A LGPD para empresas deixou de ser um assunto restrito aos departamentos jurídicos e de tecnologia. Qualquer organização que coleta, utiliza, armazena ou compartilha dados pessoais precisa compreender como a Lei Geral de Proteção de Dados afeta suas operações.

Cadastro de clientes, informações de colaboradores, currículos, contatos comerciais, documentos de fornecedores, cookies, sistemas de CRM e até planilhas podem envolver tratamento de dados pessoais.

Isso significa que praticamente todas as áreas de uma organização podem participar de algum processo de tratamento de dados.

Mas o que exatamente a LGPD exige? Toda empresa precisa de consentimento? É obrigatório ter um encarregado? O que acontece se ocorrer um vazamento? Quais são as multas? E, principalmente, como começar a adequação?

Neste guia, vamos responder essas e outras questões e apresentar um caminho prático para transformar a LGPD de uma obrigação regulatória em parte da estratégia de governança, segurança e confiança da empresa.

O que é LGPD e por que ela é importante para empresas?

LGPD é a sigla para Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018.

A lei estabelece regras para o tratamento de dados pessoais, inclusive em meios digitais, por pessoas naturais e por pessoas jurídicas de direito público ou privado.

O texto oficial da LGPD determina que seu objetivo é proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural.

A legislação brasileira foi publicada em 2018 e suas principais disposições entraram em vigor posteriormente. As sanções administrativas previstas nos artigos 52, 53 e 54 passaram a vigorar em 1º de agosto de 2021, conforme esclarecimento da Autoridade Nacional de Proteção de Dados.

A LGPD não trata apenas de vazamentos.

Ela estabelece regras para todo o ciclo de utilização dos dados pessoais — da coleta à eliminação.

O que é considerado dado pessoal pela LGPD?

A primeira dúvida importante é entender o que a lei protege.

Segundo o artigo 5º da LGPD, dado pessoal é uma informação relacionada a uma pessoa natural identificada ou identificável.

Isso pode incluir, dependendo do contexto:

• nome;
• CPF;
• endereço;
• telefone;
• e-mail;
• data de nascimento;
• dados de localização;
• informações profissionais;
• identificadores digitais;
• informações financeiras;
• entre outros dados capazes de identificar ou tornar identificável uma pessoa.

Um ponto importante é que a LGPD protege dados de pessoas naturais.

Portanto, informações exclusivamente relacionadas a uma pessoa jurídica, como o CNPJ isoladamente considerado, não são dados pessoais. Porém, bases empresariais frequentemente contêm informações sobre sócios, representantes, funcionários ou contatos, que podem estar protegidas pela legislação.

O que são dados pessoais sensíveis?

A LGPD estabelece proteção específica para os chamados dados pessoais sensíveis.

De acordo com o artigo 5º, II, incluem-se nessa categoria dados sobre:

• origem racial ou étnica;
• convicção religiosa;
• opinião política;
• filiação a sindicato;
• filiação a organização religiosa, filosófica ou política;
• saúde;
• vida sexual;
• dados genéticos;
• dados biométricos vinculados a uma pessoa natural.

Essa diferenciação é importante porque as hipóteses legais para tratamento de dados sensíveis são específicas, previstas no artigo 11 da LGPD.

Uma empresa que utiliza biometria para controle de acesso, por exemplo, precisa avaliar cuidadosamente a finalidade, necessidade, hipótese legal e medidas de segurança aplicáveis.

O que significa “tratamento de dados pessoais”?

Tratamento não significa apenas armazenar informações.

O conceito é muito mais amplo.

A LGPD considera tratamento toda operação realizada com dados pessoais, incluindo atividades como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, armazenamento, eliminação, avaliação e transferência.

Portanto:

coletar é tratamento; armazenar é tratamento; consultar é tratamento; compartilhar é tratamento; eliminar também é tratamento.

Essa amplitude explica por que a LGPD alcança tantas áreas da organização.

A LGPD se aplica a quais empresas?

Um erro comum é imaginar que a LGPD se aplica apenas a grandes organizações ou empresas de tecnologia.

Não é assim.

A aplicação da lei depende das circunstâncias previstas na própria LGPD, não simplesmente do tamanho ou segmento da empresa.

Pequenos negócios também podem estar sujeitos à legislação.

