A LGPD — Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018 — deixou de ser um projeto de conformidade documental para virar um risco regulatório concreto. Em 2026 o cenário mudou de patamar: a ANPD (Autoridade Nacional de Proteção de Dados) foi transformada em agência reguladora, ganhou orçamento e carreira próprios, publicou o mapa dos temas que vai fiscalizar até 2027 e abriu, em um único mês, mais processos sancionadores do que em vários anos anteriores somados.
Este guia reúne, em um só lugar, o que a LGPD exige, o que a ANPD já regulamentou por resolução — encarregado, incidentes de segurança, transferência internacional e dosimetria de sanções — e um roteiro de adequação em oito passos para organizações que precisam sair do papel e demonstrar conformidade com evidências.
A Lei nº 15.352/2026, publicada no Diário Oficial da União em 25 de fevereiro de 2026, transformou a ANPD em autarquia de natureza especial — na prática, uma agência reguladora — mantida vinculada ao Ministério da Justiça e Segurança Pública, mas com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio. A norma criou também a Carreira de Regulação e Fiscalização de Proteção de Dados e o cargo de Especialista em Regulação de Proteção de Dados, a ser provido por concurso público.
Em dezembro de 2025, a Resolução CD/ANPD nº 30 instituiu o Mapa de Temas Prioritários para o biênio 2026-2027 e a Resolução CD/ANPD nº 31 atualizou a Agenda Regulatória. São quatro os focos declarados de fiscalização: direitos dos titulares, crianças e adolescentes no ambiente digital, tratamento de dados pessoais pelo setor público e inteligência artificial e tecnologias emergentes.
E em junho de 2026 a ANPD abriu 19 novos processos administrativos sancionadores — a maior leva da sua história. O gatilho não foi um vazamento espetacular: foram agentes de tratamento que não responderam a pedidos da Autoridade sobre o encarregado e o canal de atendimento ao titular. Os fundamentos, portanto, são básicos.
O que é a LGPD e desde quando ela vale
A LGPD é a lei brasileira que disciplina o tratamento de dados pessoais por pessoas físicas e jurídicas, de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade. Ela se inspira no GDPR europeu, mas não é uma cópia: tem dez bases legais em vez de seis, um regime próprio de sanções e uma autoridade com trajetória e prioridades distintas.
Sancionada em 14 de agosto de 2018, a lei entrou em vigor em 18 de setembro de 2020. As sanções administrativas, porém, só se tornaram aplicáveis em 1º de agosto de 2021 — e esse intervalo criou uma leitura equivocada que ainda persiste em muitas empresas: a de que a LGPD seria uma lei sem consequência prática. Os números de 2026 desmentem essa leitura.
Antes de qualquer discussão sobre controles, é preciso acertar o vocabulário. A LGPD é uma lei de definições: quase todo erro de encaixe começa em confundir dois desses conceitos.
Dado pessoal
Informação relacionada a pessoa natural identificada ou identificável. Não se limita a nome e CPF: IP, cookie de identificação, geolocalização e identificadores de dispositivo entram na definição quando permitem chegar a uma pessoa.
Dado pessoal sensível
Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Tem bases legais próprias e mais restritas (art. 11).
Titular
A pessoa natural a quem se referem os dados. É quem exerce os direitos do art. 18 e quem aciona o canal de atendimento — o mesmo canal cuja ausência motivou boa parte dos processos abertos em 2026.
Controlador
Quem toma as decisões sobre o tratamento: para que os dados são usados e como. Concentra as obrigações de comunicar incidentes, indicar encarregado e responder ao titular.
Operador
Quem trata dados em nome do controlador — tipicamente um fornecedor de tecnologia ou serviço. Responde solidariamente quando descumpre as instruções recebidas ou a própria lei.
Tratamento
Qualquer operação com dados pessoais: coleta, produção, recepção, classificação, uso, acesso, reprodução, transmissão, arquivamento, eliminação, avaliação, extração. Na prática, tudo — inclusive apenas armazenar.
ANPD: de órgão frágil a agência reguladora
A ANPD nasceu, pela Lei nº 13.853/2019, como órgão da administração pública federal integrante da Presidência da República, sem personalidade jurídica própria e com orçamento dependente. Essa fragilidade estrutural explica boa parte da lentidão da fiscalização entre 2021 e 2024: uma autoridade sem quadro técnico próprio regula pouco e fiscaliza menos.
