A aplicação da Lei Geral de Proteção de Dados é a incidência da LGPD sobre operações com dados pessoais, nos termos do art. 3º da Lei 13.709/2018. Na prática, empresas, órgãos públicos e profissionais devem justificar a coleta, proteger informações e atender direitos dos titulares.
A LGPD entrou em vigor em setembro de 2020, com sanções administrativas aplicáveis desde 1º de agosto de 2021, conforme a Lei 14.010/2020. Desde então, contratos, cadastros, campanhas, prontuários, bases de clientes, processos seletivos e sistemas jurídicos precisam seguir regras documentadas de privacidade.
A adequação não se limita a publicar uma política de privacidade. A organização precisa mapear dados, definir bases legais, controlar acessos, treinar equipes, revisar fornecedores e criar canais para titulares. A Autoridade Nacional de Proteção de Dados também passou a editar normas complementares, como a Resolução CD/ANPD 4/2023 sobre dosimetria de sanções.
Como funciona a aplicação da Lei Geral de Proteção de Dados?
A aplicação da Lei Geral de Proteção de Dados alcança qualquer operação com dado pessoal feita no Brasil, relacionada a pessoas localizadas no país ou destinada à oferta de bens e serviços no território nacional. O art. 3º da Lei 13.709/2018 permite essa incidência mesmo quando parte do tratamento ocorre fora do Brasil.
A lei considera tratamento praticamente todo uso de dados: coleta, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação e transferência. Uma empresa trata dados quando recebe currículos, emite notas fiscais, cadastra clientes, envia e-mail marketing, usa cookies ou compartilha informações com fornecedores.
O ponto central é identificar se existe dado pessoal. O art. 5º, I, da Lei 13.709/2018 define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. Nome, CPF, e-mail corporativo individual, telefone, endereço IP, geolocalização e identificadores de dispositivo podem entrar nessa categoria.
A aplicação também depende da finalidade. Uma loja virtual que vende para consumidores brasileiros deve cumprir a LGPD ao processar pagamento e entregar produtos. Um escritório de advocacia que organiza documentos de clientes trata dados pessoais e, muitas vezes, dados sensíveis. Um RH que coleta laudos médicos em afastamentos precisa observar regras mais rígidas.
A quem a LGPD se aplica no Brasil?
A LGPD se aplica a pessoas físicas ou jurídicas, de direito público ou privado, que tratem dados pessoais com finalidade econômica, administrativa, contratual, regulatória ou institucional. A regra alcança empresas de qualquer porte, associações, condomínios, profissionais liberais, escritórios de advocacia, startups, hospitais, escolas, fintechs e órgãos públicos.
Microempresas, empresas de pequeno porte e startups não ficam fora da lei. A Resolução CD/ANPD 2/2022 criou tratamento diferenciado para agentes de pequeno porte, com prazos e obrigações simplificadas em alguns casos, mas não dispensou princípios como finalidade, necessidade, transparência, segurança e prevenção.
Órgãos públicos também precisam cumprir a LGPD. O art. 23 da Lei 13.709/2018 exige finalidade pública, interesse público e divulgação clara das hipóteses de tratamento. Municípios, autarquias, tribunais, universidades públicas e secretarias de saúde devem explicar por que coletam dados e como protegem essas informações.
Empresas estrangeiras entram no alcance da lei quando oferecem bens ou serviços a pessoas no Brasil, coletam dados no território nacional ou tratam dados de titulares localizados no país. Por isso, plataformas digitais internacionais, ferramentas de CRM, softwares jurídicos e provedores de nuvem usados por empresas brasileiras exigem análise contratual.
Quais casos ficam fora da aplicação da LGPD?
A LGPD não se aplica a todo uso de informação pessoal. O art. 4º da Lei 13.709/2018 exclui tratamentos feitos por pessoa natural para fins exclusivamente particulares e não econômicos, além de atividades jornalísticas, artísticas, acadêmicas, segurança pública, defesa nacional, segurança do Estado e investigação penal.
A exclusão para uso particular cobre situações domésticas, como uma agenda pessoal de contatos sem finalidade comercial. Se a pessoa passa a vender produtos, disparar campanhas ou monetizar a base, o tratamento deixa de ser exclusivamente particular e pode atrair a aplicação da LGPD.
