A Lei Geral de Proteção de Dados Pessoais (LGPD) — Lei nº 13.709, de 14 de agosto de 2018 — é o marco legal brasileiro que regula a forma como pessoas naturais e jurídicas de direito público e privado coletam, armazenam, compartilham e utilizam dados de pessoas físicas.
A lei entrou em vigor em setembro de 2020. Além disso, suas sanções administrativas passaram a ser aplicáveis a partir de agosto de 2021.
Em 2022, a proteção de dados pessoais foi elevada à condição de direito fundamental pela Emenda Constitucional nº 115, que inseriu o inciso LXXIX no art. 5º da Constituição Federal.
Essa mudança produz efeitos jurídicos concretos.
Nesse contexto, qualquer tratamento de dados que viole a LGPD pode ser enquadrado como ofensa a direito fundamental, com reflexos nas esferas administrativa, civil e penal.
TL;DR — Resumo executivo
- A LGPD (Lei nº 13.709/2018) regula o tratamento de dados pessoais no Brasil. A lei está em vigor desde setembro de 2020, e a proteção de dados é direito fundamental desde a EC nº 115/2022.
- Além disso, o tratamento de dados só é legal quando fundamentado em uma das 10 bases legais previstas no art. 7º. O consentimento é apenas uma delas.
- Os dados pessoais sensíveis — como informações sobre saúde, biometria, origem racial e opinião política — possuem regime mais restritivo. Por isso, exigem consentimento específico ou enquadramento nas hipóteses expressamente previstas no art. 11.
- Os direitos dos titulares incluem acesso, correção, eliminação, portabilidade, revogação do consentimento e informação sobre compartilhamento. Esses direitos podem ser exercidos a qualquer momento.
- Entre as obrigações práticas das empresas estão a indicação pública do encarregado pelo tratamento de dados pessoais (DPO), a manutenção do registro das operações de tratamento, a formalização de contratos com operadores e a comunicação de incidentes em até três dias úteis, conforme a Resolução ANPD nº 15/2024.
- A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar multas de até R$ 50 milhões por infração.
- Além disso, o enforcement vem se intensificando em 2025, com aplicação de multas diárias e instauração de processos contra grandes empresas.
- A responsabilidade civil é objetiva, conforme entendimento do Superior Tribunal de Justiça (STJ) no REsp 1.960.429/SP, e independe da esfera administrativa.
O que é a LGPD
A Lei Geral de Proteção de Dados Pessoais (LGPD) parte de um princípio central: os dados pessoais pertencem às pessoas, e não às empresas que os coletam.
Por isso, a lei cria um conjunto de obrigações para quem trata esses dados e um conjunto de direitos para quem é titular deles.
Por tratamento de dados, a LGPD entende qualquer operação realizada com dados pessoais.
Isso inclui coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração, conforme o art. 5º, X.
O conceito é amplo.
Nesse contexto, qualquer empresa que mantenha um cadastro de clientes, processe a folha de pagamento de empregados ou compartilhe dados com parceiros está realizando tratamento de dados pessoais.
Consequentemente, essas empresas estão sujeitas às regras da LGPD.
Quem precisa cumprir a LGPD
A LGPD se aplica a qualquer operação de tratamento de dados realizada no Brasil, independentemente do meio utilizado, do porte da empresa ou do país onde ela está sediada.
A aplicação da lei ocorre quando pelo menos um dos seguintes critérios é atendido:
- a operação de tratamento ocorre em território nacional;
- a atividade tem por objetivo a oferta de bens ou serviços a indivíduos localizados no Brasil;
- os dados pessoais tratados foram coletados em território nacional.
Portanto, empresas nacionais e estrangeiras podem estar sujeitas à LGPD.
No entanto, a lei prevê exceções expressas.
Tratamentos realizados exclusivamente para fins jornalísticos, artísticos ou acadêmicos, além de atividades relacionadas à segurança pública, à defesa nacional e à investigação de infrações penais, ficam fora do escopo da lei, conforme o art. 4º.