A Lei nº 15.352/2026 encerra esse desenho. Resultado da conversão da Medida Provisória nº 1.317/2025, ela converte a ANPD em autarquia de natureza especial e a submete formalmente ao regime da Lei nº 13.848/2019 — a lei das agências reguladoras —, o que traz padrões mais rigorosos de processo decisório, transparência regulatória e cooperação interinstitucional. Também prevê órgão de auditoria interna e a criação de cargos efetivos a partir da transformação de cargos vagos do Executivo federal.
A consequência prática para quem trata dados é simples: a ANPD passa a ter capacidade operacional de fiscalizar em escala. E declarou publicamente onde vai olhar primeiro.
Sanção da LGPD
Lei nº 13.709/2018, com vacatio legis estendido por alterações posteriores.
ConcluídoEntrada em vigor
A lei passa a valer em 18 de setembro de 2020, ainda sem sanções aplicáveis.
ConcluídoSanções aplicáveis
A partir de 1º de agosto de 2021 a ANPD pode aplicar advertência, multa e as demais sanções do art. 52.
ConcluídoCiclo de regulamentação
Agentes de pequeno porte (Res. 2/2022), dosimetria (Res. 4/2023), incidentes (Res. 15/2024), encarregado (Res. 18/2024) e transferência internacional (Res. 19/2024).
ConcluídoFim do prazo das cláusulas-padrão
Encerra-se em 23 de agosto de 2025 o prazo de 12 meses para incorporar as cláusulas-padrão contratuais da ANPD.
ConcluídoMapa de Temas Prioritários
Resoluções CD/ANPD nº 30 e nº 31 definem os focos de fiscalização de 2026-2027 e atualizam a Agenda Regulatória.
ConcluídoANPD vira agência reguladora
Lei nº 15.352/2026: autonomia administrativa e financeira, carreira própria e capacidade real de fiscalização em escala.
Em cursoCiclo de fiscalização declarado
Direitos dos titulares, crianças e adolescentes, setor público e inteligência artificial. Na fila regulatória: relatório de impacto, biometria e reconhecimento facial, cookies e decisões automatizadas.
PrevistoA quem a LGPD se aplica
O art. 3º da LGPD adota um critério amplo, com efeito extraterritorial. A lei alcança qualquer operação de tratamento realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que se verifique uma destas hipóteses: o tratamento é realizado no território nacional; a atividade tem por objetivo a oferta ou fornecimento de bens ou serviços a indivíduos no Brasil; ou os dados foram coletados no território nacional.
Empresas brasileiras
Todas as obrigações: base legal para cada tratamento, registro das operações, encarregado indicado e divulgado, canal de atendimento ao titular, comunicação de incidentes e resposta à ANPD.
Empresas estrangeiras
Uma empresa sem sede no Brasil está sujeita à LGPD se oferta bens ou serviços a pessoas no país, ou se trata dados aqui coletados. Estar em conformidade com o GDPR ajuda, mas não substitui: as bases legais, os prazos e a autoridade competente são outros.
Setor público
Órgãos e entidades públicas têm capítulo próprio (arts. 23 a 30) e estão entre os quatro temas prioritários de 2026-2027. Não pagam multa pecuniária, mas respondem a publicização, bloqueio e eliminação de dados.
Agentes de pequeno porte
Microempresas, EPPs, startups e pessoas jurídicas de direito privado sem fins lucrativos têm regime flexibilizado pela Resolução CD/ANPD nº 2/2022: são dispensados de indicar encarregado, mas continuam obrigados a manter um canal de comunicação com o titular.
Ficam fora do escopo da lei o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, o tratamento para fins jornalísticos, artísticos ou acadêmicos, e o tratamento para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais — este último remetido a lei específica, ainda pendente.
