Oito anos depois de aprovada, a LGPD deixou de perguntar se a empresa tem política de privacidade e passou a perguntar se ela consegue provar que a proteção funciona.
O sinal mais claro veio em agosto de 2026. Ao multar o TikTok em R$ 153,7 milhões, a ANPD listou cinco infrações. Uma delas foi deixar de demonstrar que as medidas adotadas eram eficazes. A plataforma tinha verificação de idade. A Agência concluiu que ela não era eficaz para impedir o cadastro de crianças e adolescentes, e que a empresa não conseguia provar o contrário.
Este texto foi publicado em 2019, antes de a lei entrar em vigor. Quase tudo que era previsão virou fato, e parte do que escrevemos na época ficou incompleto ou errado. Esta é a versão revisada: o que a lei exige, o que mudou desde então, onde ela difere do GDPR e como separar um programa de privacidade que funciona de um que só existe no papel.
O conteúdo é informativo e não substitui orientação jurídica.
O que é a LGPD
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) define quando e como pessoas e organizações, públicas ou privadas, podem tratar dados pessoais.
Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. Dado pessoal sensível é o que trata de origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico. Tratamento é qualquer operação com esses dados: coleta, armazenamento, uso, compartilhamento, eliminação.
Desde 2022, a proteção de dados pessoais é direito fundamental previsto na Constituição (Emenda Constitucional nº 115, art. 5º, LXXIX). Isso muda o peso do tema em qualquer discussão judicial e regulatória.
O que mudou desde 2019
A lei que escrevemos como “prevista para 2020” teve um percurso longo:
- Agosto de 2018: sanção da Lei 13.709.
- Dezembro de 2018: a Medida Provisória 869 cria a ANPD, depois convertida na Lei 13.853/2019.
- 18 de setembro de 2020: a LGPD entra em vigor (Serpro).
- 1º de agosto de 2021: as sanções administrativas passam a valer, adiadas pela Lei 14.010/2020.
- 2022: a proteção de dados vira direito fundamental (EC 115) e a ANPD ganha autonomia como autarquia de natureza especial (Lei 14.460/2022).
- Julho de 2023: primeira multa aplicada pela ANPD, a uma microempresa de telemarketing.
- 2024: saem os regulamentos de comunicação de incidentes, do encarregado e de transferência internacional de dados.
- Janeiro de 2026: União Europeia e Brasil adotam decisões de adequação mútuas. Dados passam a circular entre os dois sem salvaguardas adicionais.
- Fevereiro de 2026: a Lei 15.352/2026 transforma a ANPD em Agência Nacional de Proteção de Dados, com carreira própria e a missão adicional de regular o ECA Digital (Lei 15.211/2025, em vigor desde março de 2026).
- Agosto de 2026: maior multa da história da ANPD, aplicada ao TikTok, por falhas na proteção de dados de crianças e adolescentes.
A previsão de 2019 de que a ANPD “provavelmente se tornaria autônoma” se cumpriu duas vezes. Hoje ela é agência reguladora, com orçamento, carreira e pauta próprios.
A quem a LGPD se aplica
A lei vale para qualquer tratamento de dados pessoais, feito por pessoa física ou jurídica, de direito público ou privado, independentemente do meio, do país da sede ou de onde os dados estejam armazenados, desde que ocorra uma destas situações (art. 3º):
- o tratamento é realizado no Brasil;
- o tratamento tem por objetivo oferecer bens ou serviços a pessoas no Brasil, ou tratar dados de pessoas localizadas aqui;
- os dados foram coletados no Brasil, ou seja, o titular estava no país no momento da coleta.
Uma empresa estrangeira que vende para brasileiros pela internet está sujeita à LGPD, mesmo sem escritório no país.
Tamanho não isenta ninguém. Microempresas, empresas de pequeno porte e startups seguem a lei com um regime simplificado (Resolução CD/ANPD nº 2/2022), que flexibiliza obrigações e dobra prazos, mas não dispensa o cumprimento.
Quando a LGPD não se aplica
O art. 4º exclui estas situações:
- tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos;
- tratamento para fins exclusivamente jornalísticos ou artísticos;
- tratamento para fins acadêmicos, com uma ressalva: as bases legais dos arts. 7º e 11 continuam valendo;
- tratamento para segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, que deve ser regulado por lei específica;
- dados vindos do exterior que apenas transitam pelo Brasil, sem compartilhamento com agentes brasileiros, desde que o país de origem ofereça proteção adequada.
