A LGPD é a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018, que regula como organizações coletam, tratam, armazenam e compartilham dados pessoais no Brasil. Ela estabelece direitos para as pessoas sobre suas próprias informações e obrigações para quem trata esses dados.
Este guia tem um recorte específico: ele foca no que a LGPD exige na prática da sua operação, com atenção especial às medidas de segurança da informação. Não é uma peça jurídica, e sim uma leitura técnica de quem implementa os controles que a lei demanda.
Esse recorte importa porque há uma lacuna comum nas adequações à LGPD: muitas organizações concluem o projeto com políticas revisadas, avisos de cookies instalados e contratos ajustados, mas sem os controles técnicos que impedem, de fato, um vazamento de dados.
A quem a LGPD se aplica
A resposta curta é: praticamente a todas as organizações. A lei alcança qualquer operação de tratamento de dados pessoais realizada no Brasil, ou que trate dados coletados no país, ou ainda que tenha por objetivo oferecer bens e serviços a pessoas localizadas em território nacional.
Dois equívocos frequentes valem correção:
- “Minha empresa é pequena, não se aplica.” Aplica-se. A LGPD prevê tratamento simplificado para agentes de pequeno porte em alguns aspectos operacionais, mas não isenta ninguém do dever de proteger os dados que trata. A própria autoridade reguladora já reiterou esse ponto publicamente.
- “Só lido com dados de funcionários, não de clientes.” Dados de colaboradores são dados pessoais. Currículos de candidatos, informações de fornecedores pessoa física e registros de visitantes também.
Os conceitos que você precisa conhecer
Quatro definições organizam toda a leitura da lei:
- Dado pessoal. Qualquer informação relacionada a pessoa natural identificada ou identificável. Vai muito além de nome e CPF: inclui e-mail corporativo nominal, endereço IP em determinados contextos, geolocalização e identificadores de dispositivo.
- Dado pessoal sensível. Categoria com proteção reforçada, que inclui origem racial ou étnica, convicção religiosa, opinião política, dados referentes à saúde, à vida sexual, dados genéticos e biométricos. O tratamento dessas informações exige cuidado adicional e bases legais mais restritas.
- Titular. A pessoa a quem os dados se referem. É ela quem detém os direitos previstos na lei.
- Controlador e operador. O controlador decide sobre o tratamento: por que, como e para quê. O operador realiza o tratamento em nome do controlador. Um sistema de folha de pagamento contratado como serviço, por exemplo, atua como operador. A distinção define responsabilidades, e ambos respondem por danos.
Vale registrar que tratamento é um conceito amplíssimo na lei: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração. Na prática, quase tudo o que se faz com um dado é tratamento.
As bases legais para tratar dados
Todo tratamento de dado pessoal precisa estar apoiado em uma base legal prevista na lei. Este é o ponto onde mais se erra na prática.
O equívoco mais comum é acreditar que consentimento é sempre necessário. Não é. O consentimento é apenas uma entre as bases legais previstas, e frequentemente não é a mais adequada.
Outras bases legais frequentes no contexto empresarial incluem o cumprimento de obrigação legal ou regulatória, a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o titular seja parte, o exercício regular de direitos em processo, a proteção da vida e o legítimo interesse do controlador.
Pedir consentimento para algo que já se apoia em obrigação legal cria um problema: se o titular revogar o consentimento, a empresa fica em situação contraditória, já que precisa manter aquele dado por exigência legal. Mapear a base correta para cada tratamento é parte estruturante da adequação.
Os direitos dos titulares
A lei assegura ao titular um conjunto de direitos que a organização precisa estar preparada para atender, normalmente em prazos definidos:
- Confirmação da existência de tratamento e acesso aos dados
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
- Portabilidade dos dados a outro fornecedor
- Eliminação dos dados tratados com base em consentimento
- Informação sobre com quem os dados foram compartilhados
- Revogação do consentimento
Atender esses direitos exige capacidade operacional concreta: saber onde cada dado está armazenado, conseguir localizá-lo, corrigi-lo ou eliminá-lo em todos os sistemas. Organizações sem inventário de dados costumam descobrir na primeira solicitação que não conseguem cumprir o prazo.
O artigo 46: as medidas técnicas de segurança
Chegamos ao ponto central deste guia, e à parte da LGPD que menos aparece nas discussões sobre adequação.
O artigo 46 determina que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
A lei não lista quais medidas. Essa aparente lacuna é deliberada: tecnologia muda mais rápido que legislação. Mas ela transfere para a organização o ônus de demonstrar que adotou controles adequados ao risco do tratamento que realiza.