As dez bases legais do tratamento
Nenhum tratamento de dados pessoais é lícito sem uma base legal que o sustente, e a base precisa ser escolhida antes de o tratamento começar — não justificada depois. O erro mais comum na adequação brasileira é usar consentimento como base padrão: além de ser a mais frágil (o titular pode revogá-la a qualquer momento, e a revogação obriga a eliminar os dados tratados sob ela), muitas vezes é a errada.
| Base legal (art. 7º) | Quando faz sentido usá-la |
|---|---|
| Consentimento | Marketing, cookies não essenciais, programas de fidelidade. Deve ser livre, informado, inequívoco e para finalidade determinada — e ser tão fácil revogar quanto conceder. |
| Cumprimento de obrigação legal ou regulatória | Retenção fiscal, obrigações trabalhistas e previdenciárias, prevenção à lavagem de dinheiro, exigências setoriais do Banco Central ou da ANS. |
| Execução de políticas públicas | Exclusiva da administração pública, prevista em lei, regulamento ou contrato. |
| Estudos por órgão de pesquisa | Pesquisa científica, com anonimização sempre que possível. |
| Execução de contrato | Muito usada Cadastro de cliente, entrega, faturamento, suporte. Cobre também os procedimentos preliminares a pedido do titular. |
| Exercício regular de direitos | Processo judicial, administrativo ou arbitral — inclusive a guarda de evidências para defesa. |
| Proteção da vida | Emergências médicas, situações de risco à integridade física do titular ou de terceiro. |
| Tutela da saúde | Exclusiva de profissionais de saúde, serviços de saúde ou autoridade sanitária. |
| Legítimo interesse | Exige teste Prevenção a fraudes, segurança do titular, marketing para clientes existentes. Requer teste de balanceamento documentado e não vale para dados sensíveis. |
| Proteção do crédito | Análise de risco e cadastros positivos e negativos, nos termos da legislação específica. |
Para dados sensíveis, o art. 11 impõe um rol próprio e mais estreito: só há oito hipóteses, o consentimento precisa ser específico e destacado, e não existe legítimo interesse. É um ponto crítico para quem usa biometria — reconhecimento facial em controle de acesso, digital em ponto eletrônico — porque dado biométrico é sensível por definição, e a biometria está explicitamente no radar regulatório da ANPD.
Não sabe qual base legal sustenta cada tratamento da sua organização? O módulo de privacidade da GlobalSuite mantém o registro de operações, a base legal e as evidências vinculados no mesmo lugar.
Conheça o módulo de privacidadeDireitos do titular: onde a fiscalização começou
Os direitos dos titulares são o primeiro dos quatro temas prioritários da ANPD para 2026-2027 — e não por acaso. É o ponto de contato entre a lei e o cidadão, o mais fácil de testar de fora e o que mais gera reclamações à Autoridade. Uma organização que não responde ao titular está, do ponto de vista da ANPD, visível.
O art. 18 assegura ao titular, mediante requisição:
- Confirmação da existência de tratamento.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
- Portabilidade a outro fornecedor de serviço ou produto.
- Eliminação dos dados tratados com base no consentimento.
- Informação sobre o compartilhamento com entidades públicas e privadas.
- Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
- Revogação do consentimento, por procedimento gratuito e facilitado.
Há dois prazos que costumam ser confundidos. A confirmação de existência e o acesso simplificado devem ser fornecidos imediatamente, em formato simplificado. Já a declaração clara e completa, com a origem dos dados, a inexistência de registro, os critérios e a finalidade do tratamento, tem prazo de 15 dias contados da requisição (art. 19, II).
A esse conjunto soma-se o direito à revisão de decisões automatizadas (art. 20): o titular pode pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses — perfil de crédito, perfil de consumo, perfil de personalidade. Com a inteligência artificial listada entre os focos de fiscalização, este artigo, historicamente pouco cobrado, tende a ganhar peso.
Encarregado (DPO): o que a Resolução CD/ANPD nº 18/2024 exige
O encarregado é a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD (art. 41). A Resolução CD/ANPD nº 18, de 16 de julho de 2024, encerrou a ambiguidade sobre como essa indicação deve ser feita — e é justamente o descumprimento desses pontos que motivou a leva de processos de 2026.
Indicação por ato formal. A designação deve ser feita por ato escrito, datado e assinado, que demonstre de forma inequívoca a intenção do agente de tratamento. Um e-mail interno ou uma menção em organograma não bastam.
Divulgação pública e acessível. A identidade e as informações de contato do encarregado devem estar publicadas de forma clara e objetiva, em local de destaque e de fácil acesso, no site do agente de tratamento. Enterrar o contato no rodapé de uma política de privacidade em PDF não cumpre o requisito.
Pessoa física ou jurídica. O encarregado pode ser um empregado ou uma empresa contratada — o chamado DPO as a service —, o que viabiliza a função em organizações sem estrutura interna dedicada.