A exceção acadêmica costuma ser lida de forma ampla demais. Pesquisa feita por empresa privada para desenvolver produto não é pesquisa acadêmica.
Os papéis: titular, controlador, operador e encarregado
- Titular: a pessoa natural a quem os dados se referem.
- Controlador: quem toma as decisões sobre o tratamento (para que, como, por quanto tempo).
- Operador: quem trata os dados em nome do controlador, seguindo suas instruções.
- Encarregado (DPO): o canal de comunicação entre controlador, titulares e ANPD.
Duas correções importantes em relação ao texto de 2019. Primeiro, o encarregado não precisa ser pessoa física: o regulamento do encarregado (Resolução CD/ANPD nº 18/2024, art. 12) admite pessoa natural ou jurídica, da própria organização ou externa. Segundo, a indicação é obrigatória para o controlador e facultativa para o operador. Agentes de pequeno porte estão dispensados, desde que mantenham um canal de comunicação com os titulares.
O papel de controlador ou operador é definido pelo que a empresa faz, não pelo que o contrato diz. Um fornecedor que decide usar os dados do cliente para treinar o próprio modelo de IA deixou de ser operador naquele tratamento, mesmo que o contrato o chame assim. Essa é uma das perguntas mais negligenciadas na contratação de ferramentas de IA.
Bases legais: consentimento é uma entre dez
O texto de 2019 dizia que um dos deveres das empresas era “obter os consentimentos necessários”. A frase induz a um erro comum. O consentimento é apenas uma das dez bases legais do art. 7º:
- consentimento do titular;
- cumprimento de obrigação legal ou regulatória;
- execução de políticas públicas pela administração pública;
- estudos por órgão de pesquisa;
- execução de contrato a pedido do titular;
- exercício regular de direitos em processo judicial, administrativo ou arbitral;
- proteção da vida ou da incolumidade física;
- tutela da saúde, por profissionais ou serviços de saúde;
- legítimo interesse do controlador ou de terceiro;
- proteção do crédito.
Para dados sensíveis, o art. 11 é mais restrito: não há legítimo interesse nem proteção do crédito, e entra a prevenção à fraude e a segurança do titular em processos de identificação.
Na prática, consentimento costuma ser a base mais frágil, porque o titular pode revogá-lo a qualquer momento. Usá-lo onde existe obrigação legal ou contrato cria um problema que não existia. O legítimo interesse, por outro lado, exige um teste de balanceamento documentado, detalhado no guia orientativo da ANPD.
O caso TikTok mostra o custo de escolher mal: a empresa alegou execução de contrato para tratar dados de quem acessava o feed sem cadastro. A ANPD entendeu que, sem conta, não havia contrato.
Os direitos do titular
O texto original listava “nove direitos” com nomes que não estão na lei. O art. 18 garante ao titular:
- confirmação de que existe tratamento;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade a outro fornecedor;
- eliminação dos dados tratados com base no consentimento;
- informação sobre com quem os dados foram compartilhados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento.
Além desses, o titular pode se opor a tratamento feito sem consentimento quando houver descumprimento da lei (art. 18, § 2º) e pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20). O pedido de acesso tem prazo: em formato simplificado, imediatamente; em declaração completa, até 15 dias (art. 19).
Decisões automatizadas e IA
O art. 20 é o ponto em que a LGPD já regula inteligência artificial, sem esperar um marco legal específico. Modelo que decide crédito, seleção de candidatos, preço ou acesso a serviço está sujeito ao direito de revisão e ao dever de informar os critérios usados, respeitado o segredo comercial.
Há uma diferença em relação ao texto que circulava em 2019: a exigência de revisão por pessoa natural foi vetada em 2019, e o veto foi mantido. A lei garante revisão, não necessariamente humana. Para quem desenha governança de IA, isso não reduz o risco. Só tira da lei uma decisão que a empresa vai ter que tomar sozinha.
A ANPD já mostrou que acompanha o tema: em julho de 2024, suspendeu cautelarmente o uso de dados de usuários brasileiros para treinar a IA da Meta.