Na prática, isso significa que o seguinte conjunto de controles deixa de ser boa prática de TI e passa a ser elemento de conformidade:
- Controle de acesso. Cada pessoa deve acessar apenas os dados necessários à sua função, pelo tempo necessário. Isso é o princípio do menor privilégio, e se implementa com gestão de identidades e acessos, incluindo revisão periódica de permissões e controle de contas privilegiadas. Veja mais sobre [identidades e acessos].
- Criptografia. Proteção dos dados em repouso, quando armazenados, e em trânsito, quando trafegam pela rede. Dados criptografados que vazam causam dano substancialmente menor.
- Registro e monitoramento. Capacidade de saber quem acessou o quê e quando, e de detectar acesso indevido. Sem trilha de auditoria, a organização não consegue nem investigar um incidente nem demonstrar diligência.
- Gestão de vulnerabilidades. Identificação e correção de falhas nos sistemas que tratam dados pessoais, incluindo testes periódicos como o [pentest].
- Segurança das aplicações. As aplicações são a interface entre os dados e o mundo. Uma falha de controle de acesso que permite a um usuário ver dados de outro é, além de bug, medida de segurança ausente.
- Resposta a incidentes. A lei exige comunicação de incidentes de segurança relevantes à autoridade e aos titulares afetados. Isso pressupõe capacidade de detectar o incidente, dimensionar seu alcance e agir em prazo razoável.
- Gestão de terceiros. A organização responde pelos dados que compartilha com operadores e fornecedores. Avaliar a segurança de quem trata seus dados é parte da obrigação.
- Conscientização das pessoas. Boa parte dos incidentes começa em erro humano. Treinamento e simulações fazem parte do controle.
O PONTO QUE SEPARA CONFORMIDADE REAL DE CONFORMIDADE APARENTE
Uma organização pode ter política de privacidade impecável, contratos revisados por escritório especializado, aviso de cookies configurado e encarregado nomeado.
Se a aplicação que trata os dados dos clientes tem uma falha de controle de acesso não corrigida, nenhum desses documentos impede o vazamento.
Documentação demonstra intenção. Controles técnicos produzem proteção. A lei exige os dois, e o artigo 46 trata especificamente do segundo.
As sanções e o papel da ANPD
A fiscalização da LGPD cabe à Autoridade Nacional de Proteção de Dados, a ANPD. O artigo 52 da lei prevê um conjunto de sanções administrativas que podem ser aplicadas de forma isolada ou cumulativa:
- Advertência, com indicação de prazo para adoção de medidas corretivas
- Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração
- Multa diária, observado o limite total
- Publicização da infração após devidamente apurada e confirmada
- Bloqueio dos dados pessoais a que se refere a infração
- Eliminação dos dados pessoais a que se refere a infração
- Suspensão parcial ou total do funcionamento do banco de dados, e suspensão ou proibição do exercício de atividades de tratamento
Um marco recente mudou o cenário de fiscalização: a Lei nº 15.352, de fevereiro de 2026, transformou a ANPD de órgão vinculado à Presidência da República em agência reguladora autônoma, com autonomia administrativa e financeira e ampliação de quadro. Na prática, isso significa maior capacidade de fiscalização.
O cálculo das sanções segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que classifica a gravidade da infração, define valor-base e aplica agravantes e atenuantes. Entre os atenuantes está a existência de um programa de governança em privacidade, nos termos do artigo 50 da lei, o que cria incentivo concreto à adequação preventiva.
Vale registrar também que o risco não se limita à esfera administrativa. Há um volume relevante de decisões judiciais envolvendo a LGPD no país, muitas relacionadas a pedidos de reparação por dano moral, o que representa uma frente de exposição independente da atuação da ANPD.
A obrigação de comunicar incidentes
Existe uma obrigação da LGPD que costuma pegar organizações despreparadas: a comunicação de incidentes de segurança.
O artigo 48 determina que o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação precisa descrever a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas de segurança utilizadas, os riscos relacionados e as providências adotadas.
Repare no que essa exigência pressupõe. Para comunicar um incidente, a organização precisa antes ser capaz de detectá-lo, de dimensionar quais dados e quais titulares foram atingidos, e de descrever quais controles estavam em vigor. Nada disso é possível sem monitoramento e sem trilha de auditoria.
Na prática, muitas empresas descobrem um vazamento por notificação de terceiros, às vezes semanas depois do ocorrido, e sem conseguir determinar o alcance. Essa combinação, além de agravar o dano, enfraquece a posição da organização diante da autoridade, porque demonstra ausência dos controles que o artigo 46 exige.
Ter capacidade de detecção e resposta é, portanto, um requisito indireto mas concreto da lei. É o que permite cumprir o artigo 48 dentro de prazo razoável e com informação precisa.
