LGPD para empresas: guia prático do que fazer para se adequar

LGPD para empresas, na prática, significa saber quais dados pessoais você trata, ter uma justificativa legal para cada uso, proteger esses dados, atender os pedidos dos titulares e reagir rápido a incidentes. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para negócios de qualquer porte, e as sanções, que incluem multa de até 2% do faturamento limitada a R$ 50 milhões por infração, podem ser aplicadas desde 1º de agosto de 2021. Este guia mostra o que a lei exige, como a ANPD tem fiscalizado e um checklist para começar a adequação.

O que é a LGPD e a quem ela se aplica

A LGPD regula o tratamento de dados pessoais, qualquer informação que identifique ou possa identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, foto, histórico de compras, localização. Tratamento é praticamente tudo o que se faz com esses dados, de coletar e guardar a compartilhar e apagar.

A lei se aplica a empresas e órgãos públicos de qualquer tamanho, online ou não. As exceções do art. 4º são estreitas: uso pessoal sem fim econômico, fins jornalísticos, artísticos ou acadêmicos, e segurança pública e defesa, entre outras. Uma padaria com programa de fidelidade, uma clínica e uma fintech estão todas dentro.

Quem fiscaliza é a ANPD. Com a Lei nº 15.352, de 25 de fevereiro de 2026, ela passou a ser uma autarquia de natureza especial, a Agência Nacional de Proteção de Dados, com autonomia funcional, técnica, decisória, administrativa e financeira. Na prática, uma reguladora com mais estrutura para fiscalizar.

Para entender as obrigações, é preciso saber quem é quem. A lei define quatro papéis:

Uma loja virtual é controladora dos dados dos clientes. A empresa de e-mail marketing que ela contrata é operadora. Se a operadora vaza a base, a loja continua respondendo perante os clientes e a ANPD, e as duas podem ter de reparar danos, como prevê o art. 42. Por isso os contratos com fornecedores fazem parte da adequação.

As bases legais: com que justificativa você trata cada dado

Nenhum dado pessoal pode ser tratado sem uma das hipóteses do art. 7º, as chamadas bases legais. O erro mais comum é achar que tudo depende de consentimento. Na maior parte das operações de uma empresa, outra base se encaixa melhor.

O legítimo interesse é a base mais flexível e, por isso, a mais cobrada. O art. 10 exige finalidade legítima, uso só dos dados estritamente necessários e transparência, e ele nunca vale para dados sensíveis. Em 2 de julho de 2024, a ANPD suspendeu de forma cautelar o uso de dados de usuários do Facebook e do Instagram para treinar a IA da Meta, com multa diária de R$ 50 mil em caso de descumprimento. Entre os motivos, a autoridade apontou que o legítimo interesse era uma base inadequada para aquele uso e que faltava transparência. A empresa depois apresentou um plano de conformidade e pôde retomar o tratamento com restrições.

Para o consentimento valer, ele precisa ser livre, informado e para finalidades determinadas, e o titular pode revogá-lo a qualquer momento. Caixa de seleção já marcada e autorização genérica escondida nos termos de uso não servem.

Dados sensíveis e dados de crianças

O art. 5º chama de dados sensíveis as informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, saúde, vida sexual, e dados genéticos ou biométricos, quando ligados a uma pessoa. O vazamento desses dados causa danos mais graves, e a lei restringe as bases legais possíveis no art. 11: consentimento específico e destacado, ou hipóteses como obrigação legal, tutela da saúde e prevenção à fraude.

Essa última é importante para quem faz cadastro online. O art. 11 permite tratar dado sensível sem consentimento para garantir a prevenção à fraude e a segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. É a base que sustenta, por exemplo, a biometria facial na abertura de contas, tema do artigo sobre KYC e verificação de identidade. Mesmo assim, vale o princípio da necessidade: coletar só o que a finalidade exige.

Dados de crianças e adolescentes devem ser tratados sempre no seu melhor interesse. Para crianças, o consentimento precisa ser dado por pelo menos um dos pais ou pelo responsável legal, de forma específica e em destaque (art. 14).

Encarregado (DPO): quem precisa e o que faz

O encarregado, também chamado de DPO (data protection officer), é a pessoa indicada pelo controlador para ser o canal de comunicação com os titulares e com a ANPD. Pelo art. 41, ele recebe reclamações e pedidos, responde à autoridade e orienta funcionários e fornecedores sobre boas práticas.

