O que mudou, o que é obrigatório e por que a não conformidade tornou-se um risco financeiro e operacional que nenhuma empresa pode continuar adiando.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) completou sete anos de vigência e o Brasil atravessa um novo momento regulatório. A atuação da Autoridade Nacional de Proteção de Dados (ANPD) evoluiu, deixando a fase predominantemente pedagógica para trás e avançando para um cenário de fiscalização mais ativa.

Esse movimento ganhou força com a Resolução CD/ANPD nº 15, em vigor desde abril de 2024, que estabeleceu critérios objetivos e prazos para a comunicação obrigatória de incidentes de segurança envolvendo dados pessoais. Em complemento, a Deliberação CD-10/2025 introduziu multas diárias para casos de descumprimento de medidas cautelares determinadas pela autoridade.

Na prática, empresas de setores como tecnologia, saúde, varejo e educação já estão sob fiscalização ativa, sinalizando uma nova fase na aplicação da LGPD no país.

---

Mas afinal, o que é a LGPD e por que sua empresa está sujeita a ela

A Lei Geral de Proteção de Dados (LGPD) é a legislação brasileira que define como organizações públicas e privadas devem coletar, tratar, armazenar e compartilhar dados pessoais de pessoas naturais. Inspirada no Regulamento Geral de Proteção de Dados da União Europeia (GDPR), a lei aplica vários princípios e um dos principais é o da responsabilização: não basta proteger os dados, é preciso demonstrar que os protege.

O critério de aplicação não é o porte da empresa, mas a atividade que ela realiza. Logo, se a organização coleta, armazena, processa ou compartilha qualquer dado que identifique uma pessoa, a LGPD se aplica.

Quem está sujeito à LGPD

• Empresas privadas de qualquer porte: do e-commerce ao hospital, da fintech à clínica médica com cinco colaboradores;
• Entidades públicas que gerenciam dados de cidadãos;
• Startups desde o primeiro dia de operação;
• Empresas estrangeiras que ofereçam produtos ou serviços ao público brasileiro, ou que processem dados de pessoas localizadas no Brasil;
• Qualquer empresa com funcionários CLT: a coleta de dados de saúde para medicina ocupacional já configura tratamento de dados sensíveis.

Os 10 princípios que fundamentam toda decisão de tratamento de dados

Os princípios da Lei Geral de Proteção de Dados são a base para uma boa governança de dados. Eles não apenas orientam a forma como as empresas devem tratar os dados pessoais, mas também são os critérios utilizados pela Agência Nacional de Proteção de Dados para avaliar se  uma organização agiu corretamente ou com descuido diante de um acidente. 

Conhecer esses princípios não é apenas uma questão de conformidade, é sobre demonstrar compromisso genuíno com a proteção dos dados. Assim, pode ser a diferença entre mostrar a boa-fé regulatória ou ser penalizado por falhas que poderiam ter sido evitadas com uma estrutura sólida e bem implementada.

Dados pessoais, dados sensíveis e dados anonimizados: a distinção que define o risco

Na prática, o erro mais comum que vemos em empresas é tratar todos os dados como se fossem iguais, e isso é exatamente o que aumenta o risco jurídico sem que o time perceba. A LGPD distingue três categorias. Cada uma implica obrigações diferentes, bases legais específicas e níveis distintos de risco jurídico.

Dados sensíveis exigem uma base legal específica para seu tratamento e, quando expostos, geram risco elevado de dano moral presumido. O Superior Tribunal de Justiça (STJ), em 2023, firmou entendimento de que, em casos de vazamento de dados sensíveis, o dano moral dispensa  a comprovação  de prejuízo concreto. A simples exposição dos dados, por si só, já configura o dano, independentemente de danos materiais ou emocionais adicionais

Por outro lado, dados anonimizados, ficam fora do escopo da LGPD, desde que a anonimização seja tecnicamente irreversível. A pseudonimização, que preserva a possibilidade de reidentificação por terceiros com acesso à chave, ainda é tratada como dado pessoal.

Atenção para empresas com equipes contratadas pelo regime CLT

Qualquer empresa que contrata funcionários pelo regime CLT trata dados sensíveis de saúde como: atestados médicos, laudos de medicina ocupacional, dados de plano de saúde.

Portanto, isso a submete integralmente às regras para dados sensíveis, independentemente do setor de atuação.

Bases legais da LGPD

Existe um mito amplamente difundido de que a LGPD exige consentimento para qualquer tratamento de dados, isso não é verdade. A lei prevê dez bases legais distintas, o consentimento é apenas uma delas, e muitas vezes não é a mais adequada.

