A gente utiliza a internet praticamente para tudo. Faz compras, acessa bancos, cria contas em aplicativos, assina serviços, participa de redes sociais e compartilha informações pessoais sem nem perceber a quantidade de dados que está entregando pelo caminho.
Nome completo, CPF, endereço, telefone, localização, informações financeiras e até características biométricas. Tudo isso pode ser coletado, armazenado, compartilhado e utilizado por empresas e organizações.
Mas você já parou para pensar no que acontece com essas informações depois que elas são fornecidas?
É justamente nesse cenário que entra a LGPD (Lei Geral de Proteção de Dados Pessoais), uma legislação brasileira criada para estabelecer regras sobre como os dados pessoais devem ser tratados, garantindo mais transparência, segurança e controle para os cidadãos.
A lei não se aplica apenas às grandes empresas de tecnologia. Pequenos negócios, lojas virtuais, aplicativos, plataformas digitais e até profissionais autônomos podem estar sujeitos às suas regras.
Neste artigo, vamos entender o que é a LGPD, quais são seus principais pontos, os direitos dos titulares e o que empresas e desenvolvedores precisam considerar para trabalhar com dados pessoais de maneira responsável.
O que é a LGPD?
A Lei Geral de Proteção de Dados Pessoais, conhecida como LGPD, é a Lei nº 13.709/2018, sancionada em 14 de agosto de 2018 e inspirada em legislações internacionais de proteção de dados, especialmente o GDPR europeu.
Seu principal objetivo é regulamentar o tratamento de dados pessoais realizado por pessoas físicas e jurídicas, tanto no ambiente digital quanto fora dele.
Na prática, a legislação estabelece limites e responsabilidades para quem coleta, utiliza, armazena, compartilha ou realiza qualquer outra operação envolvendo informações pessoais.
Isso significa que uma empresa não pode simplesmente coletar todos os dados que quiser, armazená-los indefinidamente e utilizá-los para qualquer finalidade.
É necessário ter uma justificativa legal para o tratamento, respeitar os direitos dos titulares e adotar medidas para proteger essas informações.
A LGPD entrou em vigor em 2020, enquanto as sanções administrativas passaram a poder ser aplicadas a partir de agosto de 2021.
A legislação também criou a Autoridade Nacional de Proteção de Dados (ANPD), responsável por regulamentar, orientar e fiscalizar o cumprimento da lei no Brasil.
Quais dados são protegidos pela LGPD?
Antes de entender como a legislação funciona, precisamos diferenciar os tipos de informações que ela protege.
A LGPD trabalha principalmente com duas categorias: dados pessoais e dados pessoais sensíveis.
Dados pessoais
São informações relacionadas a uma pessoa natural identificada ou identificável.
Em outras palavras, qualquer informação que permita identificar alguém diretamente ou que, quando combinada com outros dados, possibilite essa identificação.
Alguns exemplos:
- Nome completo;
- CPF e RG;
- Endereço residencial;
- Número de telefone;
- Endereço de e-mail;
- Data de nascimento;
- Endereço IP, dependendo do contexto;
- Dados de localização;
- Identificadores utilizados em aplicativos e serviços digitais.
Um detalhe importante: nem sempre uma informação isolada identifica alguém. Entretanto, isso não significa que ela deixa de ser considerada dado pessoal quando pode ser associada a uma pessoa.
Dados pessoais sensíveis
Os dados sensíveis recebem uma proteção especial porque seu uso inadequado pode gerar discriminação ou outros prejuízos aos titulares.
De acordo com o artigo 5º, inciso II, da LGPD, são considerados dados pessoais sensíveis aqueles relacionados a:
- Origem racial ou étnica;
- Convicção religiosa;
- Opinião política;
- Filiação a sindicato ou organização de caráter religioso, filosófico ou político;
- Dados referentes à saúde;
- Dados referentes à vida sexual;
- Dados genéticos;
- Dados biométricos vinculados a uma pessoa natural.
O tratamento dessas informações possui regras mais restritas e hipóteses legais específicas.
Por exemplo, uma clínica médica precisa lidar com informações sobre a saúde dos pacientes para prestar seus serviços. Isso não significa que pode utilizar esses mesmos dados livremente para qualquer outra finalidade.