A Resolução CD/ANPD nº 18, de 16 de julho de 2024, detalhou a função:

• A indicação é feita por ato formal, escrito, datado e assinado.
• Pode ser uma pessoa da empresa ou de fora, ou mesmo uma pessoa jurídica, como um escritório especializado.
• Nome e contato devem ficar em local de destaque e fácil acesso no site.
• Deve haver um substituto formal para ausências.
• O encarregado atua com autonomia técnica e sem conflito de interesses, e a responsabilidade pela conformidade continua sendo do controlador, não dele.

Microempresas, empresas de pequeno porte e startups, os agentes de pequeno porte da Resolução CD/ANPD nº 2/2022, não são obrigadas a indicar encarregado, mas precisam oferecer um canal de comunicação com os titulares. A dispensa não vale para quem faz tratamento de alto risco, como uso de dados sensíveis em larga escala, nem para quem ultrapassa os limites de receita ou pertence a grupo econômico que os ultrapasse. Indicar um encarregado mesmo sem obrigação conta a favor como boa prática de governança.

Direitos do titular e prazos de resposta

O art. 18 garante ao titular uma série de direitos, que a empresa precisa conseguir atender pelo canal divulgado:

• confirmar se a empresa trata seus dados e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade para outro fornecedor;
• eliminação dos dados tratados com base em consentimento;
• saber com quem os dados foram compartilhados;
• ser informado sobre a possibilidade de não consentir e as consequências da recusa;
• revogar o consentimento.

Para confirmação e acesso, o art. 19 dá duas opções: resposta imediata em formato simplificado ou declaração clara e completa em até 15 dias, contados do pedido, com origem dos dados, critérios usados e finalidade. Agentes de pequeno porte têm prazos em dobro para parte dessas respostas. Montar um fluxo interno, com quem recebe, quem busca os dados nos sistemas e quem responde, evita perder prazo.

Segurança e incidentes

O art. 46 obriga os agentes de tratamento a adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, perda e destruição. A lei não lista ferramentas, mas a ANPD avalia se as medidas eram adequadas ao risco: controle de acesso, autenticação forte, criptografia de dados, registro de acessos e backup. Agentes de pequeno porte podem adotar uma política de segurança simplificada.

Quando um incidente pode causar risco ou dano relevante aos titulares, a empresa tem três dias úteis para comunicar a ANPD e os titulares, pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024). O passo a passo da comunicação, os critérios de risco e o que fazer do lado de quem teve os dados expostos estão no guia sobre vazamento de dados. Como ataques de ransomware hoje quase sempre envolvem roubo de dados, o plano de resposta técnico e o jurídico precisam andar juntos.

Sanções, multas e como a ANPD tem fiscalizado

O art. 52 lista as sanções administrativas, aplicáveis desde 1º de agosto de 2021:

• advertência, com prazo para medidas corretivas;
• multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração;
• multa diária, com o mesmo limite total;
• publicização da infração depois de confirmada;
• bloqueio ou eliminação dos dados pessoais envolvidos;
• suspensão parcial do funcionamento do banco de dados ou do exercício da atividade de tratamento, por até seis meses prorrogáveis, e, nos casos mais graves, proibição parcial ou total de atividades de tratamento.

Órgãos públicos estão sujeitos à maior parte dessas sanções, mas não às multas. A dosimetria, ou seja, como a ANPD escolhe e calcula a pena, segue o regulamento aprovado pela Resolução CD/ANPD nº 4/2023 e os critérios do próprio art. 52, como gravidade, boa-fé, reincidência, cooperação e adoção de boas práticas.

Três casos ajudam a entender o que a autoridade observa:

• Primeira multa (julho de 2023). Uma microempresa de telecomunicações que oferecia listas de contatos de WhatsApp de eleitores foi multada por tratar dados sem base legal e por descumprir o regulamento de fiscalização, e advertida por não ter encarregado. As multas somaram R$ 14.400, porque, por ser microempresa, cada uma ficou limitada a 2% do faturamento bruto.
• Medida preventiva (julho de 2024). O caso da Meta mostrou que a ANPD pode agir antes de concluir um processo, suspendendo um tratamento com multa diária quando vê risco aos titulares.
• Incidente com dados de saúde (julho de 2026). A ANPD abriu processo sancionador contra uma organização social de saúde depois de um ataque de ransomware que atingiu cerca de 500 mil registros. Estão em análise as medidas de segurança, a comunicação aos pacientes, feita só por aviso no site, e a falta de informações sobre o encarregado.

