dados sensíveis em larga escala.
• Uso de tecnologias de monitoramento.
• reconhecimento facial ou biometria.
• Tratamentos que envolvam crianças.
• adolescentes ou pessoas vulneráveis.
• Operações com transferência internacional de dados.

A ANPD pode solicitar a apresentação do RIPD a qualquer momento, e a sua ausência, quando exigida, pode configurar infração.

Observar as bases legais para o tratamento

Toda operação de tratamento precisa ter uma base legal que a justifique. O art. 7º da LGPD prevê dez hipóteses que autorizam o tratamento, entre elas o consentimento do titular, o cumprimento de obrigação legal, a execução de contrato, o legítimo interesse do controlador e a proteção da vida.

Para dados pessoais sensíveis (como origem racial, convicção religiosa, opinião política, dados de saúde e dados biométricos), o art. 11 traz uma lista ainda mais restritiva de bases legais, exigindo cuidados adicionais. A escolha inadequada da base legal pode invalidar todo o tratamento e gerar responsabilidade para a empresa.

Tabela: principais obrigações e prazos previstos

Direitos dos titulares que as empresas devem respeitar

Além dos direitos previstos no art. 18, vale destacar alguns pontos práticos que muitas empresas esquecem. O titular tem direito de saber se a empresa trata seus dados, mesmo que não faça uma solicitação formal. Basta um pedido simples para que a empresa tenha que informar sobre a existência do tratamento e, em caso afirmativo, conceder acesso aos dados.

Outro ponto importante é o direito à revisão de decisões automatizadas. O art. 20 da LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito.

A empresa também precisa estar preparada para receber solicitações de pessoas que desejam exercer o direito de revogação do consentimento ou de oposição ao tratamento. Essas solicitações devem ser atendidas de forma gratuita e facilitada, salvo em situações excepcionais previstas em lei.

Como a ANPD fiscaliza e quais sanções podem ser aplicadas

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da LGPD, aplicar sanções e editar normas complementares. Criada pela Lei nº 13.853/2019, a autarquia tem competência para investigar, instruir processos administrativos e punir infratores.

O art. 52 da LGPD prevê as seguintes sanções administrativas, que podem ser aplicadas após processo administrativo com direito à ampla defesa:

• Advertência.
• com indicação de prazo para adoção de medidas corretivas.
• Multa de até 2% do faturamento da pessoa jurídica.
• por infração.
• limitada a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
• Bloqueio.
• eliminação ou anonimização dos dados pessoais tratados em desconformidade.
• Suspensão parcial do funcionamento do banco de dados.
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

A Resolução CD/ANPD nº 23/2024 trouxe critérios de dosimetria para aplicação dessas sanções, considerando a gravidade da infração, a boa-fé do agente, a vantagem auferida, a condição econômica do infrator, o dano causado e a cooperação com a autoridade.

Além das sanções administrativas, vale lembrar que a LGPD não exclui a aplicação de outras penalidades previstas no Código de Defesa do Consumidor, no Código Civil e na legislação penal, especialmente nos casos de crimes contra a honra, estelionato e invasão de dispositivos computacionais.

Erros comuns que as empresas ainda cometem

Apesar de a LGPD estar em vigor há anos, ainda é possível observar uma série de equívocos recorrentes. Entre os mais frequentes, destacam-se:

• Tratar a LGPD como obrigação de uma única pessoa ou setor.
• em vez de um programa corporativo.
• Coletar dados em excesso.
• sem necessidade real para a finalidade declarada.
• Utilizar bases legais inadequadas.
• especialmente o consentimento.
• mesmo quando há outra hipótese cabível.
• Não atualizar a política de privacidade após mudanças nos processos internos.
• Ignorar a necessidade de treinamento contínuo dos colaboradores.
• Subestimar a importância dos contratos com operadores e parceiros.
• Não documentar as decisões tomadas.
• o que dificulta a comprovação de conformidade em caso de fiscalização.

A correção desses erros passa por uma mudança cultural dentro da organização, com o entendimento de que a proteção de dados é responsabilidade de todos, da alta direção ao colaborador da linha de frente.

Boas práticas para iniciar ou melhorar a adequação

Para as empresas que estão começando o processo de adequação ou que desejam fortalecer o que já foi feito, algumas práticas se mostram particularmente úteis:

• Realizar um diagnóstico inicial.
• mapeando todos os tratamentos de dados existentes.
• Definir papéis e responsabilidades claras para governança de dados.
• Implementar uma política de privacidade e termos de uso claros e acessíveis.
• Criar procedimentos padronizados para atendimento aos direitos dos titulares.
• Investir em treinamento e conscientização de colaboradores.
• Revisar contratos com fornecedores e parceiros para incluir cláusulas de proteção de dados.
• Estabelecer um plano de resposta a incidentes.
• Manter o registro de operações sempre atualizado.
• Acompanhar as decisões da ANPD e a evolução da jurisprudência sobre o tema.