Esse equívoco leva empresas a dois extremos igualmente problemáticos: construir processos de consentimento desnecessariamente burocráticos para situações onde outra base legal seria mais robusta, ou imaginar que obter um clique de confirmação resolve qualquer questão de conformidade. Logo abaixo, você encontrará as bases legais da LGPD:

As 10 bases legais previstas na LGPD

1. Consentimento do titular
2. Cumprimento de obrigação legal ou regulatória pelo controlador
3. Execução de políticas públicas pela administração pública
4. Realização de estudos por órgão de pesquisa, com anonimização quando possível
5. Execução de contrato do qual o titular é parte, ou procedimentos preliminares a pedido do titular
6. Exercício regular de direitos em processo judicial, administrativo ou arbitral
7. Proteção da vida ou da incolumidade física do titular ou de terceiros
8. Tutela da saúde, exclusivamente em procedimento por profissional ou serviço de saúde
9. Atendimento aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular
10. Proteção do crédito

Para o tratamento de dados sensíveis, as hipóteses são ainda mais restritas. O consentimento, nesse caso, precisa ser explícito e específico. Mas há algumas exceções entre elas estão: o cumprimento de obrigação legal, execução de contrato de trabalho, tutela da saúde e exercício regular de direitos.

Explore o nosso guia completo e fácil de entender sobre como garantir a conformidade com a LGPD. 

Encarregado de Proteção de Dados –  DPO

DPO é a sigla para Data Protection Officer, que em português significa Encarregado de Dados. É um profissional (ou uma equipe) designado para garantir que uma empresa ou organização esteja em conformidade com as leis de proteção de dados, como a LGPD (Lei Geral de Proteção de Dados) no Brasil ou a GDPR (General Data Protection Regulation) na Europa.

Principais funções do DPO

• Orientar e conscientizar: Treinar os funcionários sobre a importância da proteção de dados e as boas práticas.
• Monitorar a conformidade: Verificar se a empresa está seguindo a lei, realiza auditorias e mantém registros das atividades de tratamento de dados.
• Ser o canal de comunicação: Atua como ponte entre a empresa, os titulares dos dados (clientes, funcionários) e a autoridade fiscalizadora (no Brasil, a ANPD).
• Avaliar riscos: Participa da elaboração de relatórios de impacto à proteção de dados e aconselha sobre medidas de segurança.
• Receber reclamações: Atende às solicitações dos cidadãos sobre seus dados (como acesso, correção ou exclusão).

O DPO é obrigatório?

No Brasil, a LGPD (Lei 13.709/2018) exige que o controlador de dados (quem decide o que fazer com os dados) designe um encarregado. No entanto, a lei não especifica se ele precisa ser interno ou externo, nem se deve ser um funcionário dedicado exclusivamente a isso.

Entender quando é obrigatório ter um DPO e quais empresas podem ser dispensadas é o primeiro passo para uma adequação eficiente à LGPD, evitando custos desnecessários e riscos de penalidades.

DPO interno ou DPO as a Service?

A decisão entre contratar um DPO interno (funcionário próprio) ou optar pelo DPO as a Service (terceirizado) depende do tamanho da sua empresa, orçamento, complexidade das operações e volume de dados tratados. 

Na prática, a LGPD não define  um modelo obrigatório. O essencial é que a função de encarregado seja exercida de forma efetiva, independentemente de ser interno ou terceirizado. Conheça as principais diferenças entre DPO e DPO as a Service.melhor as diferenças entre DPO e DPO as a Service.

Direitos dos titulares: o impacto operacional que as empresas subestimam

A LGPD criou um conjunto de direitos que os titulares de dados podem exercer a qualquer momento. Para as empresas, isso significa estruturar processos internos capazes de responder a essas solicitações dentro de prazos razoáveis.

A ausência desses processos é uma das falhas mais frequentes em diagnósticos de conformidade.

Responsabilidade na cadeia de fornecedores: o risco que vem de fora

Um risco sistematicamente subestimado é a responsabilidade compartilhada com parceiros e fornecedores. Assim, a LGPD prevê que o controlador de dados pode ser responsabilizado por falhas cometidas por operadores terceirizados.

Portanto, se um fornecedor de software de gestão sofre um vazamento que expõe dados dos clientes da sua empresa, sua organização pode ser processada pelos titulares afetados, mesmo que a falha técnica não tenha ocorrido nos seus sistemas.

Armazenamento em nuvem e transferência internacional de dados

O uso de serviços em nuvem de provedores internacionais é praticamente universal. AWS, Google Cloud, Microsoft Azure, Salesforce e centenas de outras ferramentas processam dados em servidores fora do Brasil, o que configura transferência internacional de dados pessoais.

A Resolução CD/ANPD nº 19, de 2024, regulamentou as condições para essa transferência. logo, para que seja lícita, o país receptor precisa oferecer nível de proteção equivalente ao brasileiro, ou a empresa precisa adotar instrumentos específicos como:cláusulas contratuais padrão, normas corporativas globais ou outros mecanismos aprovados pela ANPD.A revisão dos contratos com fornecedores SaaS internacionais é uma obrigação que muitas empresas ainda não realizaram. Em contratos com entes públicos, cláusulas que proíbem compartilhamento internacional são cada vez mais comuns e sua violação pode resultar em rescisão contratual.