Existem, entretanto, regras específicas para determinados agentes de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 estabelece tratamento jurídico diferenciado para agentes que atendam aos requisitos do regulamento.

Ser uma pequena empresa não significa estar automaticamente dispensada da LGPD.

Quais são os princípios da LGPD?

Antes mesmo de discutir consentimento ou bases legais, empresas precisam compreender os princípios da legislação.

O artigo 6º estabelece princípios que devem orientar as atividades de tratamento, incluindo:

• finalidade;
• adequação;
• necessidade;
• livre acesso;
• qualidade dos dados;
• transparência;
• segurança;
• prevenção;
• não discriminação;
• responsabilização e prestação de contas.

Esses princípios funcionam como uma espécie de bússola para a utilização responsável dos dados.

O princípio da necessidade é especialmente importante

Uma pergunta simples pode evitar muitos problemas:

“Precisamos realmente coletar este dado?”

Se determinada informação não é necessária para a finalidade do processo, sua coleta merece ser questionada.

Quanto mais dados uma organização acumula sem necessidade, maior pode se tornar sua superfície de risco.

LGPD exige consentimento para utilizar dados pessoais?

Não.

Este é um dos maiores mitos sobre a LGPD.

Consentimento é apenas uma das hipóteses legais que podem autorizar o tratamento de dados pessoais.

O artigo 7º prevê diferentes bases legais, entre elas, conforme aplicáveis ao caso:

• consentimento;
• cumprimento de obrigação legal ou regulatória;
• execução de políticas públicas, nas hipóteses legais;
• realização de estudos por órgão de pesquisa;
• execução de contrato ou procedimentos preliminares relacionados a contrato;
• exercício regular de direitos;
• proteção da vida;
• tutela da saúde;
• legítimo interesse;
• proteção do crédito.

A base correta depende da finalidade, do contexto e das características do tratamento.

Portanto, pedir consentimento para tudo não é uma estratégia adequada de conformidade.

O que é legítimo interesse?

O legítimo interesse é uma das bases legais que mais gera dúvidas.

Ele não significa que uma empresa pode tratar qualquer informação simplesmente porque considera o tratamento conveniente.

A ANPD publicou um Guia Orientativo sobre Legítimo Interesse, no qual apresenta parâmetros para sua aplicação.

Segundo a orientação, a análise pode envolver etapas relacionadas a finalidade, necessidade e balanceamento com salvaguardas.

Além disso, o legítimo interesse previsto no artigo 7º, IX, refere-se a dados pessoais não sensíveis e sua aplicação exige análise do caso concreto.

Legítimo interesse não deve ser tratado como uma autorização genérica para utilização de dados.

Quem são controlador, operador e encarregado na LGPD?

Compreender esses papéis é fundamental.

Controlador

É quem toma as decisões referentes ao tratamento dos dados pessoais.

Em termos práticos, é quem determina aspectos como por que e para que determinados dados serão utilizados.

Operador

É quem realiza o tratamento de dados pessoais em nome do controlador.

Um fornecedor de tecnologia, por exemplo, pode atuar como operador em determinado contexto — mas a classificação sempre depende da operação concreta.

A própria ANPD ressalta que a posição deve ser avaliada em relação a cada atividade de tratamento, e uma organização pode assumir papéis diferentes em operações distintas. Consulte o Guia Orientativo da ANPD sobre agentes de tratamento.

Encarregado pelo tratamento de dados

O encarregado atua como canal de comunicação entre o controlador, os titulares e a ANPD.

A atuação dessa figura foi regulamentada pela Resolução CD/ANPD nº 18/2024. A ANPD também publicou um guia específico sobre o tema.

Toda empresa precisa ter um DPO ou encarregado?

Não necessariamente.

Como regra, o controlador deve indicar encarregado, conforme o artigo 41 da LGPD e a regulamentação aplicável.

Entretanto, a Resolução CD/ANPD nº 2/2022 dispensa determinados agentes de tratamento de pequeno porte da obrigatoriedade de indicação. Quando utilizam essa dispensa, precisam disponibilizar um canal de comunicação com o titular.

A ANPD também esclarece que não exige certificação ou registro profissional perante a Autoridade para o exercício da função de encarregado.

Portanto, antes de concluir se sua empresa precisa ou não indicar um encarregado, é necessário avaliar sua situação específica.

Quais são os direitos dos titulares de dados?