Nesse contexto, para o universo corporativo privado, essas exceções raramente se aplicam.
Dados pessoais e dados sensíveis — qual é a diferença
Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável, conforme o art. 5º, I, da LGPD.
No entanto, o conceito vai além das informações mais evidentes.
Ele inclui endereço de IP, número de matrícula, identificador de cookies, localização geográfica e qualquer outro dado que, isoladamente ou em conjunto com outras informações, permita identificar uma pessoa física.
Por outro lado, o dado pessoal sensível é uma categoria especial dentro dos dados pessoais, conforme o art. 5º, II, da LGPD.
A lei define como dados sensíveis as informações sobre:
- origem racial ou étnica;
- convicção religiosa;
- opinião política;
- filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
- saúde ou vida sexual;
- dado genético ou biométrico, quando vinculado a uma pessoa natural.
Nesse contexto, os dados sensíveis recebem proteção mais rigorosa.
Por isso, seu tratamento exige consentimento específico ou enquadramento nas hipóteses legais expressamente previstas pela LGPD.
O regime jurídico dos dados pessoais sensíveis é mais restritivo.
Em regra, o tratamento desses dados exige consentimento específico e destacado do titular, conforme o art. 11 da LGPD.
Além disso, as hipóteses de tratamento sem consentimento são mais restritas do que aquelas aplicáveis aos dados pessoais comuns.
Nesse contexto, empresas que tratam dados de saúde de empregados, utilizam biometria para controle de acesso ou mantêm registros de filiação sindical precisam dedicar atenção especial a esse regime.
As 10 bases legais para tratamento de dados
O art. 7º da LGPD estabelece que o tratamento de dados pessoais só pode ocorrer quando fundamentado em uma das dez hipóteses previstas em lei.
Por isso, o controlador deve identificar e documentar qual base legal sustenta cada operação de tratamento.
Além disso, não há hierarquia entre as bases legais. A escolha deve refletir a realidade da atividade.
As dez bases legais são:
- Consentimento do titular — manifestação livre, informada e inequívoca (art. 7º, I).
- Cumprimento de obrigação legal ou regulatória — quando a lei exige o tratamento do dado (art. 7º, II).
- Execução de políticas públicas — aplicável exclusivamente à administração pública (art. 7º, III).
- Realização de estudos por órgão de pesquisa (art. 7º, IV).
- Execução de contrato do qual o titular seja parte, a pedido do próprio titular (art. 7º, V).
- Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI).
- Proteção da vida ou da incolumidade física do titular ou de terceiro (art. 7º, VII).
- Tutela da saúde em procedimento realizado por profissional de saúde ou entidade sanitária (art. 7º, VIII).
- Interesses legítimos do controlador ou de terceiro, desde que não prevaleçam os direitos e as liberdades fundamentais do titular (art. 7º, IX).
- Proteção do crédito (art. 7º, X).
Por que o consentimento não é a única saída
O consentimento recebe atenção desproporcional em relação às demais bases legais.
No entanto, empresas que fundamentam toda a sua operação de dados no consentimento criam um problema.
Se o titular revogar o consentimento — o que é um direito garantido pela LGPD —, a empresa pode perder a base legal para continuar tratando dados essenciais à execução de um contrato ou ao cumprimento de uma obrigação legal.
Por isso, a escolha da base legal deve refletir a finalidade real do tratamento.
Um empregado que assina um formulário de consentimento para o processamento da folha de pagamento não está, na prática, consentindo com o tratamento dos dados.
Nesse caso, a empresa está cumprindo uma obrigação legal, nos termos do art. 7º, II, da LGPD.
Assim, utilizar o consentimento quando a base adequada é o cumprimento de obrigação legal cria uma vulnerabilidade.
Como consequência, o trabalhador pode revogar o consentimento e exigir a cessação do tratamento.