Atividades jornalísticas, artísticas e acadêmicas possuem tratamento especial porque envolvem liberdade de expressão, pesquisa e produção de conhecimento. Ainda assim, universidades, institutos e pesquisadores devem observar normas específicas, ética em pesquisa e, quando aplicável, as bases legais previstas nos arts. 7º e 11 da Lei 13.709/2018.
Segurança pública, defesa nacional e investigação penal ficaram fora do regime geral da LGPD, mas não fora de qualquer controle jurídico. A Constituição Federal, especialmente após a Emenda Constitucional 115/2022, reconhece a proteção de dados pessoais como direito fundamental no art. 5º, LXXIX, o que orienta a interpretação desses tratamentos.
Quais bases legais autorizam o tratamento de dados?
As bases legais justificam o tratamento de dados pessoais e devem existir antes da coleta. O art. 7º da Lei 13.709/2018 lista hipóteses como consentimento, obrigação legal, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse, proteção de crédito e políticas públicas.
O consentimento precisa ser livre, informado e inequívoco, conforme o art. 8º da Lei 13.709/2018. Ele serve, por exemplo, para determinadas comunicações promocionais, uso de imagem e preferências de marketing. A empresa deve permitir revogação simples e registrar quando, como e para qual finalidade recebeu a autorização.
A execução de contrato permite tratar dados necessários para cumprir uma obrigação assumida com o titular. Um software jurídico pode processar dados de usuários para liberar acesso à plataforma. Uma clínica pode usar dados cadastrais para agendar consultas. Uma loja pode compartilhar endereço com transportadora para entregar produto comprado.
O legítimo interesse exige cautela. O art. 10 da Lei 13.709/2018 autoriza a base para finalidades legítimas do controlador ou de terceiro, mas exige avaliação de necessidade, expectativa do titular e salvaguardas. A empresa deve documentar esse teste, especialmente em publicidade, prevenção a fraudes e melhoria de serviços.
Como enquadrar uma empresa na LGPD?
O enquadramento começa com um diagnóstico de dados, processos e riscos. A organização deve identificar quais dados coleta, de quem coleta, por qual finalidade, onde armazena, com quem compartilha e por quanto tempo conserva. Esse mapeamento orienta contratos, políticas internas, controles técnicos e respostas aos titulares.
Para o setor jurídico, convém buscar apoio especializado em privacidade, segurança da informação e rotinas legais. A Tutelas, por exemplo, desenvolve projetos voltados à adequação documental, ao mapeamento de operações e à orientação de áreas que lidam com dados pessoais sensíveis ou estratégicos.
Departamentos de RH, contabilidade, atendimento, marketing, tecnologia, jurídico e Compliance precisam atuar em conjunto. O RH trata dados de candidatos, dependentes e benefícios. O financeiro lida com cobranças. O marketing usa leads e cookies. O jurídico acessa contratos, procurações, documentos processuais e comunicações confidenciais.
Quais passos ajudam na adequação inicial?
- Nomear responsáveis pelo projeto e definir governança de privacidade.
- Mapear dados pessoais, dados sensíveis, sistemas, fornecedores e fluxos internacionais.
- Associar cada tratamento a uma base legal dos arts. 7º ou 11 da Lei 13.709/2018.
- Revisar contratos com operadores, cláusulas de confidencialidade e níveis de serviço.
- Atualizar políticas de privacidade, avisos de cookies e termos de uso.
- Criar procedimento para atendimento dos direitos previstos no art. 18 da Lei 13.709/2018.
- Implantar controles de segurança, gestão de acessos, backups e registro de incidentes.
- Treinar equipes com exemplos ligados à rotina de cada área.
- Definir retenção e descarte seguro de documentos físicos e digitais.
- Reavaliar o programa periodicamente, com evidências de melhoria contínua.
Qual é o papel da ANPD na fiscalização?
A ANPD fiscaliza, orienta, regulamenta e aplica sanções relativas à proteção de dados pessoais. A Autoridade Nacional de Proteção de Dados foi criada pela Lei 13.853/2019, que alterou a Lei 13.709/2018, e ganhou autarquia de natureza especial pela Lei 14.460/2022.
A atuação da ANPD combina educação regulatória, monitoramento, processos administrativos e sanções. A Resolução CD/ANPD 1/2021 aprovou o regulamento de fiscalização. A Resolução CD/ANPD 4/2023 definiu critérios para calcular advertências, multas simples, multas diárias e outras penalidades.
