Sua empresa precisa se adequar à LGPD? Veja por onde começar

Quase sempre, sim. Pelo art. 3º, a LGPD vale para qualquer tratamento de dados pessoais feito no Brasil, ou de pessoas que estão aqui, por pessoa física ou empresa, pública ou privada. Não importa o tamanho nem se os dados estão no papel ou no computador.

As exceções do art. 4º são estreitas: uso por pessoa física para fins exclusivamente particulares e não econômicos, fins jornalísticos, artísticos ou acadêmicos, segurança pública, defesa nacional e investigação de crimes. Empresa que vende ou tem funcionários não se encaixa nelas.

Quatro termos para entender o resto da lei

• Dado pessoalInformação de uma pessoa identificada ou identificável, como nome, CPF, telefone ou foto (art. 5º, I).
• Dado pessoal sensívelOrigem racial ou étnica, religião, opinião política, filiação a sindicato, saúde, vida sexual, dado genético ou biométrico (art. 5º, II).
• TratamentoToda operação com o dado: coletar, guardar, usar, compartilhar ou apagar (art. 5º, X). Uma planilha de clientes já é tratamento.
• Controlador e operadorControlador decide para que os dados são usados: em regra, a sua empresa. Operador trata os dados em nome dela, como o contador (art. 5º, VI e VII).

• LGPD, art. 37

  Registro das operações

  A empresa e os operadores devem manter registro das operações de tratamento, especialmente das baseadas no legítimo interesse. É o inventário de quais dados entram, para quê e com quem são compartilhados.

• LGPD, art. 38

  Relatório de impacto, quando cabe

  O relatório de impacto à proteção de dados descreve os tratamentos que podem gerar riscos às pessoas e as medidas para reduzi-los (art. 5º, XVII). A ANPD pode determinar que a empresa o faça, inclusive quando o tratamento se baseia no legítimo interesse (art. 10, § 3º).

• LGPD, art. 41

  Encarregado (DPO)

  A empresa deve indicar um encarregado, o canal entre ela, os titulares e a ANPD, e divulgar o nome e o contato dele, de preferência no site. A ANPD dispensou essa indicação para as empresas de pequeno porte.

• LGPD, art. 46 e art. 47

  Segurança dos dados

  Medidas técnicas e administrativas para proteger os dados de acessos não autorizados, perda, alteração ou vazamento, desde a concepção do produto ou serviço, e mesmo depois que o tratamento termina.

• LGPD, art. 48

  Comunicação de incidente

  O incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e às pessoas afetadas. Pela Resolução CD/ANPD nº 15/2024, o prazo é de 3 dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais.

• LGPD, art. 18

  Pedidos dos titulares

  Clientes e funcionários podem pedir acesso, correção, eliminação e outras providências. A empresa precisa de um caminho para receber e responder.

Se a empresa já está diante de um incidente, o passo a passo dos primeiros dias está no guia sobre vazamento de dados na empresa.

Cada passo usa o resultado do anterior. Os primeiros a empresa dá por conta própria.

1. 1

   Mapeie os dados

   Liste, área por área, os dados pessoais que a empresa coleta (clientes, funcionários, câmeras, site), para quê, onde ficam, quem acessa e com quem são compartilhados. É a base do registro do art. 37.

2. 2

   Defina a base legal de cada uso

   Para cada finalidade, aponte uma base legal do art. 7º (ou do art. 11, se o dado for sensível). O que não tem base legal nem finalidade deve sair.

3. 3

   Indique o encarregado ou abra o canal

   Indique o encarregado por documento escrito e divulgue o contato dele no site. A empresa de pequeno porte que não indicar precisa de um canal de comunicação com os titulares.

4. 4

   Publique o aviso de privacidade

   Explique em linguagem simples, no site e onde coleta dados, o que a empresa usa, para quê, com quem compartilha e como a pessoa exerce os direitos do art. 18 (art. 9º).

5. 5

   Revise os contratos com fornecedores

   Contador, sistema de gestão, agência de marketing: quem trata dados em nome da empresa deve seguir as instruções dela (art. 39). O contrato registra o que o fornecedor pode fazer com os dados e como avisa um incidente.

6. 6

   Reforce a segurança

   Acesso por pessoa, verificação em duas etapas, cópias de segurança e sistemas atualizados. Escreva as regras numa política de segurança, que pode ser simplificada na empresa de pequeno porte.

7. 7

   Treine a equipe

   Muitos incidentes começam num link falso ou numa planilha enviada à pessoa errada. Orientar a equipe é uma das atividades do encarregado (art. 41, § 2º, III).

8. 8

   Monte o plano de resposta a incidentes

   Defina antes quem é avisado, quem decide e quem redige a comunicação à ANPD. Com prazo de 3 dias úteis, não dá para começar do zero (art. 50, § 2º, I, g).

O que não pode faltar no aviso de privacidade do site, as regras dos cookies e a diferença para os termos de uso estão no guia sobre política de privacidade para site.