A LGPD colocou o titular no centro da proteção.

Entre os direitos previstos estão, conforme as condições legais aplicáveis:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação em determinadas situações;
• portabilidade;
• informação sobre compartilhamento;
• eliminação de dados tratados com consentimento, ressalvadas as exceções legais;
• revogação do consentimento.

A ANPD mantém uma página específica sobre os direitos dos titulares, incluindo orientações sobre confirmação, acesso, correção, eliminação e outros direitos.

Para as empresas, isso significa que não basta publicar uma política de privacidade.

É necessário possuir processos capazes de receber, analisar e responder adequadamente às solicitações.

Como adequar uma empresa à LGPD?

Adequação não deveria começar pela simples compra de um software ou pela cópia de uma política de privacidade encontrada na internet.

É necessário compreender como os dados circulam dentro da organização.

Um projeto consistente pode ser estruturado em diferentes etapas.

1. Faça um inventário dos dados pessoais

Descubra:

• quais dados são coletados;
• de quem são esses dados;
• onde são armazenados;
• para que são utilizados;
• quem possui acesso;
• com quem são compartilhados;
• quanto tempo são mantidos;
• como são eliminados.

Esse mapeamento cria uma visão do ciclo de vida dos dados.

2. Mapeie as operações de tratamento

Não analise apenas bancos de dados.

Analise processos.

Por exemplo:

Recrutamento: currículo → seleção → entrevista → contratação ou descarte.

Vendas: lead → CRM → negociação → contrato → relacionamento.

Fornecedor: cadastro → validação → contratação → pagamento → armazenamento documental.

Cada processo possui dados, finalidades e riscos diferentes.

3. Defina finalidade e hipótese legal

Para cada atividade, a organização precisa compreender por que utiliza os dados e qual hipótese legal sustenta o tratamento.

Base legal não deve ser escolhida de maneira genérica para toda a empresa.

Ela deve ser analisada conforme a operação e a finalidade.

4. Revise o princípio da necessidade

Pergunte quais dados são realmente necessários.

Informações coletadas “porque talvez sejam úteis algum dia” merecem revisão.

5. Revise contratos e fornecedores

Empresas compartilham dados com:

• sistemas SaaS;
• serviços de nuvem;
• escritórios contábeis;
• consultorias;
• plataformas de marketing;
• ferramentas de RH;
• prestadores de tecnologia.

É necessário compreender o papel de cada parte, responsabilidades, finalidades e requisitos de segurança.

6. Estabeleça processos para direitos dos titulares

Defina:

• canal de atendimento;
• responsáveis;
• validação da identidade;
• fluxo interno;
• critérios jurídicos;
• registros das solicitações;
• respostas.

7. Implemente políticas e governança

Privacidade precisa fazer parte da operação.

Políticas podem abordar retenção, descarte, controle de acesso, segurança, incidentes, uso de dispositivos, compartilhamento e outras questões.

LGPD e segurança da informação: qual é a relação?

LGPD e segurança da informação estão profundamente conectadas.

O artigo 46 determina que agentes de tratamento adotem medidas de segurança técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.

Entre medidas que podem fazer parte de uma estratégia, conforme o contexto e os riscos, estão:

• controle de acesso;
• autenticação;
• gestão de senhas;
• backups;
• criptografia;
• atualização de sistemas;
• gestão de vulnerabilidades;
• registros e monitoramento;
• treinamento de colaboradores;
• resposta a incidentes.

A ANPD disponibiliza um Guia Orientativo sobre Segurança da Informação, além de checklist e modelo simplificado de registro de operações para agentes de pequeno porte.

Compliance sem segurança deixa uma lacuna importante na proteção dos dados.

O que fazer quando ocorre um incidente com dados pessoais?

Uma empresa precisa se preparar antes que o incidente aconteça.

Em 2024, a ANPD publicou a Resolução CD/ANPD nº 15, aprovando o Regulamento de Comunicação de Incidente de Segurança.

Quando um incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve observar as obrigações de comunicação à ANPD e aos titulares previstas na LGPD e no regulamento.

O regulamento também estabelece a manutenção de registros de incidentes de segurança envolvendo dados pessoais por pelo menos cinco anos.

A ANPD mantém uma página atualizada com o procedimento de comunicação de incidentes.

