LGPD para empresas: guia completo

A proteção de dados faz parte da rotina de empresas de todos os portes: no cadastro de clientes, na folha de pagamento, nos contratos e no atendimento digital. A LGPD exige que essas informações sejam usadas com finalidade, segurança e respeito aos direitos das pessoas. Neste guia, explicamos as bases legais, as responsabilidades, os documentos e as medidas práticas para organizar a adequação do negócio.

O que é a LGPD

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) regula como pessoas físicas, empresas e o poder público podem coletar, usar, guardar, compartilhar e eliminar dados pessoais. O objetivo, segundo o art. 1º, é proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade.

A proteção de dados também tem status constitucional: a Emenda Constitucional nº 115/2022 incluiu o inciso LXXIX no art. 5º da Constituição, que assegura o direito à proteção dos dados pessoais, inclusive nos meios digitais.

A quem se aplica. A LGPD vale para qualquer tratamento de dados feito no Brasil, que vise oferecer bens ou serviços a pessoas no Brasil ou que envolva dados coletados no país (art. 3º). Não importa o porte da empresa nem se os dados estão em papel ou em sistema.

Exceções. O art. 4º prevê hipóteses específicas, como o tratamento por pessoa natural para fins exclusivamente particulares e não econômicos e aquele realizado exclusivamente para fins jornalísticos ou artísticos. Para fins acadêmicos, continuam aplicáveis os arts. 7º e 11. Segurança pública, defesa nacional, segurança do Estado e investigação ou repressão de infrações penais têm regime próprio. Essas exceções não dispensam automaticamente uma empresa de cumprir a LGPD nas suas demais atividades.

Conceitos que você precisa conhecer

O art. 5º da LGPD define os termos usados em toda a lei. Os principais são:

Dado anonimizado não é dado pessoal, salvo se a anonimização puder ser revertida (art. 12). Dados de crianças e adolescentes têm regras próprias no art. 14 e devem ser tratados no seu melhor interesse.

Bases legais

Nenhum dado pode ser tratado sem uma justificativa prevista em lei. O art. 7º lista dez bases legais para dados comuns:

1. consentimento do titular;
2. cumprimento de obrigação legal ou regulatória;
3. execução de políticas públicas pela administração;
4. realização de estudos por órgão de pesquisa;
5. execução de contrato do qual o titular seja parte ou de procedimentos preliminares relacionados a contrato, a pedido do titular;
6. exercício regular de direitos em processo judicial, administrativo ou arbitral;
7. proteção da vida ou da incolumidade física;
8. tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
9. legítimo interesse do controlador ou de terceiro;
10. proteção do crédito.

Para dados sensíveis, aplicam-se as hipóteses específicas do art. 11: legítimo interesse e proteção do crédito não estão entre elas. Quando a base for o consentimento, ele deve ser específico, destacado e vinculado a finalidades determinadas. Consentimento não é uma autorização universal: cada operação deve ter sua base analisada, inclusive quando houver contrato ou obrigação legal.

Direitos do titular

O art. 18 assegura, entre outros direitos, confirmação do tratamento, acesso, correção, informações sobre compartilhamento, revogação do consentimento e anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente. A portabilidade observa regulamentação e segredos comercial e industrial. A eliminação não é absoluta: o art. 16 admite conservação em hipóteses legais. A empresa precisa de canal e procedimento para receber, verificar e responder aos pedidos.

O que é a ANPD

A ANPD é o órgão federal que regulamenta, orienta e fiscaliza o cumprimento da LGPD, e o único que pode aplicar as sanções administrativas da lei (art. 55-K). Desde fevereiro de 2026, ela é a Agência Nacional de Proteção de Dados, uma agência reguladora.

Sua natureza jurídica mudou três vezes:

• 2018–2022: criada pela MP nº 869/2018, convertida na Lei nº 13.853/2019, como órgão da Presidência da República (Autoridade Nacional de Proteção de Dados);
• 2022–2026: transformada em autarquia de natureza especial pela Lei nº 14.460/2022;
• desde 2026: convertida em agência reguladora pela MP nº 1.317/2025, aprovada pelo Congresso e transformada na Lei nº 15.352, de 25 de fevereiro de 2026. A sigla continua ANPD.