Os direitos dos titulares que a empresa precisa garantir
O art. 18 da LGPD estabelece os direitos dos titulares, que podem ser exercidos a qualquer momento mediante requisição ao controlador.
Para as empresas, esses direitos se traduzem em obrigações operacionais concretas.
O titular tem direito a:
- Confirmação e acesso — saber se a empresa trata seus dados e obter acesso simplificado a eles (art. 18, I e II).
- Correção — exigir a correção de dados incompletos, inexatos ou desatualizados (art. 18, III).
- Anonimização, bloqueio ou eliminação — nos casos de dados desnecessários, excessivos ou tratados em desconformidade com a lei (art. 18, IV).
- Portabilidade — solicitar a transferência dos dados para outro fornecedor de serviço ou produto, mediante requisição expressa (art. 18, V).
- Eliminação — requerer a exclusão de dados tratados com base em consentimento, salvo nas hipóteses de conservação obrigatória (art. 18, VI).
- Informação sobre compartilhamento — saber com quais entidades públicas e privadas a empresa compartilha seus dados (art. 18, VII).
- Informação sobre a possibilidade de não consentir — incluindo as consequências da negativa (art. 18, VIII).
- Revogação do consentimento — quando essa for a base legal do tratamento (art. 18, IX).
Para empresas com grande volume de titulares — como clientes, empregados e parceiros —, atender a essas requisições dentro de prazo razoável exige um processo estruturado.
Além disso, a Autoridade Nacional de Proteção de Dados (ANPD) pode fiscalizar o descumprimento desses direitos.
Nesse contexto, a autoridade iniciou, em 2024, processos contra empresas de grande porte por falhas nos canais de atendimento ao titular.
O que a LGPD exige das empresas na prática
A LGPD cria um conjunto de obrigações operacionais que, em conjunto, formam um programa mínimo de conformidade.
Encarregado de dados — o DPO
O art. 41 da LGPD determina que o controlador deve indicar um encarregado pelo tratamento de dados pessoais (DPO).
Além disso, a Resolução ANPD nº 18/2024 tornou obrigatória a divulgação pública da identidade e das informações de contato do encarregado, de forma clara, objetiva e acessível a qualquer titular.
O encarregado atua como canal de comunicação entre a empresa, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
Essa função pode ser exercida por pessoa física, empresa especializada ou profissional externo.
O encarregado não precisa ser advogado. No entanto, deve possuir conhecimento das normas de proteção de dados.
Em dezembro de 2024, a ANPD instaurou processo de fiscalização contra 20 empresas de grande porte que não divulgavam o DPO adequadamente ou disponibilizavam canais de comunicação ineficazes.
As sanções aplicáveis incluem multa de até R$ 50 milhões.
Registro das operações de tratamento
O art. 37 da LGPD obriga controladores e operadores a manter registro das operações de tratamento de dados realizadas, especialmente quando fundamentadas no legítimo interesse.
Esse registro, usualmente chamado de mapa de dados ou inventário de dados, documenta quais dados são tratados, para qual finalidade, com qual base legal, por quanto tempo e com quem são compartilhados.
Além disso, o registro serve de base para a resposta a requisições dos titulares, para auditorias da ANPD e para a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), exigido em situações de maior risco.
Relatório de Impacto à Proteção de Dados (RIPD)
O art. 38 da LGPD prevê que a ANPD pode determinar ao controlador a elaboração do RIPD.
Esse documento descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas e garantias adotadas para mitigá-los.
A elaboração é obrigatória quando solicitada pela autoridade ou quando a empresa implementa tratamentos de alto risco, como o uso de dados biométricos em larga escala ou o perfilamento de indivíduos.
Comunicação de incidentes de segurança
O art. 48 da LGPD exige que o controlador comunique à ANPD e aos titulares a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante.
A Resolução ANPD nº 15/2024, publicada em 26 de abril de 2024, regulamentou esse processo.
