Quem procura entender a LGPD para empresas deve partir de um ponto: a lei alcança toda empresa que coleta, armazena, usa ou compartilha dados pessoais, sejam de clientes, empregados, fornecedores ou parceiros. Na prática, a empresa precisa saber quais dados trata, com que base legal, como os protege e como responde aos titulares e à ANPD. Quem descumpre a lei se expõe a sanções sérias, entre elas multa de até 2% do faturamento.
A lei em poucas linhas
A Lei Geral de Proteção de Dados (Lei n.º 13.709/2018) vigora desde setembro de 2020; as sanções administrativas, desde agosto de 2021. Ela regula o tratamento de dados pessoais por qualquer pessoa, física ou jurídica, de direito público ou privado, para proteger três direitos fundamentais: liberdade, privacidade e livre desenvolvimento da personalidade.
Os conceitos que aparecem a todo momento
Dado pessoal e dado sensível
- Dado pessoal: toda informação que identifica uma pessoa natural ou permite identificá-la, como nome, CPF, e-mail, endereço IP e localização.
- Dado pessoal sensível (art. 5.º, II): o que diz respeito a saúde, vida sexual, origem racial ou étnica, convicção religiosa e opinião política; à filiação a sindicato ou a organização religiosa, filosófica ou política; e os dados genéticos ou biométricos.
Quem é quem no tratamento
- Controlador: decide como os dados serão tratados; em geral, é a própria empresa.
- Operador: trata os dados por conta do controlador, como uma empresa de tecnologia ou um escritório de contabilidade.
- Encarregado (DPO): pessoa que o controlador e o operador indicam para fazer a ponte entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD).
Toda operação precisa de uma base legal
O artigo 7.º lista 10 bases legais que autorizam tratar dados pessoais. No dia a dia das empresas, as mais comuns são:
- consentimento do titular, dado de forma livre, informada e inequívoca;
- obrigação legal ou regulatória a cumprir, como as trabalhistas e as fiscais;
- execução de contrato, quando o dado é necessário para que o contrato seja cumprido;
- legítimo interesse do controlador, se os direitos fundamentais do titular não prevalecerem, o que pede um teste de proporcionalidade;
- proteção do crédito, nas análises de crédito e nas cobranças;
- exercício regular de direitos em processos judiciais, administrativos ou arbitrais.
Cada tratamento precisa se apoiar em ao menos uma base legal válida, com essa escolha documentada.
Direitos dos titulares e prazos de resposta
Pelo artigo 18, o titular pode pedir:
- que a empresa confirme se trata seus dados e lhe dê acesso a eles;
- a correção do que estiver incompleto, inexato ou desatualizado;
- anonimização, bloqueio ou eliminação do que for desnecessário;
- a portabilidade para outro fornecedor;
- a eliminação dos dados tratados com base no consentimento, e a revogação desse consentimento;
- informação sobre com quem os dados foram compartilhados.
Confirmação de tratamento e acesso devem ser atendidos de imediato, em formato simplificado, ou por declaração clara e completa em até 15 dias do pedido (art. 19). Os demais direitos seguem os prazos do regulamento da ANPD (art. 18, § 5.º).
O que a empresa precisa ter em ordem
Estas obrigações formam o núcleo da conformidade em proteção de dados, um dos temas do direito empresarial e digital.
- Encarregado: em regra, o controlador indica um encarregado (DPO, de Data Protection Officer) e divulga publicamente quem é essa pessoa e como contatá-la, de preferência no site da empresa (art. 41).
- Registro das operações (ROPA): a empresa mantém um registro das operações de tratamento que realiza, em especial as fundadas no legítimo interesse (art. 37).
- Relatório de impacto (RIPD): se o tratamento trouxer riscos significativos aos titulares, a ANPD pode exigir esse relatório, que descreve os processos de tratamento, as medidas de segurança e a análise de proporcionalidade.
- Segurança (art. 46): medidas técnicas e administrativas que impeçam acesso não autorizado, destruição, perda ou alteração dos dados, como controle de acesso a sistemas e bases, criptografia dos dados sensíveis, regras de senha e autenticação, cópias de segurança periódicas e treinamento das pessoas envolvidas.