Segurança e incidentes
Controladores e operadores devem adotar medidas técnicas e administrativas para proteger dados contra acesso não autorizado, perda, alteração, destruição ou comunicação indevida (art. 46).
Em 2019, a lei falava em comunicar incidentes em “prazo razoável”. Hoje o prazo existe. Pela Resolução CD/ANPD nº 15/2024:
- o controlador comunica a ANPD em até três dias úteis a partir do momento em que sabe que o incidente afetou dados pessoais, quando houver risco ou dano relevante aos titulares;
- os titulares afetados também devem ser comunicados no mesmo prazo;
- informações complementares podem ser enviadas em até 20 dias úteis;
- todo incidente, comunicado ou não, deve ficar registrado por no mínimo cinco anos;
- agentes de pequeno porte têm prazos em dobro.
O operador não comunica a ANPD diretamente. Ele avisa o controlador, que decide e responde. Por isso o prazo de aviso do fornecedor precisa estar no contrato: três dias úteis não comportam um operador que leva uma semana para avisar.
Transferência internacional de dados
Mandar dados para fora do país exige um mecanismo previsto em lei. Desde a Resolução CD/ANPD nº 19/2024, o mais usado são as cláusulas-padrão contratuais da ANPD, que precisavam estar nos contratos até agosto de 2025.
Para a União Europeia, o cenário mudou em janeiro de 2026: com a adequação mútua, dados circulam entre Brasil e UE sem salvaguardas adicionais. Para os Estados Unidos e a maioria dos outros países, as cláusulas continuam necessárias. Isso inclui boa parte das ferramentas de nuvem e de IA generativa contratadas hoje.
Sanções e o que a ANPD tem punido
O art. 52 prevê:
- advertência, com prazo para correção;
- multa simples de até 2% do faturamento da empresa ou grupo no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração;
- multa diária, com o mesmo limite;
- publicização da infração;
- bloqueio ou eliminação dos dados envolvidos;
- suspensão parcial do banco de dados ou da atividade de tratamento, por até seis meses, prorrogáveis;
- proibição parcial ou total de atividades de tratamento.
Órgãos públicos não recebem multa, mas estão sujeitos às demais sanções. O cálculo segue o regulamento de dosimetria (Resolução CD/ANPD nº 4/2023), que considera gravidade, porte, reincidência, cooperação e a existência de boas práticas de governança.
O limite de R$ 50 milhões vale por infração, não por processo. É assim que a multa ao TikTok passou de R$ 150 milhões: cinco infrações somadas.
Mais útil do que o valor é o padrão. As decisões publicadas raramente punem só a ausência de um documento. O que se repete são falhas de execução: incidente não comunicado, comunicação atrasada, base legal que não se sustenta, controle que existe e não funciona. Quem leu a LGPD como projeto de documentação está exposto exatamente onde a fiscalização está olhando.
LGPD e GDPR: onde as leis divergem
A LGPD foi inspirada no regulamento europeu (GDPR), e a adequação mútua de 2026 confirma que os níveis de proteção são equivalentes. Equivalente não é igual. Quem já tem programa de GDPR aproveita boa parte da estrutura, mas precisa ajustar:
| Tema | LGPD | GDPR |
|---|---|---|
| Bases legais | 10 (inclui proteção do crédito e tutela da saúde) | 6 |
| Encarregado (DPO) | Obrigatório para todo controlador, com dispensa para pequeno porte | Obrigatório só em casos específicos (setor público, monitoramento em larga escala, dados sensíveis em larga escala) |
| Comunicação de incidente | 3 dias úteis | 72 horas |
| Multa máxima | 2% do faturamento no Brasil, até R$ 50 milhões por infração | 4% do faturamento global ou € 20 milhões, o que for maior |
| Decisões automatizadas | Direito à revisão, sem exigência de revisão humana | Direito de não se sujeitar a decisão exclusivamente automatizada, com intervenção humana |
| Avaliação de impacto | Relatório de impacto (RIPD) que a ANPD pode exigir | DPIA obrigatória para tratamento de alto risco |
| Registro das operações | Exigido de controlador e operador | Exigido, com dispensa parcial para organizações com menos de 250 empregados |
Controle que funciona contra controle de fachada
Em 2019, a pergunta era “estamos adequados?”. Em 2026, a pergunta certa é “conseguimos provar?”. O próprio texto da lei aponta o caminho: o princípio da responsabilização e prestação de contas (art. 6º, X) exige demonstrar a adoção de medidas eficazes. Eficácia não se declara. Se testa.