Quais são os princípios da LGPD?
Um dos pontos mais importantes da legislação está no artigo 6º, que apresenta os princípios que devem orientar qualquer atividade de tratamento de dados pessoais.
Não basta ter uma justificativa para coletar informações. A maneira como esses dados são utilizados também precisa respeitar determinadas regras.
A legislação estabelece dez princípios:
1. Finalidade: os dados devem ser tratados para propósitos legítimos, específicos e informados ao titular.
2. Adequação: o tratamento precisa ser compatível com a finalidade apresentada.
3. Necessidade: a coleta deve se limitar ao mínimo necessário para atingir o objetivo pretendido.
4. Livre acesso: o titular deve conseguir consultar gratuitamente informações sobre o tratamento de seus dados.
5. Qualidade dos dados: as informações precisam ser claras, relevantes, exatas e atualizadas.
6. Transparência: o titular deve receber informações acessíveis sobre como seus dados são utilizados.
7. Segurança: devem ser adotadas medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.
8. Prevenção: é necessário adotar medidas para evitar danos decorrentes do tratamento de dados pessoais.
9. Não discriminação: os dados não podem ser utilizados para finalidades discriminatórias ilícitas ou abusivas.
10. Responsabilização e prestação de contas: quem realiza o tratamento precisa demonstrar que adotou medidas eficazes para cumprir a legislação.
Esses princípios ajudam a entender que a LGPD não é simplesmente uma lei sobre autorização para coletar informações. Ela estabelece uma série de responsabilidades que acompanham todo o ciclo de vida dos dados.
Quais são os direitos dos titulares de dados?
Uma das principais mudanças trazidas pela LGPD foi colocar o cidadão em uma posição mais ativa em relação às próprias informações.
Antes, era comum fornecer dados para uma empresa e praticamente não ter controle sobre o que acontecia depois.
Com a legislação, o titular passou a ter direitos específicos que podem ser exercidos perante os agentes de tratamento.
Entre os principais direitos previstos no artigo 18 estão:
- Confirmação do tratamento: saber se uma empresa realiza o tratamento de seus dados pessoais.
- Acesso aos dados: solicitar acesso às informações que a organização possui.
- Correção: solicitar a atualização de dados incompletos, incorretos ou desatualizados.
- Anonimização, bloqueio ou eliminação: solicitar essas medidas quando os dados forem desnecessários, excessivos ou tratados em desconformidade com a legislação.
- Portabilidade: solicitar a transferência dos dados para outro fornecedor de serviço ou produto, observadas as regulamentações aplicáveis.
- Eliminação: solicitar a exclusão de dados pessoais tratados com base no consentimento, ressalvadas as hipóteses legais de conservação.
- Informação sobre compartilhamento: saber com quais entidades públicas e privadas os dados foram compartilhados.
- Informação sobre o consentimento: receber informações sobre a possibilidade de não fornecer consentimento e as consequências dessa decisão.
- Revogação do consentimento: retirar uma autorização concedida anteriormente.
É importante entender que esses direitos não significam que uma empresa precisa apagar qualquer informação sempre que alguém solicitar.
Existem situações em que a legislação permite ou exige a conservação dos dados, como no cumprimento de obrigações legais e regulatórias.
Ainda assim, a organização precisa apresentar uma justificativa adequada e respeitar os limites estabelecidos pela legislação.
O consentimento é obrigatório para coletar dados?
Essa é uma das dúvidas mais comuns quando falamos sobre a LGPD.
Muita gente acredita que qualquer coleta de informação precisa de uma autorização expressa do usuário. Mas não é exatamente assim.
O consentimento é apenas uma das dez bases legais previstas no artigo 7º da legislação para o tratamento de dados pessoais não sensíveis.
Entre as outras hipóteses estão:
- Cumprimento de obrigação legal ou regulatória;
- Execução de políticas públicas;
- Realização de estudos por órgão de pesquisa;
- Execução de contrato ou procedimentos preliminares relacionados a contrato;
- Exercício regular de direitos;
- Proteção da vida ou da incolumidade física;
- Tutela da saúde;
- Legítimo interesse, observadas as condições legais;
- Proteção do crédito.