Pequenas empresas e startups: o regime diferenciado
A Resolução CD/ANPD n.º 2/2022 aliviou algumas obrigações dos agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups, entre outros. O registro das operações fica simplificado, e a indicação de encarregado é dispensada, desde que exista um canal de comunicação com os titulares.
O benefício não vale em três situações (art. 3.º da Resolução): tratamento de alto risco para os titulares; receita bruta acima do limite legal, que é de R$ 4,8 milhões para microempresas e empresas de pequeno porte (startups seguem limite próprio); e participação em grupo econômico cuja receita somada ultrapasse esse limite.
Os princípios fundamentais da LGPD, porém, continuam valendo para a pequena empresa.
As sanções da ANPD
A ANPD é uma autarquia de natureza especial ligada ao Ministério da Justiça e Segurança Pública (Lei n.º 15.352/2026). O artigo 52 da LGPD lhe permite aplicar:
- advertência, com prazo para corrigir a falha;
- multa simples de até 2% do faturamento do último exercício, com teto de R$ 50 milhões por infração;
- multa diária, para forçar o cumprimento de uma ordem;
- publicização da infração;
- bloqueio ou eliminação dos dados pessoais envolvidos na infração;
- suspensão parcial do funcionamento do banco de dados;
- suspensão da atividade de tratamento ligada à infração;
- proibição, parcial ou total, de atividades de tratamento.
Processos sancionadores já foram abertos, e a fiscalização tende a aumentar, sobretudo depois que a ANPD regulamentou a dosimetria das sanções.
LGPD para empresas: roteiro de adequação em sete passos
- Mapear os dados: o que é coletado, onde fica guardado, quem acessa, por quanto tempo é mantido e com quem é compartilhado.
- Definir a base legal de cada operação e documentar a análise.
- Revisar contratos com clientes, fornecedores e parceiros, com cláusulas de proteção de dados que repartam as responsabilidades de controlador e operador.
- Elaborar ou atualizar a política de privacidade, explicando em linguagem clara e acessível como os dados são usados.
- Adotar medidas de segurança, técnicas e administrativas, na medida dos riscos encontrados.
- Capacitar a equipe nas obrigações da lei e nas boas práticas com dados pessoais.
- Preparar a resposta a incidentes: como detectar, conter e comunicar incidentes de segurança à ANPD e aos titulares atingidos (art. 48). Pela Resolução CD/ANPD n.º 15/2024, se o incidente puder trazer risco ou dano relevante aos titulares, a ANPD deve ser avisada em até três dias úteis desde que se soube que ele atingiu dados pessoais; para agentes de pequeno porte, o prazo conta em dobro.
Exemplo hipotético: uma pequena loja virtual, enquadrada como agente de pequeno porte, descobre que a planilha de pedidos com nomes e endereços de clientes ficou exposta, com risco relevante aos titulares. Com a contagem em dobro, ela tem seis dias úteis, e não três, para comunicar a ANPD.
Mais do que um custo regulatório, a adequação reforça a segurança e a credibilidade da empresa, porque quem demonstra respeito à privacidade ganha a confiança de clientes e parceiros.
Perguntas frequentes
Pequena empresa precisa ter encarregado de dados?
Os agentes de tratamento de pequeno porte estão dispensados dessa indicação pela Resolução CD/ANPD n.º 2/2022, desde que mantenham um canal de comunicação com os titulares. A dispensa não alcança quem faz tratamento de alto risco, supera o limite de receita ou integra grupo econômico acima dele.
Qual é o prazo para responder a quem pede acesso aos próprios dados?
A resposta pode ser imediata, em formato simplificado, ou vir em até 15 dias do pedido, por declaração clara e completa (art. 19). Para os demais direitos, valem os prazos do regulamento da ANPD.
Qual é o valor máximo da multa da LGPD?
A multa simples vai até 2% do faturamento do último exercício, com limite de R$ 50 milhões por infração. A ANPD pode ainda aplicar multa diária e outras sanções, como advertência, bloqueio e eliminação de dados.
Conteúdo informativo, que não substitui a análise do caso concreto por um advogado. Normas e entendimentos podem mudar depois da publicação.