Como agência reguladora, a ANPD tem autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio e carreira específica de especialista em regulação. Segue vinculada ao Ministério da Justiça e Segurança Pública e ganhou nova atribuição: fiscalizar o ECA Digital (Lei nº 15.211/2025), em vigor desde 17 de março de 2026, que protege crianças e adolescentes no ambiente digital.

Na prática, a ANPD:

• edita regulamentos (as resoluções do Conselho Diretor) e guias orientativos;
• recebe denúncias e petições de titulares;
• recebe as comunicações de incidentes de segurança;
• fiscaliza, abre processos sancionadores e aplica penalidades.

As principais normas da ANPD para empresas são:

Desde quando a LGPD é cobrada

A lei foi aprovada em 2018, mas entrou em vigor em etapas. As obrigações valem desde 18 de setembro de 2020; as sanções administrativas da ANPD, desde 1º de agosto de 2021. Antes disso, consumidores e o Ministério Público já podiam ir à Justiça com base na LGPD.

O regulamento de dosimetria, publicado em 2023, estabeleceu critérios para a aplicação das sanções. Para a empresa, a providência prática é manter medidas efetivas de proteção, registrar as decisões sobre o uso de dados e conseguir demonstrar como as obrigações são cumpridas.

Controlador, operador e encarregado

A LGPD distribui as responsabilidades entre três figuras. Controlador e operador são os agentes de tratamento (art. 5º, IX); o encarregado é o canal de comunicação entre eles, os titulares e a ANPD.

Controlador. Decide as finalidades e os elementos essenciais do tratamento. Uma clínica pode ser controladora dos dados de seus pacientes. Havendo decisões conjuntas, a análise pode identificar controladoria conjunta. A responsabilidade por danos deve observar as condições dos arts. 42 e 43, inclusive as hipóteses legais de solidariedade e exclusão.

Operador. Trata dados em nome do controlador e segundo suas instruções lícitas. Um prestador que processa a folha de pagamento pode atuar como operador nessa atividade, mas ser controlador em outras. O papel depende da operação concreta, e não apenas do nome dado no contrato. Empregados subordinados não são agentes de tratamento distintos da organização.

Encarregado. Como regra, o controlador deve indicar encarregado e divulgar sua identidade e contato de forma clara, ressalvadas as dispensas regulamentares. A Resolução CD/ANPD nº 18/2024 detalha a função:

• pode ser pessoa física ou jurídica, interna ou externa, e não precisa de certificação específica;
• a indicação deve ser feita por ato formal e documentado;
• deve se comunicar com os titulares e com a ANPD em português;
• o controlador deve garantir meios, recursos e autonomia técnica, e evitar conflito de interesses;
• o operador não é obrigado a ter encarregado, mas a indicação é considerada boa prática.

Agentes de pequeno porte que preencham os requisitos da Resolução CD/ANPD nº 2/2022 podem ser dispensados de indicar encarregado, mas devem manter um canal com os titulares. O benefício depende, entre outros critérios, do porte econômico e do risco do tratamento; não decorre apenas da condição de MEI ou microempresa.

Documentos internos: o que a empresa precisa ter

A responsabilização e a prestação de contas exigem demonstrar a adoção de medidas eficazes (art. 6º, X). Os documentos ajudam a organizar e comprovar essas medidas, mas precisam corresponder à prática: políticas sem controle de acesso, treinamento e resposta a incidentes não substituem a proteção efetiva dos dados. A lista abaixo reúne obrigações e instrumentos de organização cuja aplicação depende do tratamento realizado.

Também vale guardar as evidências de que os documentos são aplicados: listas de presença de treinamentos, termos de confidencialidade assinados por empregados, aditivos aos contratos de trabalho e registros de pedidos de titulares atendidos.