Autonomia e ausência de conflito. O encarregado deve ter condições de atuar sem conflito de interesses e com acesso direto à alta administração. Acumular a função com a responsabilidade pelas decisões de tratamento é um problema estrutural.
Agentes de pequeno porte. Continuam dispensados de indicar encarregado pela Resolução CD/ANPD nº 2/2022, mas não da obrigação de disponibilizar um canal de comunicação com os titulares. A dispensa é da figura, não do atendimento.
Incidentes de segurança: o relógio de três dias úteis
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, substituiu a expressão vaga da lei — «prazo razoável» — por um número. A comunicação do incidente à ANPD e aos titulares afetados deve ser feita pelo controlador em até 3 (três) dias úteis, contados do momento em que ele toma conhecimento de que o incidente afetou dados pessoais.
Nem todo incidente precisa ser comunicado. A obrigação nasce da combinação de um evento de segurança — violação de confidencialidade, integridade ou disponibilidade — com a possibilidade de acarretar risco ou dano relevante ao titular. A ANPD considera relevante, entre outros casos, o incidente que envolva dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou senhas de acesso, ou que possibilite fraude ou uso indevido de identidade.
Conhecimento do fato
O relógio começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais — não quando o incidente ocorreu.
Risco relevante?
Avalia-se natureza dos dados, volume, categoria de titulares, facilidade de identificação e possibilidade de dano. A avaliação precisa ser registrada mesmo quando a conclusão é negativa.
Comunicação
Notificação à ANPD pelo formulário eletrônico e comunicação aos titulares afetados, em linguagem clara, com as medidas adotadas.
Registro
O controlador mantém registro de todos os incidentes — inclusive dos não comunicados — por no mínimo cinco anos a partir da data do registro.
Esse último ponto é o mais subestimado: a obrigação de manter registro alcança também os incidentes que a organização decidiu não comunicar. Em uma fiscalização, a inexistência desse registro é, por si só, um achado — e transforma cada decisão de não notificar em uma decisão indefensável.
Transferência internacional de dados: o prazo já venceu
A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, regulamentou os arts. 33 a 36 da LGPD e aprovou as cláusulas-padrão contratuais brasileiras. Ela concedeu 12 meses para que os agentes de tratamento que se apoiam em cláusulas contratuais incorporassem o texto aprovado aos seus instrumentos. Esse prazo terminou em 23 de agosto de 2025.
Ou seja: uma transferência internacional feita hoje com base em cláusulas contratuais próprias, sem o texto padrão da ANPD, está fora de prazo. E como a Autoridade ainda não reconheceu formalmente nenhum país como adequado, o instrumento contratual é, na prática, o mecanismo principal para a maioria das organizações.
Decisão de adequação
Reconhecimento pela ANPD de que um país ou organismo internacional oferece grau de proteção adequado. Nenhuma decisão foi emitida até o momento — não é uma opção prática.
Cláusulas-padrão contratuais
Texto aprovado nos anexos da Resolução nº 19/2024, de incorporação obrigatória. Prazo de adequação encerrado em 23 de agosto de 2025.
Normas corporativas globais
As binding corporate rules brasileiras, submetidas à aprovação da ANPD. Fazem sentido para multinacionais com fluxo intragrupo intenso e recorrente.
Situações do art. 33
Cooperação jurídica internacional, proteção da vida, execução de política pública, cumprimento de obrigação legal, execução de contrato ou consentimento específico e destacado do titular.
Na prática, quase toda empresa brasileira faz transferência internacional: nuvem hospedada fora do país, CRM estrangeiro, ferramenta de e-mail marketing, folha de pagamento em SaaS global. O ponto de partida é ter o inventário de fornecedores mapeado — sem ele não se sabe sequer quantas transferências existem. É por isso que a gestão de terceiros e a de privacidade caminham juntas: veja como tratamos o registro de tratamentos e o inventário de fornecedores no módulo de privacidade.