Se a equipe já usa ferramentas de inteligência artificial com dados de clientes, o treinamento precisa incluir regras de uso de IA. Veja o guia sobre treinamento de IA para empresas.

Celular ou notebook da empresa roubado também pode ser um incidente com dados pessoais. Para os primeiros bloqueios, veja o guia sobre celular roubado.

A Resolução CD/ANPD nº 2/2022 simplificou regras para os agentes de pequeno porte: microempresas, empresas de pequeno porte (incluído o MEI), startups, entidades sem fins lucrativos e pessoas físicas que tratam dados como controlador ou operador.

Ficam de fora a empresa com receita bruta acima do limite da empresa de pequeno porte na Lei Complementar 123/2006 (R$ 4,8 milhões por ano; para startups, vale o limite da Lei Complementar 182/2021), a de grupo econômico cuja receita somada passe desse limite e a que faz tratamento de alto risco: larga escala ou efeito relevante nos direitos das pessoas, somado a tecnologia nova, vigilância de áreas públicas, decisão só automatizada ou dados sensíveis, de crianças, adolescentes ou idosos (art. 4º do regulamento).

• Registro simplificadoA empresa pode manter um registro simplificado das operações de tratamento exigidas pelo art. 37 da LGPD (art. 9º do regulamento).
• Encarregado opcionalOs agentes de pequeno porte não são obrigados a indicar o encarregado, mas precisam manter um canal de comunicação com o titular. Se indicarem, isso conta como boa prática para a ANPD (art. 11).
• Segurança proporcionalPodem adotar uma política simplificada de segurança da informação, com os requisitos essenciais para proteger os dados (arts. 12 e 13).
• Prazos em dobroTêm prazo em dobro para atender os titulares, comunicar incidentes e entregar documentos pedidos pela ANPD (art. 14). No incidente, os 3 dias úteis contam em dobro.

A flexibilização não isenta a empresa de cumprir a LGPD: continuam valendo os princípios, as bases legais e os direitos dos titulares (art. 6º do regulamento). E a ANPD pode exigir as obrigações dispensadas conforme o risco do tratamento.

Pelo art. 18 da LGPD, o titular, isto é, a pessoa a quem os dados se referem, pode pedir à empresa, a qualquer momento:

• confirmação de que a empresa trata dados da pessoa
• acesso aos dados
• correção de dados incompletos, inexatos ou desatualizados
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei
• portabilidade dos dados a outro fornecedor, nos termos da regulamentação da ANPD
• eliminação dos dados tratados com base no consentimento, salvo as exceções da lei
• informação sobre com quem a empresa compartilhou os dados
• informação sobre a possibilidade de não consentir e as consequências da negativa
• revogação do consentimento

O pedido é atendido sem custos para o titular (art. 18, § 5º), e a pessoa pode reclamar à ANPD e aos órgãos de defesa do consumidor, como o Procon (art. 18, §§ 1º e 8º). Por isso o canal do encarregado precisa funcionar, e não só existir no site.

A ANPD passou a se chamar Agência Nacional de Proteção de Dados (ANPD) com a Lei 15.352/2026, que a tornou uma autarquia de natureza especial. É ela que fiscaliza e aplica as sanções do art. 52 da LGPD:

• Advertência e multaA ANPD pode aplicar advertência, com prazo para corrigir, e multa de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, além de multa diária.
• Publicização e bloqueioA publicização da infração depois de apurada; o bloqueio dos dados ligados à infração até a regularização; eliminação desses dados.
• Suspensão e proibiçãoA suspensão do banco de dados ou da atividade de tratamento por até 6 meses, prorrogáveis, e a proibição parcial ou total de atividades com dados.

O trabalho é feito com a equipe da empresa, em etapas. Nem toda empresa passa por todas: cada empresa depende dos dados que trata, do porte e do que já existe. Não há resultado garantido.

1. Etapa 1

   Conversa inicial e diagnóstico

   Entender o negócio, os dados, os sistemas e os fornecedores, e apontar o que falta.

2. Etapa 2

   Mapeamento e registro

   Levantamento com cada área e registro das operações, com a base legal de cada finalidade.

3. Etapa 3

   Documentos e contratos

   Aviso de privacidade, política de segurança, plano de incidentes, cláusulas nos contratos com fornecedores e, quando cabe, relatório de impacto.

4. Etapa 4

   Encarregado, equipe e acompanhamento

   Apoio na indicação do encarregado ou no canal com os titulares, treinamento da equipe e resposta a titulares e a ofícios da ANPD.

Entrevistas sobre vazamentos de dados, crimes cibernéticos e segurança digital.

• 

  Metrópoles, Café em Brasília

  Apagão cibernético global: falha em software afeta voos, bancos e serviços

• 

  TV Brasil, Repórter Brasil

  Crimes digitais: punições previstas em lei para hackers

• 

  CNJ

  Entrevista como professor e advogado de Direito Digital