Isso significa que uma empresa pode tratar determinados dados sem solicitar consentimento, desde que exista outra base legal adequada para aquela operação.
Imagine uma loja virtual que precisa coletar nome, endereço e CPF para processar uma compra e emitir uma nota fiscal.
Nesse caso, o tratamento pode estar fundamentado na execução do contrato e no cumprimento de obrigações legais, não sendo necessário depender exclusivamente do consentimento do consumidor.
Por outro lado, utilizar o e-mail do cliente para uma finalidade adicional, como campanhas promocionais, exige uma análise própria sobre a base legal aplicável.
O importante é entender que não basta colocar um botão de aceitação ou uma caixa de seleção para considerar uma operação adequada à LGPD.
É necessário identificar a finalidade, escolher a base legal correta e garantir transparência durante todo o processo.
Quem são os agentes de tratamento de dados?
A LGPD também define os principais participantes envolvidos no tratamento de dados pessoais.
São eles:
Controlador
É a pessoa física ou jurídica responsável pelas decisões referentes ao tratamento dos dados pessoais.
Por exemplo, uma empresa que desenvolve uma plataforma de estudos e decide quais informações serão coletadas dos usuários, para quais finalidades e por quanto tempo serão armazenadas.
Nesse cenário, a empresa atua como controladora.
Operador
É quem realiza o tratamento de dados pessoais em nome do controlador e seguindo suas instruções.
Um exemplo seria uma empresa contratada para hospedar e processar informações de usuários de determinada plataforma.
O operador não deve decidir livremente as finalidades do tratamento. Sua atuação precisa respeitar as instruções legítimas do controlador e as obrigações previstas na legislação.
Encarregado de dados (DPO)
O encarregado é a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
Entre suas atribuições estão receber solicitações dos titulares, orientar os funcionários e contratados sobre práticas de proteção de dados e executar outras atividades determinadas pelo controlador ou estabelecidas em normas complementares.
A indicação de um encarregado possui regras específicas. A ANPD prevê hipóteses de dispensa para determinados agentes de tratamento de pequeno porte, sem eliminar suas demais obrigações.
O que acontece quando uma empresa descumpre a LGPD?
A legislação prevê sanções administrativas para organizações que descumprirem suas disposições.
Essas penalidades são aplicadas pela Autoridade Nacional de Proteção de Dados, respeitando o processo administrativo e o direito de defesa.
Entre as sanções previstas no artigo 52 estão:
- Advertência, com indicação de prazo para adoção de medidas corretivas;
- Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração;
- Multa diária, observando o limite total previsto na legislação;
- Publicização da infração após devidamente apurada e confirmada;
- Bloqueio dos dados pessoais envolvidos na infração;
- Eliminação dos dados pessoais envolvidos na infração;
- Suspensão parcial do funcionamento do banco de dados;
- Suspensão do exercício da atividade de tratamento dos dados pessoais;
- Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados.
É importante destacar que a aplicação de uma penalidade não acontece automaticamente diante de qualquer falha.
A ANPD considera critérios como gravidade da infração, natureza dos direitos afetados, boa-fé, cooperação, reincidência, adoção de mecanismos de segurança e existência de políticas de governança.
Além disso, a LGPD não impede que titulares busquem reparação por danos patrimoniais ou morais decorrentes de violações à legislação.
O que fazer em caso de vazamento de dados?
Nenhum sistema está completamente livre de riscos. Mesmo organizações que investem em segurança podem enfrentar incidentes envolvendo informações pessoais.
Um vazamento de dados pode acontecer por diferentes motivos:
- Acesso indevido a bancos de dados;
- Exploração de vulnerabilidades em aplicações;
- Ataques de ransomware;
- Roubo de credenciais;
- Configurações incorretas de servidores;
- Exposição acidental de arquivos;
- Falhas humanas durante operações internas.
Mas o que uma empresa deve fazer quando isso acontece?
A LGPD estabelece, em seu artigo 48, a obrigação de comunicar à ANPD e aos titulares os incidentes de segurança que possam acarretar risco ou dano relevante.