Sanções da LGPD e como a ANPD calcula a multa
O art. 52 da LGPD prevê oito sanções administrativas, aplicáveis de forma isolada ou cumulativa. A mais conhecida é a multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, limitada a R$ 50 milhões por infração — mas as sanções não pecuniárias costumam ser mais danosas ao negócio.
| Sanção | Alcance | Impacto real |
|---|---|---|
| Advertência | Com indicação de prazo para adoção de medidas corretivas. | Baixo em si — mas cria histórico, que é agravante na dosimetria da infração seguinte. |
| Multa simples | Até 2% do faturamento no Brasil, teto de R$ 50 milhões por infração. | Financeiro Calculada por infração, não por processo. |
| Multa diária | Observado o mesmo teto total. | Pressiona a correção: o custo cresce enquanto a irregularidade persiste. |
| Publicização da infração | Após apuração e confirmação do ocorrido. | Reputacional Frequentemente mais cara que a multa em setores de confiança. |
| Bloqueio dos dados | Dos dados pessoais a que se refere a infração, até a regularização. | Pode interromper o processo de negócio que depende daquela base. |
| Eliminação dos dados | Dos dados pessoais a que se refere a infração. | Irreversível: a base é perdida. |
| Suspensão do banco de dados | Suspensão parcial do funcionamento, por até 6 meses, prorrogável por igual período. | Operacional Equivale a parar a operação que depende daquele banco. |
| Suspensão ou proibição da atividade | Suspensão do exercício da atividade de tratamento, por até 6 meses prorrogáveis, ou proibição parcial ou total. | A sanção mais grave: pode inviabilizar o modelo de negócio. |
A Resolução CD/ANPD nº 4/2023, o Regulamento de Dosimetria, define como a Autoridade calcula a penalidade. Ela classifica as infrações em leves, médias e graves e trabalha com um conjunto de circunstâncias atenuantes e agravantes — a gravidade e a natureza da infração, a boa-fé do infrator, a vantagem auferida, a condição econômica, a reincidência, o grau do dano, a cooperação, a adoção reiterada de mecanismos internos de mitigação, a existência de política de boas práticas e governança e a pronta adoção de medidas corretivas.
Essa lista é a razão econômica mais direta para investir em governança de privacidade: um programa documentado, com registro de operações, evidências de controles e histórico de tratativas, atua como atenuante formal na dosimetria. A diferença entre uma infração classificada como leve e uma classificada como grave, com reincidência e sem qualquer estrutura de governança demonstrável, é de ordem de grandeza.
Vale um registro honesto de contexto: o valor somado das multas efetivamente aplicadas pela ANPD até o início de 2026 ainda é modesto — a maior parte dos sancionados foi o setor público, que não paga multa pecuniária, e a única empresa privada punida era uma microempresa, com valores reduzidos pela própria dosimetria. Quem lê esse dado como sinal de que a LGPD «não pega» está lendo o retrovisor. A leitura correta é outra: até 2025 a ANPD não tinha estrutura para fiscalizar; a partir de 2026 tem — e já disse onde vai olhar.
Roteiro de adequação à LGPD em 8 passos
Adequação à LGPD não é um projeto com data de encerramento; é um processo que precisa produzir evidência continuamente. Este é o sequenciamento que funciona na prática — cada passo depende do anterior.
Mapeamento e registro das operações de tratamento
O art. 37 obriga controlador e operador a manter registro das operações de tratamento. É a base de tudo: sem saber quais dados a organização trata, de onde vêm, para que servem, quem acessa, onde ficam e por quanto tempo, nenhum outro passo é verificável. Comece pelos processos que tratam dados sensíveis e de crianças.
Atribuição da base legal a cada tratamento
Cada operação mapeada recebe uma base legal do art. 7º — ou do art. 11, se envolver dados sensíveis. Onde a base for legítimo interesse, documente o teste de balanceamento; onde for consentimento, garanta que a coleta e a revogação estejam implementadas de fato.
Encarregado indicado e canal de atendimento publicado
Ato formal de indicação, identidade e contato publicados em local de destaque no site, e um canal que efetivamente responda. Este passo é rápido, barato e é exatamente o que a ANPD verificou nos processos abertos em 2026.
Fluxo de atendimento aos direitos do titular
Um procedimento com responsáveis, prazos (imediato para confirmação e acesso simplificado, 15 dias para a declaração completa), critérios de identificação do requerente e trilha de auditoria. Sem registro do atendimento, o cumprimento não é demonstrável.
Relatório de impacto (RIPD) nos tratamentos de risco
Previsto no art. 38 e ainda pendente de regulamentação específica — o tema está na Agenda Regulatória da ANPD. Antecipe-o nos tratamentos de maior risco: biometria, perfilamento, decisões automatizadas, dados de crianças e adolescentes, uso secundário de dados.