As sanções do art. 52 da Lei 13.709/2018 incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio ou eliminação de dados pessoais, suspensão parcial do banco de dados e proibição parcial ou total do tratamento.
A empresa também deve observar incidentes de segurança. A Resolução CD/ANPD 15/2024 regulamentou a comunicação de incidentes com dados pessoais e fixou prazo, em regra, de três dias úteis para comunicar a ANPD quando houver risco ou dano relevante aos titulares. A comunicação deve descrever natureza dos dados, titulares afetados, medidas adotadas e riscos.
Quais setores sentem maior impacto da LGPD?
Todos os setores que tratam dados pessoais sentem impactos, mas saúde, educação, financeiro, jurídico, tecnologia, varejo, recursos humanos e telecomunicações costumam lidar com maior volume ou maior sensibilidade. O grau de risco aumenta quando há dados sensíveis, decisões automatizadas, crianças, biometria, geolocalização ou compartilhamento com muitos fornecedores.
Na saúde, hospitais, clínicas, laboratórios e operadoras tratam dados sobre histórico médico, exames, CID, medicamentos e biometria. O art. 11 da Lei 13.709/2018 classifica dados referentes à saúde como sensíveis. Por isso, o acesso deve seguir necessidade assistencial, obrigação regulatória, tutela da saúde ou outra hipótese legal adequada.
No setor jurídico, escritórios e departamentos jurídicos manipulam documentos pessoais, estratégias processuais, contratos, dados trabalhistas, informações de sócios, provas digitais e dados de terceiros. A adequação precisa respeitar sigilo profissional, Estatuto da Advocacia, deveres contratuais e segurança em ferramentas de gestão processual.
No varejo e no marketing, o impacto aparece em cadastros, programas de fidelidade, cookies, e-mail marketing, análise de comportamento e prevenção a fraudes. A empresa deve separar comunicações transacionais de campanhas promocionais, registrar preferências, permitir opt-out e evitar coleta excessiva de informações sem finalidade demonstrável.
Como o legítimo interesse deve ser avaliado?
O legítimo interesse permite tratamento sem consentimento quando a finalidade for legítima, específica e compatível com as expectativas do titular. A empresa deve aplicar teste de balanceamento, registrar a finalidade, limitar dados ao necessário e adotar salvaguardas, conforme o art. 10 da Lei 13.709/2018.
A avaliação começa com a pergunta sobre finalidade: por que a organização precisa tratar esses dados? Depois, verifica necessidade: existe meio menos invasivo para atingir o mesmo objetivo? Por fim, analisa equilíbrio: o titular esperaria esse uso? O tratamento causa discriminação, exposição indevida ou perda de controle?
Um exemplo comum é a prevenção a fraudes em transações online. A empresa pode analisar padrões de acesso, endereço IP e histórico de compras para proteger o titular e a própria operação. Já usar a mesma base para publicidade comportamental agressiva pode exigir outra base legal ou salvaguardas mais robustas.
O registro dessa análise ajuda em fiscalizações, auditorias e incidentes. Ele demonstra responsabilidade e prestação de contas, princípio previsto no art. 6º, X, da Lei 13.709/2018. Também reduz decisões improvisadas por departamentos que pretendem reutilizar dados para finalidades não comunicadas.
Quais consequências jurídicas surgem pela falta de adequação?
A falta de adequação à LGPD pode gerar sanções administrativas, ações judiciais, danos reputacionais, perda contratual e questionamentos de titulares. Além da multa prevista no art. 52 da Lei 13.709/2018, empresas podem sofrer bloqueio de bases, eliminação de dados e publicização da infração.
O risco judicial não depende apenas da ANPD. Titulares podem buscar reparação civil quando demonstram dano decorrente de tratamento irregular. Órgãos de defesa do consumidor e Ministério Público também podem atuar quando o tratamento envolve coletividade, práticas abusivas, vazamentos ou ausência de transparência.
A jurisprudência constitucional reforçou a relevância do tema. Em 2020, no julgamento das ADIs 6387 e correlatas, o Supremo Tribunal Federal reconheceu a proteção de dados como dimensão ligada à privacidade e à autodeterminação informativa ao suspender o compartilhamento massivo de dados telefônicos previsto na Medida Provisória 954/2020.