Essas ações, embora pareçam simples, contribuem para a construção de uma cultura organizacional comprometida com a privacidade e a segurança da informação.

Perguntas Frequentes (FAQ)

1. Toda empresa precisa indicar um encarregado de dados?

Sim, segundo o art. 41 da LGPD e a Resolução CD/ANPD nº 18/2024, todos os agentes de tratamento, incluindo microempresas e profissionais liberais, devem designar um encarregado. A medida visa garantir um canal de comunicação permanente com os titulares e com a ANPD.

2. O consentimento do titular é a única base legal válida para o tratamento de d

ados?

Não. O consentimento é apenas uma das dez bases legais previstas no art. 7º da LGPD. Em muitas situações, o tratamento pode se fundamentar em outras hipóteses, como cumprimento de obrigação legal, execução de contrato, legítimo interesse ou proteção da vida. A escolha da base legal correta depende da finalidade do tratamento e do contexto concreto.

3. Qual o prazo para responder às solicitações dos titulares?

A LGPD não fixa prazo único em dias. O art. 18, parágrafo 5º, estabelece que o controlador deve atender às solicitações de forma gratuita e facilitada, adotando todas as medidas razoáveis para o atendimento. Na prática, recomenda-se que a empresa defina em sua política de privacidade um prazo razoável, geralmente entre 15 e 30 dias, salvo legislação específica que determine prazo diferente.

4. Quais são as penalidades para quem descumprir a LGPD?

O art. 52 da LGPD prevê advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, bloqueio, eliminação ou anonimização de dados, suspensão do banco de dados e proibição de atividades relacionadas ao tratamento. Além disso, podem ser aplicadas sanções previstas no Código de Defesa do Consumidor, no Código Civil e na legislação penal.

5. Microempresas e profissionais liberais também estão obrigados a cumprir a LGP

D?

Sim. A LGPD não diferencia o porte da empresa ou a natureza do profissional. Qualquer pessoa física ou jurídica que realize tratamento de dados pessoais deve observar as disposições da lei, sob pena de responder administrativa, civil e criminalmente.

Conclusão

A LGPD deixou de ser uma tendência e se tornou uma realidade incontornável para qualquer organização que trata dados pessoais no Brasil. Mais do que um conjunto de regras técnicas, a legislação representa uma mudança de paradigma, colocando a privacidade no centro das relações entre empresas, cidadãos e poder público.

Conhecer as obrigações principais, implementá-las de forma gradual e manter uma postura de melhoria contínua são os caminhos mais seguros para reduzir riscos, fortalecer a reputação da marca e construir relações de confiança duradouras. Empresas que tratam a proteção de dados como prioridade estratégica saem na frente, tanto na prevenção de sanções quanto na conquista de clientes cada vez mais atentos ao cuidado com suas informações.

Se a sua empresa ainda não iniciou o processo de adequação ou se você tem dúvidas específicas sobre como aplicar a LGPD no dia a dia do negócio, buscar orientação jurídica especializada é o melhor caminho para evitar erros e ganhar segurança na tomada de decisões.

A Dra. Kauane Silva, advogada inscrita na OAB, atende pessoas e empresas em Porto Belo e região, oferecendo orientação personalizada para adequação à LGPD, revisão de políticas de privacidade, contratos com operadores e demais demandas envolvendo proteção de dados. Entre em contato para uma consulta confidencial e descubra como alinhar o seu negócio às exigências legais com tranquilidade e eficiência.

Este conteúdo tem caráter informativo e não substitui consulta com advogada habilitada. Procure profissional inscrito na OAB.

Referências consultadas

BRASIL. Lei nº 13.709/2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm, BRASIL. Lei nº 13.853/2019. Altera a Lei nº 13.709/2018 para dispor sobre a proteção de dados pessoais e criar a Autoridade Nacional de Proteção de Dados. Brasília, DF, 2019. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/lei/l13853.htm, BRASIL. Lei nº 12.965/2014. Marco Civil da Internet. Brasília, DF, 2014. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm, BRASIL. Constituição da República Federativa do Brasil de 1988, art. 5º, incisos X e XII. Disponível em: https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm, AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD nº 15/2024. Aprova o regulamento do procedimento de comunicação de incidentes de segurança. Brasília, 2024., AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD nº 18/2024. Dispõe sobre a figura do encarregado pelo tratamento de dados pessoais. Brasília, 2024., AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD nº 19/2024. Dispõe sobre o registro de operações de tratamento de dados pessoais. Brasília, 2024., AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD nº 23/2024. Aprova os critérios de dosimetria para aplicação de sanções administrativas. Brasília, 2024.