Ter um plano de resposta antes do incidente reduz improvisação justamente quando a empresa mais precisa agir com rapidez.

O que é RIPD e quando a empresa deve elaborá-lo?

RIPD significa Relatório de Impacto à Proteção de Dados Pessoais.

Segundo a ANPD, trata-se da documentação que descreve processos de tratamento que podem gerar alto risco aos princípios de proteção, às liberdades civis e aos direitos fundamentais dos titulares, incluindo medidas e mecanismos de mitigação.

A Autoridade recomenda, como regra geral, sua elaboração quando operações possam gerar alto risco e orienta que, preferencialmente, seja produzido antes do início do tratamento.

O relatório pode incluir:

• dados tratados;
• finalidades;
• operações realizadas;
• categorias de titulares;
• hipótese legal;
• compartilhamentos;
• período de retenção;
• riscos identificados;
• medidas de mitigação.

A ANPD também pode exigir sua elaboração nas situações previstas na legislação.

LGPD e transferência internacional de dados

Empresas que utilizam serviços em nuvem ou fornecedores internacionais também precisam prestar atenção ao local e às condições em que os dados são tratados.

A transferência internacional foi regulamentada pela Resolução CD/ANPD nº 19/2024, que aprovou o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais.

Isso torna relevante mapear fornecedores e entender se dados pessoais são enviados, acessados ou armazenados fora do Brasil, bem como qual mecanismo jurídico é aplicável.

Para empresas que utilizam infraestrutura tecnológica global, esse ponto merece atenção especial.

Quais são as multas e penalidades da LGPD?

A LGPD prevê diferentes sanções administrativas.

Não existe apenas multa.

Conforme a ANPD, as sanções podem incluir:

• advertência;
• multa simples;
• multa diária;
• publicização da infração;
• bloqueio de dados pessoais;
• eliminação dos dados;
• suspensão parcial do banco de dados;
• suspensão de atividades de tratamento;
• proibição parcial ou total de atividades relacionadas ao tratamento.

A multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.

A aplicação de sanções administrativas segue critérios legais e regulamentares e não significa que toda irregularidade gere automaticamente a penalidade máxima.

O regulamento de dosimetria e aplicação das sanções foi aprovado pela Resolução CD/ANPD nº 4/2023.

Os maiores erros das empresas na adequação à LGPD

Alguns erros podem comprometer todo o projeto.

Achar que LGPD é apenas consentimento.
Existem diferentes hipóteses legais e cada operação precisa ser analisada.

Tratar adequação como projeto exclusivamente jurídico.
Privacidade envolve Jurídico, TI, Segurança, RH, Marketing, Comercial, Operações e fornecedores.

Copiar políticas de outras empresas.
A documentação precisa refletir os processos reais da organização.

Coletar dados em excesso.
O princípio da necessidade exige reflexão sobre aquilo que realmente precisa ser tratado.

Ignorar fornecedores.
Dados frequentemente saem do ambiente direto da empresa e são tratados por terceiros.

Não preparar resposta a incidentes.
Descobrir o procedimento somente depois de um vazamento aumenta a dificuldade da resposta.

Considerar adequação um projeto com data para terminar.
Novos sistemas, fornecedores, produtos e processos criam continuamente novas operações de tratamento.

LGPD também pode fortalecer a confiança no negócio

Adequação à LGPD costuma ser vista apenas pela perspectiva do risco.

Existe outra dimensão.

Empresas lidam diariamente com uma pergunta silenciosa feita por clientes, colaboradores e parceiros:

“Posso confiar meus dados a esta organização?”

Uma empresa que conhece os dados que possui, estabelece controles de acesso, seleciona fornecedores criteriosamente, cria processos de segurança e utiliza informações de maneira transparente demonstra maior maturidade de governança.

Isso pode ser especialmente relevante em relações B2B, nas quais clientes corporativos podem realizar avaliações de segurança e privacidade antes da contratação de fornecedores.

Proteção de dados pode deixar de ser apenas obrigação para se tornar um componente da confiança empresarial.

Tecnologia e inteligência de dados dentro de uma estratégia de conformidade

A LGPD não impede empresas de utilizar dados.

Ela estabelece condições para que o tratamento seja realizado de maneira compatível com a legislação.