Em resumo: empresas que optam pelo armazenamento de dados fora do Brasil precisam redobrar a atenção, já que a Lei Geral de Proteção de Dados (LGPD) exige que os dados de brasileiros sigam protegidos, estejam onde estiverem.

Sobre os incidentes de segurança de dados

A Resolução CD/ANPD nº 15, em vigor desde abril de 2024, estabeleceu que empresas têm até 3 dias úteis para comunicar à ANPD e aos titulares qualquer incidente que represente risco relevante. Os critérios para essa obrigação são agora objetivos.

Quando a comunicação de incidente é obrigatória

• Tratamento de dados em larga escala envolvido no incidente
• Incidente que afete dados sensíveis
• Dados de crianças ou adolescentes comprometidos
• Informações financeiras, biométricas ou dados protegidos por sigilo legal
• Qualquer situação em que os danos potenciais aos titulares sejam significativos

A ausência de comunicação ou o atraso injustificado são infrações autônomas à LGPD, sendo assim, a empresa pode ser multada pelo incidente original e, separadamente, pelo descumprimento do prazo de notificação.

Inteligência artificial e LGPD: o novo front de risco regulatório

A adoção de ferramentas de inteligência artificial para automatizar decisões, personalizar ofertas e analisar comportamentos criou uma camada adicional de risco regulatório que muitas empresas ainda não mapearam.

Quando uma empresa utiliza IA para tomar decisões com impacto significativo sobre pessoas, como aprovação de crédito, triagem de candidatos ou precificação personalizada, a LGPD exige que os titulares possam questionar essas decisões e obter explicações em linguagem acessível, pois opacidade algorítmica não é permitida.

A ANPD incluiu sistemas de IA na agenda prioritária de fiscalização para 2025 e 2026, especialmente em aplicações que processam dados sensíveis ou afetam direitos fundamentais.Para ficar por dentro desse tema, leia o artigo que preparamos: Inteligência artificial e LGPD: riscos, obrigações e como agir

O espectro completo de sanções: além da multa

Líderes frequentemente dimensionam o risco da LGPD apenas pelo valor das multas. Esse é um erro estratégico. 

O arsenal regulatório da ANPD é mais amplo e inclui sanções que podem ser, na prática, mais disruptivas do que o impacto financeiro direto.

Framework de implementação: as 6 etapas para a conformidade estruturada

A adequação à LGPD não é um projeto com prazo definido, mas sim um programa contínuo de governança. Para empresas que ainda não começaram  ou estão em estágio inicial, existe um caminho estruturado que permite priorizar esforços e gerar conformidade real no menor prazo possível. Segue abaixo:

Além disso, entender como testes de segurança apoiam a conformidade com a LGPD e a ISO 27001 permite que as organizações identifiquem vulnerabilidades de forma proativa, evitando violações de dados que resultariam em sanções legais e não conformidade com os requisitos normativos.

Conformidade como vantagem competitiva: o que empresas adequadas ganham

Líderes que enxergam a adequação à LGPD apenas como custo de compliance estão perdendo uma oportunidade estratégica. Em mercados B2B, decisores de compra e procurement corporativo incluem conformidade com proteção de dados como critério eliminatório em processos de homologação de fornecedores.

Empresas que constroem reputação sólida em segurança de dados e conformidade regulatória ganham vantagens que se traduzem diretamente em receita. Observe abaixo:

Sua empresa está preparada para uma auditoria da ANPD?

A Data Guide é uma consultoria especializada em proteção de dados, conformidade com a LGPD e segurança da informação. Ajudamos empresas de médio e grande porte a transformar adequação regulatória em programa estruturado de governança de dados.

Nossas soluções:

• DPO as a Service: Encarregado de Proteção de Dados disponível imediatamente, com equipe multidisciplinar (jurídico, TI e segurança da informação), a um custo proporcional ao porte da empresa;
• Adequação à LGPD: diagnóstico, mapeamento de dados, elaboração de políticas e implementação do programa de conformidade do início ao fim;
• Pentest e segurança da informação: testes de intrusão e avaliação de vulnerabilidades para proteger os dados que sua empresa trata;
• Certificações de segurança: suporte para obtenção de ISO 27001 e SOC 2, credenciais que aumentam a confiança de clientes e parceiros.

Se você ainda não mapeou o estado atual de conformidade da sua empresa, o primeiro passo é um diagnóstico estruturado. A Data Guide oferece uma avaliação inicial para identificar os principais gaps e riscos, fale com um de nossos especialistas.

---

FAQ