Por onde começar a adequação
Um programa de conformidade se constrói por etapas. A sequência abaixo é a que costuma funcionar:
- Mapear os dados. Descobrir quais dados pessoais a organização trata, onde estão armazenados, quem tem acesso e com quem são compartilhados. Sem esse inventário, nenhuma outra etapa é possível.
- Definir a base legal de cada tratamento. Para cada finalidade identificada, determinar qual base legal a sustenta. Aqui se corrigem os casos em que se pede consentimento desnecessário ou se trata dado sem fundamento.
- Avaliar as medidas de segurança atuais. Confrontar os controles existentes com o que o artigo 46 demanda, considerando o risco do tratamento. É onde a auditoria técnica entra.
- Priorizar e corrigir as lacunas. Nem tudo pode ser resolvido ao mesmo tempo. Priorizar pelos tratamentos de maior risco, considerando volume de titulares, sensibilidade dos dados e exposição.
- Estabelecer processo contínuo. Nomear encarregado, definir fluxo de atendimento aos titulares, criar procedimento de resposta a incidentes e revisar periodicamente. Conformidade não é projeto com data de término.
Uma observação sobre a ordem: é comum começar pelo passo 5, redigindo políticas antes de saber quais dados a empresa realmente trata. O resultado costuma ser documentação que não corresponde à operação real, o que em uma fiscalização é pior que não ter documento nenhum.
Sua empresa tem a documentação da LGPD em ordem, mas e a segurança técnica que o artigo 46 exige?
A Viwsec faz auditoria de conformidade e implementa as medidas técnicas de proteção de dados, unindo adequação e cibersegurança na mesma operação.
Solicitar diagnóstico de conformidade
Em resumo
A LGPD regula o tratamento de dados pessoais no Brasil e se aplica a praticamente toda organização, independentemente de porte. Ela exige base legal para cada tratamento, assegura direitos aos titulares e, no artigo 46, determina a adoção de medidas técnicas e administrativas de segurança adequadas ao risco.
Com a transformação da ANPD em agência reguladora autônoma em 2026, a capacidade de fiscalização aumentou, e a fase predominantemente educativa ficou para trás. A adequação deixou de ser exercício documental e passou a exigir controles que funcionem: acesso restrito, criptografia, monitoramento, gestão de vulnerabilidades e capacidade de resposta a incidentes.
Política de privacidade não impede vazamento. Controle técnico impede. A lei pede os dois.
Perguntas frequentes
O que é a LGPD em poucas palavras?
A LGPD é a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), que regula como organizações coletam, tratam, armazenam e compartilham dados pessoais no Brasil, garantindo direitos às pessoas sobre suas próprias informações.
Minha empresa é pequena, a LGPD se aplica?
Sim. A LGPD se aplica a qualquer organização que trate dados pessoais no Brasil, independentemente do porte. Há previsão de tratamento simplificado para agentes de pequeno porte em alguns aspectos operacionais, mas ninguém está dispensado de proteger os dados que trata.
O que o artigo 46 da LGPD exige?
O artigo 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. A lei não lista as medidas, cabendo à organização demonstrar que adotou controles adequados ao risco.
Quais são as sanções da LGPD?
O artigo 52 prevê advertência, multa simples de até 2% do faturamento da empresa no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos e, em casos extremos, suspensão parcial ou total das atividades de tratamento.
Adequação à LGPD é só documentação?
Não. Políticas, contratos e avisos são parte da conformidade, mas o artigo 46 exige medidas técnicas de segurança. Uma organização com toda a documentação em ordem, mas sem controle de acesso, criptografia e monitoramento, continua exposta a incidentes e a responsabilização.
Consentimento é sempre necessário para tratar dados?
Não. O consentimento é apenas uma das bases legais previstas na lei, e muitas vezes não é a mais adequada. Cumprimento de obrigação legal, execução de contrato e legítimo interesse são outras bases frequentes no contexto empresarial.
O que mudou na fiscalização da LGPD em 2026?
A Lei nº 15.352, de fevereiro de 2026, transformou a ANPD em agência reguladora autônoma, com autonomia administrativa e financeira e ampliação de quadro, o que aumentou sua capacidade de fiscalização em relação aos anos anteriores.
Fontes
BRASIL. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, com destaque para os artigos 5º, 7º, 18, 46, 50 e 52.
BRASIL. Lei nº 15.352, de fevereiro de 2026: transformação da ANPD em agência reguladora autônoma.
ANPD. Resolução CD/ANPD nº 4/2023, Regulamento de Dosimetria e Aplicação de Sanções Administrativas.
ANPD. Autoridade Nacional de Proteção de Dados, portal oficial: orientações e decisões públicas sobre fiscalização.