O prazo é de três dias úteis a partir do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais.
Para agentes de tratamento de pequeno porte, o prazo é de seis dias úteis.
Além disso, as informações iniciais podem ser complementadas em até 20 dias úteis.
A comunicação deve ser realizada pelo encarregado de dados por meio do formulário eletrônico disponibilizado pela ANPD.
Além disso, deve ser replicada aos titulares afetados de forma direta, individualizada e em linguagem simples.
A ANPD pode fixar multa diária em caso de descumprimento de medidas cautelares decorrentes do incidente.
Contratos com operadores
Sempre que a empresa transfere dados pessoais a um terceiro que os trata em seu nome — como uma empresa de RH, uma plataforma de CRM ou um provedor de saúde —, esse terceiro é caracterizado como operador, nos termos do art. 5º, VII, da LGPD.
Nesse contexto, o controlador é responsável por garantir que o operador trate os dados em conformidade com a lei.
Por isso, deve formalizar essa relação por meio de contrato com cláusulas específicas sobre finalidade, segurança e responsabilidades.
Além disso, o operador responde solidariamente pelos danos causados quando descumpre as obrigações da LGPD ou deixa de seguir as instruções lícitas do controlador, conforme o art. 42, § 1º, I.
As sanções da ANPD e o atual estágio de enforcement
Quais sanções a ANPD pode aplicar
O art. 52 da LGPD prevê as seguintes sanções administrativas, aplicáveis pela Autoridade Nacional de Proteção de Dados (ANPD) após processo administrativo que assegure o contraditório e a ampla defesa:
- advertência, com prazo para adoção de medidas corretivas;
- multa simples de até 2% do faturamento da empresa no Brasil no último exercício fiscal, limitada a R$ 50 milhões por infração;
- multa diária, até o limite do valor da multa simples;
- publicização da infração, o chamado “nome sujo” regulatório;
- bloqueio dos dados envolvidos, até a regularização;
- eliminação dos dados pessoais.
Como está o enforcement da LGPD no Brasil
A ANPD aplicou sua primeira multa em julho de 2023 à Telekall Infoservice, por infrações aos arts. 7º e 41 da LGPD — tratamento de dados sem base legal e ausência de DPO.
Além disso, o valor da sanção foi de R$ 14.400.
Por outro lado, em 2024, nenhuma multa pecuniária foi aplicada a empresas privadas.
Ainda assim, cinco processos sancionadores foram encerrados, todos contra órgãos públicos.
Para fins de comparação, as autoridades de proteção de dados da União Europeia, do Reino Unido, dos Estados Unidos, da Argentina e da Austrália aplicaram, em conjunto, US$ 1,7 bilhão em multas em 2024, segundo levantamento do L.O. Baptista Advogados (2025).
O que indica a mudança no ambiente regulatório
Dois vetores indicam que o ambiente de enforcement está mudando.
Em primeiro lugar, a Deliberação CD/ANPD nº 10/2025 introduziu multas diárias para o descumprimento de medidas cautelares, reforçando o poder coercitivo da autoridade antes mesmo do encerramento do processo.
Além disso, em julho de 2024, a ANPD aplicou medida preventiva à Meta, determinando a suspensão imediata da nova política de privacidade que autorizava o uso de dados para treinamento de inteligência artificial.
Responsabilidade civil e risco judicial
Por outro lado, o risco civil é independente da esfera administrativa.
O art. 42 da LGPD atribui ao controlador responsabilidade objetiva pelos danos causados pelo tratamento irregular.
Além disso, o Superior Tribunal de Justiça (STJ) confirmou esse entendimento no REsp 1.960.429/SP (caso Enel), ao reconhecer que a falha na segurança de dados dispensa a demonstração de culpa para fins de indenização.
Dessa forma, as esferas administrativa e civil correm em paralelo e de forma autônoma.
FAQ
Qual é a diferença entre controlador e operador na LGPD?
O controlador é quem decide como e por que os dados pessoais são tratados.
