LGPD: o que é a Lei 13.709/2018 e como aplicar na sua empresa

A LGPD, Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), é a lei que regula o tratamento de dados de pessoas físicas no Brasil, em papel ou no meio digital, por empresas e pelo poder público. O objetivo, segundo o art. 1º, é proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade. Na prática, ela diz quando a sua empresa pode usar um dado pessoal e o que precisa contar à pessoa a quem ele se refere.

A quem a LGPD se aplica?

A quase toda organização que trata dados pessoais, de qualquer tamanho. Pelo art. 3º, a lei vale para qualquer tratamento feito no Brasil, para o tratamento que tenha o objetivo de oferecer produtos ou serviços a pessoas localizadas aqui e para dados coletados no país, mesmo que a empresa tenha sede no exterior ou guarde os dados fora.

O art. 4º traz poucas exceções, como o uso por pessoa física para fins particulares, os fins exclusivamente jornalísticos, artísticos ou acadêmicos e a segurança pública. Fora disso, se a sua empresa tem funcionários, clientes ou uma lista de contatos, ela está sujeita à LGPD.

Quais são os conceitos básicos da LGPD?

O art. 5º define os termos que aparecem em todo o resto da lei:

• Dado pessoal: informação relacionada a uma pessoa natural identificada ou identificável, como nome, CPF ou e-mail.
• Dado pessoal sensível: dado sobre origem racial ou étnica, religião, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico. Ele tem regras mais rígidas, no art. 11.
• Titular: a pessoa a quem os dados se referem, seja cliente, funcionário ou candidato.
• Controlador: quem toma as decisões sobre o tratamento. Em geral, é a sua empresa.
• Operador: quem trata os dados em nome do controlador, como o escritório que processa a folha de pagamento.
• Encarregado: a pessoa que serve de canal de comunicação entre a empresa, os titulares e a ANPD, conhecida como DPO (Encarregado de Dados).

Quais são as bases legais da LGPD?

A empresa só pode tratar um dado pessoal se tiver uma das hipóteses do art. 7º, chamadas de bases legais. O consentimento é só uma delas, e muitas vezes outra base se encaixa melhor:

Os dados sensíveis seguem uma lista própria, no art. 11, e o consentimento para eles precisa ser específico e destacado, para finalidades específicas.

Quais são os direitos do titular?

O art. 18 garante ao titular o direito de pedir ao controlador, a qualquer momento:

1. a confirmação de que a empresa trata dados dele;
2. o acesso a esses dados;
3. a correção de dados incompletos, inexatos ou desatualizados;
4. a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
5. a portabilidade dos dados a outro fornecedor;
6. a eliminação dos dados tratados com base no consentimento, salvo as exceções do art. 16;
7. a informação sobre com quem a empresa compartilhou os dados;
8. a informação sobre a possibilidade de não dar o consentimento e o que acontece se ele negar;
9. a revogação do consentimento.

Para atender esses pedidos, a empresa precisa saber onde estão os dados de cada pessoa, e por isso o mapeamento costuma ser o primeiro passo da adequação.

Quem fiscaliza a LGPD e quais são as sanções?

Quem fiscaliza é a ANPD, hoje Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública. Ela sucedeu a antiga Autoridade Nacional de Proteção de Dados com a Lei 15.352/2026, que não mexeu nas sanções. Cabe a ela regulamentar a lei, receber reclamações de titulares, fiscalizar e aplicar sanções (arts. 55-J e 55-K).

O art. 52 lista as sanções administrativas, que valem desde 1º de agosto de 2021 (art. 65, I-A):

• Advertência, com prazo para corrigir o problema.
• Multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, sem os tributos, limitada a R$ 50 milhões por infração.
• Multa diária, respeitado o mesmo limite.
• Publicização da infração, depois de apurada e confirmada.
• Bloqueio ou eliminação dos dados ligados à infração.
• Suspensão do banco de dados ou da atividade de tratamento por até seis meses, prorrogável, e proibição parcial ou total da atividade de tratamento.

O que muda para empresas de pequeno porte?

A Resolução CD/ANPD nº 2/2022 criou regras mais leves para os agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups. As principais diferenças:

• Encarregado opcional: a empresa não precisa indicar um DPO, mas precisa manter um canal de comunicação com o titular (art. 11).
• Registro simplificado das operações de tratamento (art. 9º).
• Prazos em dobro para responder aos titulares e para outras comunicações previstas no art. 14.
• Política de segurança simplificada, que é facultativa (art. 13).

O benefício não vale para quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala, nem para quem ultrapassa os limites de receita da Lei Complementar 123/2006 ou da Lei Complementar 182/2021, inclusive somando o grupo econômico (arts. 3º e 4º).

Como adequar a empresa à LGPD na prática?

Não há um roteiro oficial único, mas a adequação costuma seguir estas etapas:

1. Mapear os dados. Liste quais dados a empresa coleta, de quem, para quê, onde ficam e com quem são compartilhados. Esse inventário vira o registro das operações exigido pelo art. 37.
2. Definir a base legal de cada uso, com a tabela do art. 7º em mãos, e cortar o que não tem finalidade clara.
3. Indicar o encarregado, ou, se a empresa for de pequeno porte, garantir pelo menos o canal com o titular. Veja o guia sobre o Encarregado de Dados.
4. Publicar a política de privacidade em linguagem clara, para clientes e para funcionários.
5. Revisar contratos com operadores, como fornecedores de sistema e de folha.
6. Montar o processo de atendimento ao titular e o plano de resposta a incidentes de segurança.
7. Avaliar os tratamentos de maior risco, com o relatório de impacto quando for o caso. Veja o guia sobre o RIPD.
8. Treinar o time, para que cada pessoa saiba o que pode fazer com os dados que acessa.

Como a Sincera ajuda

Na Sincera, você cuida da parte da LGPD que depende das pessoas: você publica a política de privacidade no portal do colaborador e colhe a ciência de cada funcionário com assinatura eletrônica, aplica treinamentos sobre o tema e mantém um canal para que o time relate um incidente ou uma dúvida. A inteligência artificial da plataforma responde perguntas do time com base nas políticas da sua empresa. Dá para começar grátis, sem cartão de crédito.