LGPD para Empresas: O Que Muda e Como Se Adaptar

A Lei Geral de Proteção de Dados Pessoais (LGPD) – Lei n° 13.709, de 14 de agosto de 2018 – representa um marco legal no Brasil ao estabelecer regras claras para a coleta, armazenamento, tratamento e compartilhamento de dados pessoais. Inspirada no Regulamento Geral de Proteção de Dados (GDPR) europeu, a LGPD impacta diretamente empresas de todos os portes e setores que realizam operações de tratamento de dados no país.

Este artigo apresenta os principais pontos da LGPD que as empresas precisam conhecer para se adequar e evitar sanções. O conteúdo tem caráter informativo e não substitui o aconselhamento jurídico especializado.

1. O que é a LGPD e quem deve cumpri-la

A LGPD regula as atividades de tratamento de dados pessoais realizadas por pessoa natural ou jurídica, de direito público ou privado, no Brasil ou com dados de pessoas localizadas no território nacional. Estão sujeitas à lei todas as empresas que coletam ou processam dados pessoais, independentemente do porte — desde microempresas até grandes corporações.

Dados pessoais são informações relacionadas a uma pessoa física identificada ou identificável, como nome, CPF, endereço, telefone, e-mail, dados de localização, IP, entre outros. Já os dados pessoais sensíveis merecem proteção especial por poderem gerar discriminação: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos, biométricos e de saúde.

2. As 10 bases legais para o tratamento de dados

A LGPD estabelece 10 bases legais que autorizam o tratamento de dados pessoais. O controlador (empresa) deve sempre justificar a base legal utilizada. São elas:

1. Consentimento – autorização livre, informada e inequívoca do titular.
2. Cumprimento de obrigação legal ou regulatória – tratamento exigido por lei.
3. Execução de políticas públicas – por entidades públicas.
4. Realização de estudos por órgão de pesquisa – com garantia de anonimização.
5. Execução de contrato – procedimentos preliminares ou cumprimento de contrato com o titular.
6. Exercício regular de direitos – em processos judiciais, administrativos ou arbitrais.
7. Proteção da vida ou incolumidade física – do titular ou de terceiros.
8. Tutela da saúde – por profissionais de saúde, serviços de saúde ou autoridades sanitárias.
9. Interesse legítimo – do controlador ou de terceiro, desde que não prevaleçam direitos e liberdades do titular.
10. Proteção ao crédito – para exercício de direitos em operações de crédito.

Para dados sensíveis, as bases legais são mais restritas: apenas consentimento específico, cumprimento de obrigação legal, execução de políticas públicas, exercício regular de direitos, proteção da vida e tutela da saúde.

3. Direitos do titular dos dados

A LGPD assegura ao titular (pessoa a quem os dados pertencem) os seguintes direitos, que devem ser atendidos pela empresa de forma gratuita e facilitada:

• Confirmação e acesso – saber se a empresa trata seus dados e ter acesso a eles.
• Correção – retificar dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação – de dados desnecessários ou tratados em desconformidade com a lei.
• Portabilidade – transferir dados a outro fornecedor.
• Eliminação – dados tratados com consentimento podem ser eliminados mediante requerimento.
• Informação sobre compartilhamento – com quem os dados são compartilhados.
• Revogação do consentimento – e consequente eliminação dos dados.
• Oposição – ao tratamento baseado em interesse legítimo.

4. O papel do Encarregado (DPO)

O Encarregado pelo Tratamento de Dados Pessoais, também conhecido como DPO (Data Protection Officer), é a pessoa indicada pelo controlador (empresa) para atuar como canal de comunicação entre a organização, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD). Suas principais atribuições incluem:

• Aceitar reclamações e comunicações dos titulares.
• Receber comunicações da ANPD.
• Orientar os funcionários sobre as práticas de proteção de dados.
• Executar as demais atribuições determinadas pelo controlador.

A identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva. Pequenas empresas podem terceirizar o DPO, desde que ele exerça suas funções com independência.

5. O papel da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão da administração pública federal responsável por fiscalizar o cumprimento da LGPD, aplicar sanções, editar normas e orientar a sociedade. Criada pela Medida Provisória 869/2018, convertida na Lei 13.853/2019, a ANPD tem competência para:

• Zelar pela proteção de dados pessoais.
• Interpretar a legislação e dirimir dúvidas.
• Promover o conhecimento sobre proteção de dados.
• Fiscalizar e aplicar penalidades administrativas.
• Incentivar a adoção de padrões técnicos e boas práticas.

6. Sanções e multas

O descumprimento da LGPD pode resultar em penalidades gradativas, aplicadas pela ANPD após processo administrativo. As sanções previstas são:

• Advertência – com indicação de prazo para correção.
• Multa simples – de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração.
• Multa diária – para garantir a cessação da infração.
• Publicização da infração – após apurada e confirmada.
• Bloqueio ou eliminação dos dados pessoais relacionados à infração.
• Suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento.
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

É importante destacar que multas só podem ser aplicadas após a entrada em vigor integral das sanções administrativas (a partir de 1º de agosto de 2021 para multas). A ANPD leva em conta a gravidade da infração, a condição econômica do infrator e a boa-fé. Não são divulgados valores específicos de multas aplicadas em caráter experimental, pois cada caso é analisado individualmente.

7. Boas práticas de adequação

Para se adequar à LGPD, as empresas devem adotar uma abordagem sistemática. As principais ações incluem:

• Mapeamento de dados – identificar quais dados pessoais são coletados, onde estão armazenados, como são processados e com quem são compartilhados.
• Indicação do encarregado (DPO) – formalizar e divulgar o canal de contato.
• Revisão de contratos – adequar contratos com fornecedores e parceiros que tratam dados em nome da empresa.
• Política de privacidade e termos de uso – redigir documentos transparentes e acessíveis.
• Procedimentos para atender titulares – criar canais para exercício de direitos.
• Segurança da informação – implementar controles técnicos (criptografia, controle de acesso, backup) e administrativos (treinamento, política de senhas).
• Registro das operações de tratamento – manter registro atualizado para demonstrar conformidade.

A adequação não é um evento único, mas um processo contínuo que deve ser revisado periodicamente. A Segurança da Informação é parte essencial desse processo. Confira também nosso guia sobre proteção prática de dados pessoais e entenda como a gestão de riscos e LGPD caminham juntas. Em ambientes remotos, veja as recomendações para LGPD no trabalho remoto. E nunca subestime o risco de phishing e engenharia social, que podem comprometer dados pessoais.

Perguntas frequentes (FAQ)