LGPD: o que é, direitos dos titulares e deveres das empresas

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) é a legislação brasileira que regula a coleta, o tratamento e o compartilhamento de dados pessoais por empresas e órgãos públicos. Ela dá ao cidadão controle sobre suas informações e impõe deveres de transparência e segurança a quem os trata.

• O que é a LGPD?
• Quais são os princípios da LGPD?
• Quais são as bases legais para tratar dados?
• Quais são os direitos dos titulares?
• O que as empresas precisam fazer para se adequar?
• Quais são as sanções da LGPD?

O que é a LGPD?

A LGPD é o marco regulatório brasileiro de privacidade, inspirado no GDPR europeu (o Regulamento Geral de Proteção de Dados) e em vigor desde 18 de setembro de 2020, segundo o Senado Federal. Ela estabelece regras claras para toda operação com dados pessoais — de um cadastro de e-commerce a um sistema de recursos humanos — com o objetivo de proteger a privacidade e a autodeterminação informativa dos cidadãos.

A lei se aplica a qualquer organização que trate dados de pessoas no Brasil, independentemente de onde a empresa esteja sediada. Descumprir suas regras expõe o negócio a sanções da ANPD (Autoridade Nacional de Proteção de Dados) e, sobretudo, à perda de confiança dos clientes. Boas práticas de segurança da informação deixaram de ser diferencial e passaram a ser obrigação legal.

Quais são os princípios da LGPD?

A LGPD é fundamentada em dez princípios que orientam todo tratamento de dados. Eles funcionam como um teste de legalidade: se uma prática viola qualquer um deles, provavelmente está em desacordo com a lei.

• Finalidade: a coleta deve ter um propósito específico e legítimo, informado ao titular.
• Adequação: o tratamento precisa ser compatível com a finalidade declarada.
• Necessidade: colete apenas os dados essenciais, evitando excessos.
• Livre acesso: o titular pode consultar seus dados e como são usados.
• Qualidade dos dados: as informações devem ser exatas e atualizadas.
• Transparência: informe de forma clara como os dados são tratados.
• Segurança: adote medidas técnicas contra vazamentos e acessos indevidos.
• Prevenção: antecipe-se aos riscos antes que virem incidentes.
• Não discriminação: dados não podem servir a fins discriminatórios.
• Responsabilização: demonstre conformidade e assuma a responsabilidade pelas ações.

Quais são as bases legais para tratar dados?

Todo tratamento de dados precisa se apoiar em pelo menos uma das dez bases legais da LGPD. O consentimento é a mais conhecida, mas está longe de ser a única — e depender só dele costuma ser um erro de conformidade.

As demais bases incluem o exercício regular de direitos, a proteção do crédito, a pesquisa e a execução de políticas públicas. Escolher a base correta é o primeiro passo de qualquer projeto de adequação.

Quais são os direitos dos titulares?

O titular dos dados é a pessoa a quem as informações se referem, e a LGPD lhe garante uma série de direitos que podem ser exercidos gratuitamente. Esses direitos deslocam o poder das empresas para o cidadão.

Entre eles estão o direito de acesso, de retificação de dados incorretos, de exclusão, de oposição ao tratamento, de portabilidade para outro fornecedor, de não ser submetido a decisões unicamente automatizadas e de revogar o consentimento a qualquer momento. Cabe ao controlador responder às solicitações em prazos definidos pela ANPD.

O que as empresas precisam fazer para se adequar?

A conformidade com a LGPD é um processo contínuo, não um projeto de fim único. As organizações precisam mapear os dados que tratam ao longo de todo o pipeline de dados, definir a base legal de cada operação e implementar controles técnicos e organizacionais.

As principais obrigações incluem: nomear um Encarregado (DPO, o Data Protection Officer) como ponto de contato, elaborar um Relatório de Impacto à Proteção de Dados (RIPD) para tratamentos de risco, manter registro das atividades de tratamento, adotar medidas de segurança, comunicar incidentes à ANPD e aos titulares, publicar uma política de privacidade clara e treinar as equipes. Empresas que lidam com autenticação e acessos devem revisar práticas como o uso de SSH e chaves de acesso e adotar mecanismos de controle de acesso no estilo gatekeeper para proteger credenciais.

Quais são as sanções da LGPD?

A fiscalização da LGPD cabe à ANPD, que aplica sanções administrativas desde 1º de agosto de 2021, quando os artigos 52 a 54 da lei entraram em vigor. Em fevereiro de 2023, a autoridade publicou o Regulamento de Dosimetria (Resolução CD/ANPD nº 4), que define os critérios de cálculo das multas. O objetivo é incentivar a conformidade, não apenas punir.

As penalidades vão da advertência à multa de até 2% do faturamento da empresa no Brasil, limitada a R$50 milhões por infração, além de multa diária, publicização da infração, bloqueio e eliminação dos dados e, nos casos extremos, suspensão parcial ou total das atividades de tratamento. A primeira multa da história da LGPD foi aplicada em 6 de julho de 2023, [totalizando R$ 14,4 mil contra a empresa Telekall Infoservice](https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-aplica-a-primeira-multa-por-descumprimento-a-lgpd) por tratar dados sem base legal. O dano reputacional, porém, costuma superar o valor das multas.

Conclusão

A LGPD deixou de ser uma preocupação exclusiva do jurídico para se tornar parte da engenharia e da cultura de qualquer empresa que trate dados — ou seja, praticamente todas. No CodeCrush, encaramos a proteção de dados como um requisito de projeto, não como um remendo final: pensar em finalidade, necessidade e segurança desde a primeira linha de código é o que separa a conformidade real do teatro de compliance.

📜 Leia na íntegra a Lei Geral de Proteção de Dados e consulte o guia de boas práticas da LGPD publicado pelo governo federal.