Soluções de inteligência de dados podem continuar fazendo parte de processos corporativos de validação, análise e tomada de decisão, desde que exista uma avaliação adequada sobre aspectos como:

• finalidade;
• hipótese legal;
• necessidade;
• qualidade dos dados;
• transparência;
• segurança;
• direitos dos titulares;
• responsabilidades dos agentes.

Esse cuidado é particularmente importante quando diferentes fontes de informação são integradas.

Cortex Verify: inteligência de dados com processos estruturados

O Cortex Verify, da Cortex Soluções Corporativas Inteligentes, apoia empresas em processos de consulta e validação de informações de pessoas e organizações.

A solução pode ser utilizada em diferentes fluxos corporativos e também integrada aos sistemas dos clientes por meio de API, permitindo incorporar consultas e validações diretamente aos processos existentes.

Quando houver tratamento de dados pessoais, a utilização da solução deve fazer parte da estratégia de governança do cliente, com definição de finalidade, hipótese legal, controles e demais requisitos aplicáveis.

Isso representa um princípio importante para a Cortex:

tecnologia, inteligência de dados e responsabilidade precisam caminhar juntas.

A capacidade de obter informações rapidamente gera valor quando essas informações são utilizadas dentro de processos bem definidos e com critérios adequados de segurança e governança.

Checklist: sua empresa está preparada para a LGPD?

Use estas perguntas como diagnóstico inicial:

• Sua empresa sabe quais dados pessoais possui?
• Sabe onde esses dados estão armazenados?
• Conhece a finalidade de cada tratamento?
• Identificou as hipóteses legais aplicáveis?
• Sabe quais fornecedores recebem dados?
• Possui contratos adequados às responsabilidades envolvidas?
• Possui política de privacidade coerente com a operação real?
• Implementou controles de acesso?
• Possui procedimentos para atender titulares?
• Avaliou a necessidade de indicar encarregado?
• Possui plano de resposta a incidentes?
• Sabe como comunicar um incidente quando necessário?
• Avalia riscos antes de iniciar novos tratamentos?
• Analisa transferências internacionais?
• Treina colaboradores sobre privacidade e segurança?
• Revisa periodicamente seus processos?

Se muitas respostas forem “não” ou “não sabemos”, existe uma oportunidade clara para melhorar a maturidade de proteção de dados da organização.

Conclusão: adequação à LGPD é um processo contínuo

A LGPD mudou a maneira como empresas precisam enxergar informações pessoais.

Não basta possuir uma política de privacidade no site.

Uma estratégia consistente envolve mapear dados, identificar finalidades e hipóteses legais, controlar acessos, gerenciar fornecedores, atender titulares, proteger informações e criar mecanismos de resposta a incidentes.

Mais do que perguntar:

“Estamos adequados à LGPD?”

talvez a organização deva perguntar continuamente:

“Estamos utilizando e protegendo dados pessoais de maneira responsável, segura e compatível com as regras aplicáveis?”

A diferença é importante porque processos, tecnologias e riscos mudam constantemente.

Dados confiáveis, decisões seguras e responsabilidade

A Cortex acredita que dados podem tornar decisões empresariais mais inteligentes — desde que tecnologia e governança caminhem juntas.

Conheça o Cortex Verify e descubra como nossa tecnologia pode apoiar processos de consulta, validação e inteligência de dados, inclusive por integração via API com os sistemas da sua empresa.

Compartilhe este guia com profissionais de tecnologia, compliance, jurídico, RH e gestão. E conte nos comentários: qual é hoje o maior desafio da sua empresa em relação à LGPD?

Nota: Este conteúdo possui caráter informativo e não substitui análise jurídica específica. A aplicação da LGPD depende das características de cada operação de tratamento.

Fontes e referências

• Presidência da República — Lei nº 13.709/2018: texto oficial da Lei Geral de Proteção de Dados Pessoais.
• ANPD: Materiais educativos e publicações sobre proteção de dados.
• ANPD: Regulamentações da Autoridade Nacional de Proteção de Dados, incluindo normas sobre incidentes, encarregado e transferências internacionais.
• ANPD: Direitos dos titulares de dados pessoais.
• ANPD: Guia Orientativo sobre Legítimo Interesse.
• ANPD: Relatório de Impacto à Proteção de Dados Pessoais — RIPD.
• ANPD: Guia Orientativo sobre Segurança da Informação.
• ANPD: Comunicação de Incidente de Segurança.