A adequação à LGPD vale para toda empresa que trata dados pessoais, de qualquer porte ou setor, e a ANPD pode aplicar sanções desde 1º de agosto de 2021. Adequar-se significa saber quais dados a empresa usa e com que base legal, informar os titulares, proteger as informações e ter um plano para incidentes. Pequenas empresas seguem regras simplificadas, mas também estão sujeitas à lei.
A lei e quem fiscaliza
A Lei 13.709/2018 (LGPD) regula como empresas, organizações e órgãos públicos tratam dados pessoais. Tomou como modelo o GDPR europeu e fixa regras claras para coletar, guardar, processar e compartilhar essas informações.
A lei vigora desde setembro de 2020, e suas sanções administrativas passaram a ser aplicáveis em 1º de agosto de 2021 (art. 65, I-A). Quem as aplica é a ANPD. Com a Medida Provisória 1.317/2025, depois convertida na Lei 15.352/2026, a sigla passou a designar a Agência Nacional de Proteção de Dados, não mais Autoridade Nacional, com status de autarquia de natureza especial ligada ao Ministério da Justiça e Segurança Pública.
A obrigação de se adequar alcança toda empresa que trata dados pessoais, seja qual for o tamanho ou o ramo, embora os agentes de tratamento de pequeno porte contem com regras simplificadas (Resolução CD/ANPD 2/2022).
Conceitos básicos
Dado pessoal é toda informação que identifica, ou pode identificar, uma pessoa natural, como nome, e-mail, telefone, CPF, RG, endereço, localização, cookies e IP. Entre eles estão os dados sensíveis (art. 5º, II), como os de saúde, biométricos e genéticos, convicção religiosa, origem racial ou étnica e vida sexual.
Tratamento é qualquer operação com esses dados: coletar, armazenar, acessar, compartilhar, classificar, usar, reproduzir, processar, eliminar, transferir, difundir.
Agentes de tratamento: o controlador decide sobre o tratamento (a empresa); o operador trata os dados em nome dele (o prestador de serviço); e o encarregado (DPO), indicado pelos dois, faz a comunicação do controlador com os titulares e com a ANPD.
Bases legais
A LGPD admite o tratamento em 10 hipóteses, as bases legais. Nas empresas, as mais usadas são:
- consentimento, desde que livre, informado e inequívoco;
- execução de contrato com o titular;
- obrigação legal, como as do eSocial e do FGTS;
- legítimo interesse do controlador, sem ferir os direitos do titular;
- proteção do crédito, na análise de crédito e no cadastro positivo.
A base precisa ser definida antes de o tratamento começar, com registro documental da escolha.
Adequação à LGPD na prática
Estas obrigações sustentam a conformidade, tema central do direito empresarial e digital.
1. Mapear os dados
Descubra quais dados a empresa coleta (de clientes, empregados, fornecedores), onde ficam (sistemas, planilhas, papel), com quem são compartilhados (contador, bancos, órgãos públicos), qual base legal sustenta cada tratamento e por quanto tempo são mantidos.
Num exemplo hipotético, uma loja de calçados que pede CPF e WhatsApp no caixa para um programa de pontos precisa registrar onde esses dados ficam, quem os acessa e qual base legal apoia cada uso, já que pontuar compras e mandar promoções são finalidades diferentes.
2. Publicar a política de privacidade
Documento público que explica aos titulares que dados são coletados e para quê, como são usados e compartilhados, que direitos eles têm, como exercê-los e como contatar o encarregado.
3. Indicar o encarregado
A LGPD exige que o controlador indique um encarregado (art. 41). Cabe a ele atender os titulares, falar com a ANPD, orientar os funcionários sobre proteção de dados e ter seu contato divulgado no site da empresa.
A dispensa dessa indicação vale para agentes de tratamento de pequeno porte (microempresas e empresas de pequeno porte, por exemplo) que não realizem tratamento de alto risco. Em troca, eles precisam manter um canal de comunicação com o titular (Resolução CD/ANPD 2/2022, art. 11).
4. Gerir o consentimento
Se o tratamento depende de consentimento, ele deve ser colhido com clareza e de modo específico, documentado e arquivado como prova, revogável a qualquer momento e renovado sempre que a finalidade mudar.