Um controle de privacidade passa por três testes:
- Desenho: o controle cobre o risco real ou só a obrigação formal?
- Execução: ele rodou como desenhado durante todo o período, ou só quando alguém lembrou?
- Evidência: existe registro datado, gerado pelo próprio processo, que um terceiro consegue verificar sem depender da palavra de quem executa?
Controle de fachada passa no primeiro teste e falha nos outros dois. É a política aprovada que ninguém aplica, o inventário feito na consultoria de 2020 e nunca atualizado, o canal do titular que existe no site e não tem fila de atendimento.
Aplicado às obrigações que mais aparecem na fiscalização:
| Obrigação | Fachada | Funciona |
|---|---|---|
| Registro das operações (art. 37) | Planilha feita no projeto de adequação, sem dono e sem revisão | Inventário com dono de negócio por tratamento, revisado quando sistema ou fornecedor muda |
| Atendimento ao titular (arts. 18 e 19) | Formulário no site | Fila com prazo controlado, histórico de cada pedido e taxa de resposta no prazo medida todo mês |
| Comunicação de incidente (art. 48) | Política que menciona a ANPD | Fluxo testado em simulação, com tempo entre detecção e decisão medido e prazo de aviso do operador no contrato |
| Contratos com operadores e transferências | Cláusula genérica de confidencialidade | Cláusulas-padrão onde há transferência e avaliação periódica dos fornecedores críticos |
| Decisões automatizadas e IA (art. 20) | Aviso genérico na política de privacidade | Inventário dos modelos que decidem sobre pessoas, com critérios documentados e canal de revisão que funciona |
Como aplicar sem começar um novo projeto de adequação
- Escolha cinco tratamentos, não o inventário inteiro. Os de maior exposição: dados sensíveis, dados de crianças, grande volume, decisão automatizada, compartilhamento com terceiros.
- Dê um dono de negócio a cada um. O encarregado orienta e responde. Quem decide a finalidade é a área que usa o dado.
- Aplique os três testes e classifique cada controle: funciona, funciona sem evidência, fachada.
- Defina um indicador por obrigação, com limite e gatilho. Exemplo: percentual de pedidos de titulares respondidos em até 15 dias, com limite de 95% e escalonamento ao comitê de riscos se ficar abaixo por dois meses seguidos.
- Leve ao comitê a lista do que é fachada, com uma decisão por item: corrigir, com dono e prazo, ou aceitar o risco formalmente, com assinatura de quem tem alçada e data de validade.
O quinto passo é o que separa governança de documentação. Risco que ninguém aceitou formalmente não foi aceito. Foi ignorado.
Perguntas frequentes
A LGPD vale para pequenas empresas?
Sim. Microempresas, empresas de pequeno porte e startups seguem um regime simplificado: podem dispensar o encarregado (mantendo um canal com o titular), manter registro simplificado e ter prazos em dobro. A exceção não vale para quem faz tratamento de alto risco.
Toda empresa precisa de um encarregado (DPO)?
Todo controlador precisa, exceto os agentes de pequeno porte. O encarregado pode ser um empregado, uma empresa ou um profissional externo, e sua identidade e contato devem ser divulgados publicamente.
Qual o prazo para comunicar um incidente de segurança à ANPD?
Três dias úteis contados do momento em que o controlador sabe que o incidente afetou dados pessoais, quando houver risco ou dano relevante. Os titulares afetados devem ser avisados no mesmo prazo.
Preciso de consentimento para tratar dados pessoais?
Não necessariamente. O consentimento é uma das dez bases legais. Obrigação legal, execução de contrato e legítimo interesse são, na maioria dos casos, bases mais adequadas e mais estáveis.
A LGPD se aplica à inteligência artificial?
Sim. Todo uso de dados pessoais para treinar, testar ou operar modelos de IA é tratamento de dados e está sujeito à LGPD, incluindo o direito de revisão de decisões automatizadas do art. 20.
Se a ANPD pedisse amanhã a prova de que o atendimento aos titulares funciona na sua empresa, quem entregaria, e em quanto tempo?
Publicado originalmente em 2019. Revisado e ampliado em outubro de 2026.