Checklist de adequação à LGPD

Adequação não é um projeto com data para acabar, mas dá para começar com um roteiro objetivo:

1. Mapeie os dados. Liste que dados pessoais a empresa coleta, de quem, por qual canal, onde ficam, quem acessa e com quem são compartilhados. Esse inventário vira o registro das operações de tratamento exigido pelo art. 37, que pequenas empresas podem manter de forma simplificada.
2. Defina a base legal de cada finalidade. Use a tabela acima e documente a escolha, com teste de balanceamento quando for legítimo interesse.
3. Elimine o que não precisa. Dado que não tem finalidade é só risco. Defina prazos de guarda e apague o excedente.
4. Atualize o aviso de privacidade. Linguagem simples, dizendo que dados coleta, para quê, com quem compartilha e como o titular exerce seus direitos.
5. Indique o encarregado ou o canal. Publique nome e contato no site e crie o fluxo interno de resposta aos titulares.
6. Revise contratos com fornecedores. Operadores devem seguir suas instruções, proteger os dados e avisar incidentes rapidamente.
7. Reforce a segurança. Controle de acesso, autenticação forte, criptografia, backup e logs, como detalha o guia de segurança cibernética para empresas.
8. Prepare a resposta a incidentes. Plano escrito, responsáveis definidos, modelo de comunicação e registro de todos os incidentes por pelo menos cinco anos.
9. Avalie o impacto do que é arriscado. Para tratamentos de alto risco, como biometria ou decisões automatizadas, elabore o relatório de impacto à proteção de dados (art. 38).
10. Treine a equipe e revise todo ano. Sistemas, fornecedores e normas da ANPD mudam.

Este guia é informativo e não substitui a orientação de um advogado ou de um encarregado sobre a realidade da sua empresa.

Se o seu cadastro usa biometria para confirmar identidade, o fornecedor da verificação também entra nessa conta. O TKI Verify, da TKI, trata rosto e documentos como dados sensíveis: usa essas informações só para confirmar a identidade e prevenir fraude, exibe as mídias de forma protegida, limita o acesso por perfil e registra quem aprovou ou recusou cada caso e por quê, um histórico útil para a prestação de contas.

Perguntas frequentes

Toda empresa precisa seguir a LGPD?

Sim. A LGPD vale para qualquer pessoa ou empresa que trate dados pessoais no Brasil, de qualquer porte e setor. Microempresas, empresas de pequeno porte e startups têm um regime simplificado, com prazos em dobro e dispensa de encarregado, mas continuam obrigadas a cumprir a lei.

Qual é a multa da LGPD?

A multa simples vai até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê multa diária, advertência, publicização da infração, bloqueio e eliminação dos dados e suspensão das atividades de tratamento.

Preciso pedir consentimento para tratar qualquer dado?

Não. O consentimento é só uma das dez bases legais da LGPD. Executar um contrato, cumprir obrigação legal, proteger o crédito e o legítimo interesse também autorizam o tratamento, cada um com suas condições. O importante é escolher e documentar a base certa para cada finalidade.

Pequena empresa precisa de encarregado (DPO)?

Pela Resolução CD/ANPD nº 2/2022, agentes de pequeno porte não são obrigados a indicar encarregado, mas precisam manter um canal de comunicação com os titulares. A dispensa não vale para quem faz tratamento de alto risco ou ultrapassa os limites de receita.

Em quanto tempo devo responder a um pedido do titular?

A confirmação e o acesso aos dados podem ser dados na hora, em formato simplificado, ou por declaração completa em até 15 dias contados do pedido, conforme o art. 19 da LGPD. Agentes de pequeno porte têm prazos em dobro para parte dessas respostas.

A ANPD já aplicou multas?

Sim. A primeira foi publicada em julho de 2023, contra uma microempresa, no total de R$ 14.400, limitada a 2% do faturamento. A autoridade também já usou medida preventiva com multa diária, como no caso do uso de dados para treinar IA da Meta em 2024.