Em geral, trata-se da empresa que coleta os dados de clientes ou empregados.
Por outro lado, o operador realiza o tratamento em nome do controlador, sem tomar decisões sobre a finalidade e os meios utilizados.
É o caso, por exemplo, de empresas de processamento de folha de pagamento ou de provedores de CRM.
Essa distinção tem implicações práticas.
O controlador é o principal responsável perante a ANPD e os titulares dos dados.
Além disso, o operador responde solidariamente quando descumpre a lei ou age em desacordo com as instruções recebidas.
Toda empresa precisa ter um DPO?
Sim.
O art. 41 da LGPD determina que o controlador indique um encarregado pelo tratamento de dados pessoais (DPO).
Além disso, a Resolução ANPD nº 18/2024 tornou obrigatória a divulgação pública da identidade e do contato desse profissional.
Não há exceção por porte.
Embora a ANPD aplique regras diferenciadas para agentes de pequeno porte em outros aspectos, a obrigação de indicar e divulgar um encarregado é geral.
Em dezembro de 2024, a ANPD iniciou fiscalização contra 20 empresas de grande porte por descumprimento dessa exigência.
O que acontece quando um sistema da empresa é invadido e dados de clientes são vazados?
A empresa deve comunicar à ANPD e aos titulares afetados a ocorrência do incidente.
Conforme a Resolução ANPD nº 15/2024, o prazo é de três dias úteis a partir do momento em que a empresa toma conhecimento de que o incidente envolveu dados pessoais.
A comunicação pode ser preliminar.
Nesse caso, as informações complementares podem ser apresentadas em até 20 dias úteis.
Além disso, a ANPD pode determinar medidas cautelares imediatas e aplicar multa diária em caso de descumprimento.
Paralelamente, a empresa pode responder por danos em ações civis propostas pelos titulares afetados.
Nesses casos, aplica-se a responsabilidade objetiva, conforme entendimento do Superior Tribunal de Justiça (STJ).
A LGPD se aplica a dados de empregados, e não apenas de clientes?
Sim.
A LGPD se aplica a qualquer dado relacionado a pessoa natural.
Isso inclui dados de candidatos em processos seletivos, empregados, ex-empregados e prestadores de serviço.
Informações de saúde para plano corporativo, biometria para controle de acesso, dados bancários para pagamento de salário e registros de e-mail corporativo são exemplos de dados pessoais sujeitos à lei.
Na maioria dos casos, a base legal para o tratamento de dados de empregados é o cumprimento de obrigação legal, previsto no art. 7º, II, da LGPD.
Portanto, o tratamento normalmente não depende de consentimento.
Qual é o valor máximo da multa que a ANPD pode aplicar?
O art. 52 da LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício fiscal, limitada a R$ 50 milhões por infração.
No entanto, cada operação de tratamento irregular pode ser enquadrada como infração separada.
Por isso, violações sistêmicas — como o tratamento de dados de milhões de titulares sem base legal — podem resultar em valores acumulados muito superiores ao teto individual.
A LGPD não é uma obrigação exclusiva da área de TI.
Na prática, trata-se de uma lei que reorganiza a forma como a empresa coleta, armazena e compartilha informações, com reflexos no contencioso, nos contratos com terceiros, na gestão de dados de empregados e na relação com clientes.
Além disso, empresas que tratam dados jurídicos enfrentam uma camada adicional de complexidade.
Processos judiciais, documentos contratuais e registros trabalhistas contêm dados pessoais de titulares que, cada vez mais, exercerão seus direitos de forma ativa.
Nesse contexto, a Pact atua junto a departamentos jurídicos corporativos na organização e proteção dos dados que sustentam a operação contenciosa.
A atuação combina controle, método e visibilidade para que o jurídico cumpra suas obrigações sem deixar rastros de conformidade em aberto.
Conheça como a Pact apoia a gestão estruturada de dados jurídicos →