Pontos de atenção na estruturação

Incidentes. Quando puderem causar risco ou dano relevante aos titulares, devem ser comunicados à ANPD e aos afetados, em regra, em até três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. Devem ser observadas as regras da Resolução nº 15/2024, os prazos de legislação específica e o prazo em dobro para pequenos agentes elegíveis. O registro dos incidentes, inclusive os não comunicados, deve ser mantido por pelo menos cinco anos da data do registro.

Pedidos de titulares: a confirmação de existência ou o acesso aos dados podem ser dados de forma simplificada e imediata, ou por declaração completa em até 15 dias (art. 19).

RIPD. A ANPD pode determinar a elaboração do relatório. Sua preparação também é recomendada em tratamentos de alto risco, como instrumento de avaliação e redução dos impactos aos titulares. A exigibilidade concreta deve considerar a lei, a regulamentação e eventuais determinações da autoridade; não se presume que toda empresa precise do mesmo relatório.

Coerência. O inventário deve orientar os avisos, contratos e procedimentos. Verifique se o que a política de privacidade informa corresponde aos dados efetivamente coletados, às pessoas que têm acesso e aos prazos de guarda praticados.

Ordem recomendada para montar a documentação

1. Mapear os dados. Entrevistar cada setor (RH, financeiro, comercial, TI) e preencher o inventário.
2. Analisar as lacunas. Comparar o que é feito com o que a lei exige e definir a base legal de cada tratamento.
3. Definir o encarregado e o canal. Formalizar e divulgar a indicação quando exigida; se houver dispensa válida, manter o canal de atendimento ao titular.
4. Redigir as políticas e o plano de incidentes. Partir do inventário para que os textos reflitam a realidade.
5. Revisar os contratos. Incluir cláusulas de proteção de dados com fornecedores e aditivos com empregados.
6. Treinar a equipe. Registrar presença e conteúdo.
7. Revisar periodicamente. Como boa prática, programar uma revisão anual e atualizações sempre que mudarem sistemas, processos, riscos ou regras aplicáveis.

Penalidades da LGPD

A multa pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Como o teto vale para cada infração, o total pode ultrapassá-lo, como no caso do TikTok. O art. 52 prevê as seguintes sanções:

Órgãos e entidades públicos estão sujeitos às sanções indicadas no art. 52, § 3º, mas não às multas simples e diárias desse artigo. As suspensões e proibições dos incisos X a XII dependem da prévia imposição, para o mesmo caso, de ao menos uma das sanções dos incisos I, IV, V ou VI, além das demais condições do § 6º.

Dosimetria. A Resolução CD/ANPD nº 4/2023 disciplina a classificação das infrações e o cálculo das sanções. A avaliação considera gravidade, danos, boa-fé, cooperação, reincidência, medidas preventivas e corretivas e outros critérios legais. A presença de dados sensíveis ou de crianças integra a análise nas hipóteses regulamentares; não deve ser tratada como agravante automática em qualquer situação. O regulamento também prevê redução de 25% da multa simples mediante renúncia ao recurso e pagamento no prazo aplicável.

Exemplos de decisões da ANPD

Seleção de decisões divulgadas pela própria ANPD, com as datas e medidas anunciadas. A existência de sanção não significa, por si só, que todos os recursos se encerraram; o andamento e eventuais alterações devem ser consultados nos processos oficiais.

O que esses casos ensinam

As decisões mostram que a adequação envolve mais do que evitar vazamentos. A autoridade também examina a base legal, os registros, as comunicações e o atendimento às suas determinações. Entre os pontos de atenção estão:

• Não comunicar ou comunicar tarde um incidente de segurança (art. 48);
• medidas de segurança inadequadas (arts. 46 e 49);
• não indicar encarregado quando a indicação for exigida;
• não manter os registros de tratamento ou não elaborar o RIPD quando exigido;
• não responder às requisições da ANPD durante a fiscalização;
• tratar dados sem base legal (art. 7º).