Depois, a Emenda Constitucional 115/2022 incluiu a proteção de dados pessoais entre os direitos fundamentais, no art. 5º, LXXIX, da Constituição Federal. Essa atualização fortalece argumentos de titulares, orienta contratos e aumenta o nível de diligência esperado de empresas e órgãos públicos.
Como manter a conformidade sem travar a estratégia da empresa?
A LGPD não impede atividades comerciais, atendimento ao cliente, marketing ou inovação. Ela exige que a estratégia use dados com finalidade definida, base legal adequada, transparência e segurança. Quando a empresa organiza governança, reduz desperdício de dados, melhora controles internos e negocia com fornecedores de forma mais segura.
O treinamento deve envolver funcionários, gestores, prestadores e associados que acessam sistemas ou documentos. Políticas de computação em nuvem, mensageria, criptografia, senhas, descarte de papéis, uso de dispositivos pessoais e compartilhamento de arquivos precisam sair do texto abstrato e entrar na rotina operacional.
Empresas que contam com apoio especializado conseguem transformar o projeto em entregas verificáveis: inventário de dados, matriz de bases legais, relatório de impacto quando necessário, plano de resposta a incidentes, cláusulas contratuais e evidências de treinamento. A Tutelas atua nesse tipo de estruturação, com foco em segurança e privacidade.
Você também pode se interessar por:
- LGPD: O que diz a Lei Geral de Proteção de Dados Pessoais
- LGPD para escritórios de advocacia: o que muda?
- Terceirização no departamento jurídico em tempos de crise
Perguntas frequentes sobre aplicação da Lei Geral de Proteção de Dados
Aplicação da Lei Geral de Proteção de Dados alcança dados pessoais relacionados a pessoa natural identificada ou identificável, como nome, CPF, telefone, e-mail, endereço IP, cookies e geolocalização. Também alcança dados sensíveis do art. 5º, II, da Lei 13.709/2018, como saúde, biometria, religião e origem racial.
Aplicação da Lei Geral de Proteção de Dados também inclui pequenas empresas quando elas tratam dados pessoais. A Resolução CD/ANPD 2/2022 trouxe regras simplificadas para agentes de pequeno porte, mas manteve deveres de segurança, transparência, base legal, atendimento ao titular e prevenção de incidentes.
Aplicação da Lei Geral de Proteção de Dados exige maior cuidado com dados sensíveis, definidos no art. 5º, II, da Lei 13.709/2018. Entram nessa categoria informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, genética e biometria.
Aplicação da Lei Geral de Proteção de Dados se apoia nos fundamentos do art. 2º da Lei 13.709/2018. Eles incluem respeito à privacidade, autodeterminação informativa, liberdade de expressão, inviolabilidade da intimidade, desenvolvimento econômico, livre iniciativa, defesa do consumidor, direitos humanos e dignidade da pessoa natural.
Aplicação da Lei Geral de Proteção de Dados muda a forma como empresas coletam, armazenam, compartilham e eliminam informações. A organização precisa demonstrar base legal, informar finalidades, atender direitos dos titulares, revisar fornecedores, proteger sistemas e manter evidências de conformidade para auditorias, contratos e fiscalizações.
Aplicação da Lei Geral de Proteção de Dados exige comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD 15/2024 prevê, em regra, prazo de três dias úteis a partir do conhecimento pelo controlador, com descrição do evento e medidas adotadas.
Qual é a conclusão sobre a aplicação da Lei Geral de Proteção de Dados?
A aplicação da Lei Geral de Proteção de Dados exige mais do que adaptação pontual: ela demanda governança contínua, documentação e cultura de privacidade. Empresas, órgãos públicos e profissionais que tratam dados pessoais devem conhecer o art. 3º da Lei 13.709/2018, revisar processos e manter evidências de conformidade.
O caminho mais seguro começa pelo mapeamento dos dados e segue com bases legais, contratos, segurança da informação, atendimento a titulares, gestão de incidentes e treinamento. Com esse fluxo, a organização reduz riscos jurídicos, melhora sua relação com clientes e atua de forma compatível com o direito fundamental à proteção de dados.
São dados pessoais sensíveis aqueles que possa, levar a uma discriminação da pessoa, como dados pessoais que revelem a origem racial ou étnica, opiniões políticas e convicções religiosas ou filosóficas, filiação sindical,
dados genéticos, dados biométricos tratados simplesmente para identificar um ser humano, dados relacionados com a saúde, dados relativos à vida sexual ou orientação sexual da pessoa.