Em 2024, a ANPD publicou a Resolução CD/ANPD nº 15, que regulamentou os procedimentos para essa comunicação.
De acordo com o regulamento, o controlador deve realizar a comunicação no prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, salvo quando houver prazo específico previsto em outra legislação.
Para determinados agentes de tratamento de pequeno porte, o prazo é contado em dobro, conforme as regras aplicáveis.
Também é necessário manter o registro dos incidentes de segurança envolvendo dados pessoais por pelo menos cinco anos, mesmo quando não houver obrigação de comunicá-los à ANPD.
Isso demonstra que segurança da informação não pode ser tratada como algo secundário dentro de uma empresa.
Ter backups, monitoramento, controle de acesso, registros de auditoria e um plano de resposta a incidentes pode fazer uma diferença enorme quando algum problema acontece.
Como adequar uma empresa à LGPD?
Adequar uma organização à legislação não significa simplesmente criar uma página de política de privacidade e adicionar um aviso de cookies no site.
Essas medidas podem fazer parte do processo, mas a conformidade depende de uma análise muito mais ampla.
O primeiro passo é entender quais informações pessoais são coletadas e como elas circulam dentro da organização.
A partir disso, é possível estabelecer medidas para reduzir riscos e garantir que o tratamento aconteça de maneira adequada.
Algumas ações importantes são:
1. Mapear os dados pessoais: identificar quais informações são coletadas, onde ficam armazenadas, quem consegue acessá-las e com quem são compartilhadas.
2. Definir as finalidades e bases legais: cada operação de tratamento precisa ter uma finalidade legítima e uma hipótese legal adequada.
3. Criar uma política de privacidade: explicar de maneira clara quais dados são tratados, por quais motivos e quais são os direitos dos titulares.
4. Revisar contratos: avaliar os contratos com fornecedores e parceiros que tenham acesso a dados pessoais.
5. Implementar controles de segurança: utilizar autenticação adequada, controle de permissões, criptografia quando aplicável, backups e monitoramento.
6. Estabelecer políticas de retenção: definir por quanto tempo os dados precisam ser mantidos e como serão eliminados quando não houver mais justificativa para sua conservação.
7. Preparar uma resposta a incidentes: estabelecer procedimentos para identificar, investigar, conter e comunicar incidentes de segurança.
8. Orientar os colaboradores: capacitar as pessoas que trabalham com informações pessoais para evitar erros e acessos indevidos.
A ANPD disponibiliza materiais gratuitos que ajudam organizações, especialmente empresas de pequeno porte, a entender e implementar medidas de proteção de dados.
O que desenvolvedores precisam saber sobre a LGPD?
Para quem trabalha com desenvolvimento de software, a LGPD não deveria ser apenas uma preocupação do departamento jurídico.
Afinal, boa parte das decisões relacionadas ao tratamento de dados acontece durante o desenvolvimento de sistemas.
É o desenvolvedor quem implementa formulários, define estruturas de banco de dados, cria mecanismos de autenticação, configura permissões e desenvolve integrações entre aplicações.
Por isso, algumas práticas técnicas são especialmente importantes.
Colete apenas o necessário
Se uma aplicação precisa apenas do nome e do e-mail para criar uma conta, não existe motivo para exigir CPF, endereço residencial e telefone sem uma finalidade que justifique essa coleta.
Esse cuidado está diretamente relacionado ao princípio da necessidade.
Proteja as informações armazenadas
Senhas nunca devem ser armazenadas em texto puro. Utilize algoritmos apropriados para hash de senhas, como Argon2id ou bcrypt.
Outras informações pessoais também precisam de proteção adequada, considerando os riscos envolvidos e o contexto da aplicação.
Implemente controle de acesso
Nem todo funcionário precisa acessar todas as informações disponíveis no sistema.
Utilize permissões específicas, autenticação adequada e mecanismos de autorização para limitar o acesso aos dados conforme a necessidade de cada usuário.
Evite expor informações em logs
Logs são fundamentais para monitoramento e diagnóstico de problemas, mas precisam ser tratados com cuidado.