5. Proteger as informações
Medidas técnicas e administrativas: controle de quem acessa o quê, criptografia e anonimização, backup periódico com plano de recuperação, treinamento da equipe e política de senhas e autenticação.
6. Preparar a resposta a incidentes
Em caso de vazamento ou violação:
- a ANPD deve ser comunicada em até 3 dias úteis, contados de quando a empresa soube que o incidente atingiu dados pessoais, se ele puder acarretar risco ou dano relevante aos titulares (Resolução CD/ANPD 15/2024, art. 6º);
- os titulares afetados também devem ser avisados em até 3 dias úteis (art. 9º); para agentes de pequeno porte, os dois prazos contam em dobro (Resolução CD/ANPD 15/2024, arts. 6º, § 8º, e 9º, § 6º);
- é preciso conter e remediar o problema;
- o incidente, mesmo o não comunicado, deve ficar registrado por no mínimo 5 anos (art. 10), com as lições aprendidas.
Direitos dos titulares
Quem tem seus dados tratados pode pedir confirmação de que há tratamento; acesso aos dados; correção do que estiver incompleto ou desatualizado; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade para outro fornecedor; apagamento dos dados tratados com base no consentimento; saber com quais terceiros os dados foram compartilhados; e revogação do consentimento.
A empresa precisa de procedimentos para responder. Confirmação e acesso devem ser dados na hora, de forma simplificada, ou em até 15 dias, por meio de declaração clara e completa (art. 19). Os demais pedidos são atendidos sem custo, nos prazos do regulamento (art. 18, § 5º). Para agentes de pequeno porte, o prazo é em dobro (Resolução CD/ANPD 2/2022, art. 14).
Sanções da ANPD
- advertência, com prazo para corrigir;
- multa simples de até 2% do faturamento no Brasil da pessoa jurídica, grupo ou conglomerado no último exercício, sem os tributos, com teto de R$ 50 milhões por infração;
- multa diária, como meio de compelir ao cumprimento;
- publicização da infração, que afeta a reputação;
- bloqueio dos dados, que deixam de poder ser usados;
- eliminação dos dados tratados irregularmente;
- suspensão parcial do funcionamento do banco de dados, por até 6 meses, prorrogáveis por mais 6 (art. 52, X);
- suspensão do exercício da atividade de tratamento, pelo mesmo prazo e com a mesma prorrogação (art. 52, XI);
- proibição parcial ou total das atividades de tratamento (art. 52, XII).
Onde a LGPD pesa mais em Mato Grosso
Em Cuiabá e no interior, a adequação afeta especialmente o comércio (cadastros, fidelidade, marketing), o agronegócio (dados de trabalhadores rurais, fornecedores e parceiros), a saúde (dados de pacientes, sensíveis e com proteção reforçada), a educação (alunos e responsáveis) e os serviços (CRM, listas de contato, histórico de atendimento).
Roteiro inicial
- Indique o encarregado, quando exigido, e divulgue o contato dele; se a empresa de pequeno porte estiver dispensada, mantenha um canal para o titular.
- Mapeie os dados pessoais tratados.
- Revise os contratos de fornecedores e parceiros com acesso a dados.
- Elabore e publique no site a política de privacidade.
- Treine a equipe em proteção de dados.
- Implante segurança à altura do risco.
- Documente tudo: a ANPD pode pedir provas de conformidade.
O processo não precisa ser complexo nem caro, mas precisa ser estruturado e documentado.
Perguntas frequentes
Pequena empresa precisa se adequar?
Sim, com regras simplificadas (Resolução CD/ANPD 2/2022). Sem tratamento de alto risco, fica dispensada de indicar encarregado, mas mantém canal com o titular, e conta prazos em dobro.
Em quanto tempo comunicar um vazamento?
Em até 3 dias úteis, à ANPD e aos titulares, contados de quando a empresa soube que o incidente afetou dados pessoais, se ele puder acarretar risco ou dano relevante (Resolução CD/ANPD 15/2024). Para pequeno porte, o prazo dobra.
Qual a multa máxima?
A multa simples vai até 2% do faturamento no Brasil no último exercício, sem tributos, limitada a R$ 50 milhões por infração.
Conteúdo informativo, que não substitui a análise do caso concreto por um advogado. Normas e entendimentos podem mudar depois da publicação.