Responsabilidade na Justiça

Além das sanções administrativas, podem existir consequências civis, conforme os arts. 42 a 45 e as regras aplicáveis, inclusive o Código de Defesa do Consumidor. No AREsp 2.130.619/SP, julgado em 7 de março de 2023, a Segunda Turma do STJ afastou, nas circunstâncias examinadas, a presunção de dano moral pelo vazamento de dados pessoais comuns. Esse precedente não torna todo vazamento inofensivo nem afasta automaticamente a responsabilidade: o contexto, a natureza dos dados e os danos alegados precisam ser avaliados.

E as pequenas empresas?

Microempresas, empresas de pequeno porte, MEIs, startups e outras entidades abrangidas podem acessar o tratamento diferenciado da Resolução CD/ANPD nº 2/2022 se preencherem seus requisitos. A LGPD continua aplicável. Entre as simplificações previstas estão:

• dispensa de indicar encarregado, desde que mantenham um canal de comunicação com o titular;
• registro das operações de tratamento em modelo simplificado;
• política de segurança da informação simplificada;
• prazos diferenciados nas hipóteses regulamentares: por exemplo, seis dias úteis para comunicação de incidentes abrangidos e trinta dias para a declaração completa de acesso, para os agentes elegíveis. A declaração simplificada tem prazo próprio de até quinze dias;

As dispensas não são automáticas. O regulamento exclui, entre outros casos, agentes com tratamento de alto risco e aqueles que ultrapassem os limites econômicos aplicáveis, inclusive na análise do grupo econômico. Os limites das empresas de pequeno porte e das startups têm referências legais distintas. Para caracterizar alto risco, o art. 4º combina ao menos um critério geral (larga escala ou impacto significativo em interesses e direitos fundamentais) com um específico (como tecnologia inovadora, vigilância de áreas públicas, decisões exclusivamente automatizadas ou dados sensíveis e de pessoas vulneráveis). A ANPD pode exigir obrigações dispensadas conforme as circunstâncias.

Checklist de adequação

• Inventário de dados preenchido por setor
• Base legal definida para cada tratamento
• Encarregado formalizado e contato divulgado quando exigido, ou canal de atendimento quando houver dispensa válida
• Política de privacidade publicada e coerente com o inventário
• Política interna de segurança aprovada e divulgada à equipe
• Plano de resposta a incidentes com modelos de comunicação
• Contratos com fornecedores revisados com cláusulas de proteção de dados
• Termos de confidencialidade e aditivos com empregados
• Procedimento para atender pedidos de titulares
• Treinamento da equipe registrado
• Necessidade de RIPD avaliada e relatório elaborado quando exigido
• Revisão periódica e atualização diante de mudanças programadas

Conclusão

Adequar a empresa à LGPD é um trabalho contínuo: conhecer os dados, limitar usos desnecessários, proteger os sistemas, preparar a equipe e atender aos titulares. A documentação deve acompanhar essa prática e ser revista conforme o negócio muda. O Grupo Montalvão Branquinho pode auxiliar no mapeamento jurídico, na revisão documental e contratual e na estruturação das responsabilidades, inclusive na avaliação de atuação como encarregado externo, observados os requisitos e eventuais conflitos de interesse.

Conteúdo informativo revisado em 29 de outubro de 2026. A aplicação das regras depende das particularidades de cada empresa e da evolução normativa e jurisprudencial. Imagem de abertura ilustrativa, criada com inteligência artificial.

Fontes e leitura complementar

• LGPD — texto atualizado na Câmara dos Deputados
• Lei nº 15.352/2026 — Agência Nacional de Proteção de Dados
• ANPD — regulamentos e resoluções
• Resolução nº 2/2022 — agentes de pequeno porte
• ANPD — comunicação de incidentes
• ANPD — relatório de impacto (RIPD)
• ANPD — decisões em processos sancionadores
• ANPD — decisão envolvendo TikTok
• ANPD — INSS e Secretaria de Educação do DF
• ANPD — decisão envolvendo IAMSPE
• ANPD — primeira multa, Telekall
• STJ — precedentes sobre a LGPD