Evite registrar senhas, tokens de autenticação, documentos pessoais e outras informações sensíveis sem uma justificativa técnica adequada.
Defina políticas de retenção e exclusão
Não faz sentido manter indefinidamente informações pessoais que já não possuem finalidade ou justificativa legal para continuar armazenadas.
Implemente mecanismos para identificar dados que podem ser eliminados, anonimizados ou mantidos por uma obrigação legal.
Pense em privacidade desde o desenvolvimento
O conceito de Privacy by Design está relacionado à incorporação da privacidade e da proteção de dados desde as etapas iniciais de planejamento e desenvolvimento de um sistema.
Em vez de tentar corrigir todos os problemas depois que a aplicação já está em produção, o ideal é considerar essas questões desde a arquitetura do software.
Isso envolve decisões sobre banco de dados, APIs, autenticação, permissões, integrações e armazenamento de arquivos.
A LGPD não determina uma tecnologia específica que todos os sistemas precisam utilizar. O que ela exige é que os agentes adotem medidas de segurança compatíveis com os riscos e as características do tratamento realizado.
A LGPD também se aplica a pequenas empresas?
Sim!
A legislação não estabelece uma isenção geral para pequenos negócios.
Uma loja virtual, uma startup, um pequeno escritório ou um profissional autônomo que realiza tratamento de dados pessoais também precisa observar as disposições da LGPD.
Entretanto, a ANPD estabeleceu regras diferenciadas para agentes de tratamento de pequeno porte, por meio da Resolução CD/ANPD nº 2/2022.
Essas regras incluem algumas flexibilizações, como a possibilidade de simplificação do registro das operações de tratamento e a dispensa da indicação de um encarregado em determinadas situações.
Isso não significa que pequenas empresas estejam livres de proteger informações pessoais.
As obrigações relacionadas à segurança, aos direitos dos titulares e às bases legais continuam existindo.
A própria ANPD disponibiliza um guia de segurança da informação, um checklist de medidas de proteção e modelos de registro de operações direcionados a agentes de tratamento de pequeno porte.
São materiais interessantes para quem está começando a organizar seus processos de conformidade.
Conclusão
A LGPD representa uma mudança importante na maneira como empresas e organizações precisam lidar com informações pessoais.
Durante muito tempo, a coleta de dados foi tratada como algo praticamente automático no ambiente digital. Criar uma conta, realizar uma compra ou utilizar um aplicativo significava entregar informações sem necessariamente entender como elas seriam utilizadas.
A legislação trouxe mais responsabilidades para quem realiza o tratamento e estabeleceu direitos importantes para os cidadãos.
Mas é importante entender que a proteção de dados não se resume ao cumprimento de uma obrigação legal ou ao medo de receber uma multa.
Estamos falando de privacidade, segurança, transparência e respeito às pessoas que confiam suas informações a uma organização.
Para empresas e desenvolvedores, isso significa pensar melhor na maneira como os sistemas são construídos, como os dados são armazenados e quem realmente precisa ter acesso a eles.
No fim das contas, proteger dados pessoais deveria ser uma preocupação natural de qualquer projeto que lide com informações de pessoas. A LGPD apenas estabelece que essa responsabilidade não pode ser ignorada.
Referências e materiais para consulta
As informações deste artigo foram elaboradas com base na legislação brasileira e em materiais institucionais. Para aprofundar o assunto, vale consultar as fontes abaixo:
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais: texto atualizado da legislação, disponibilizado pela Câmara dos Deputados. Consultar a LGPD.
- ANPD — Perguntas Frequentes: material oficial com esclarecimentos sobre a aplicação da LGPD, direitos dos titulares e obrigações dos agentes de tratamento. Consultar perguntas frequentes.
- ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte: recomendações técnicas e administrativas para proteger dados pessoais. Acessar o guia.
- Resolução CD/ANPD nº 15/2024: regulamento que estabelece os procedimentos para comunicação de incidentes de segurança envolvendo dados pessoais. Consultar o regulamento.
- ANPD — Fiscalização: informações sobre como a autoridade realiza atividades de monitoramento, orientação, prevenção e repressão. Entenda como funciona a fiscalização.