Plano de resposta a incidentes com o relógio de 3 dias
Defina quem declara o incidente, quem avalia o risco relevante, quem notifica a ANPD e os titulares, e onde fica o registro. Teste o fluxo: três dias úteis é pouco tempo para descobrir na hora quem tem a senha do formulário.
Terceiros, operadores e transferências internacionais
Inventário de fornecedores que tratam dados, contratos com cláusulas de proteção de dados, e as cláusulas-padrão da Resolução nº 19/2024 incorporadas onde houver transferência internacional — prazo vencido desde agosto de 2025.
Governança, evidências e revisão contínua
Política de boas práticas e governança, treinamento com registro de participação, indicadores de privacidade e auditoria periódica. É a camada que a dosimetria reconhece como atenuante — e a única forma de sustentar a conformidade quando o mapeamento do passo 1 envelhece.
Como um software de GRC sustenta a conformidade com a LGPD
Os oito passos acima descrevem um processo vivo, não um relatório. O registro de operações muda a cada novo sistema contratado; a base legal precisa ser revista quando a finalidade muda; o inventário de fornecedores se desatualiza a cada renovação de contrato; cada pedido de titular e cada incidente geram evidência que precisa estar recuperável anos depois. Planilhas conseguem produzir a foto inicial, mas não sustentam o filme.
É esse o problema que um software de GRC resolve: manter o registro de tratamentos, as bases legais, os relatórios de impacto, o atendimento aos titulares, o ciclo de incidentes e as evidências de controles em uma única estrutura, com trilha de auditoria e responsáveis definidos — e reaproveitar esse trabalho quando a mesma organização precisa responder também ao GDPR, à ISO 27701 ou à ISO 27001.
Sem uma estrutura de governança
Mapeamento em planilhas que envelhecem, bases legais atribuídas em um documento que ninguém revisa, atendimento a titulares por e-mail sem trilha, incidentes avaliados por conversa. Em uma fiscalização, não há o que apresentar — e a ausência de mecanismos internos pesa como agravante.
Com uma estrutura de governança
Registro de tratamentos vivo e vinculado a sistemas, fornecedores e bases legais; prazos de titulares controlados; incidentes com fluxo e registro de cinco anos; evidências recuperáveis por processo. A conformidade deixa de ser uma afirmação e passa a ser demonstrável.
Coloque a LGPD sob controle
O módulo Privacy Data Protection da GlobalSuite, plataforma GRC da GlobalSuite Solutions, traz LGPD, GDPR, ISO 27701 e LOPDGDD pré-carregadas, com registro de operações de tratamento, relatórios de impacto, gestão do exercício de direitos e painéis de conformidade em tempo real.
Conheça o módulo de privacidade e proteção de dadosPerguntas frequentes sobre a LGPD
Qual é a diferença entre a LGPD e o GDPR?
São leis com a mesma filosofia e diferenças relevantes de execução. A LGPD prevê dez bases legais contra seis do GDPR, e inclui hipóteses inexistentes na norma europeia, como a proteção do crédito e a tutela da saúde. O teto de multa também é diferente: até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração, contra até 4% do faturamento global no GDPR. Os prazos divergem: a comunicação de incidente à ANPD é de 3 dias úteis, contra 72 horas à autoridade europeia. Estar em conformidade com o GDPR ajuda muito, mas não substitui a adequação à LGPD.
Toda empresa é obrigada a ter um encarregado (DPO)?
Como regra, sim: o art. 41 da LGPD obriga controlador e operador a indicar encarregado, e a Resolução CD/ANPD nº 18/2024 detalha como. A exceção são os agentes de tratamento de pequeno porte — microempresas, empresas de pequeno porte, startups e pessoas jurídicas de direito privado sem fins lucrativos —, dispensados pela Resolução CD/ANPD nº 2/2022. A dispensa, porém, não alcança o canal de comunicação com os titulares, que continua obrigatório. O encarregado pode ser pessoa física ou jurídica, o que viabiliza a contratação externa da função.
Em quanto tempo preciso comunicar um vazamento de dados à ANPD?
Três dias úteis, pela Resolução CD/ANPD nº 15/2024, contados de quando o controlador toma conhecimento de que o incidente afetou dados pessoais. A comunicação é devida quando houver risco ou dano relevante ao titular — o que a ANPD presume, entre outros casos, quando envolve dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou senhas. Ainda que a organização conclua que não há risco relevante e decida não comunicar, deve registrar o incidente e a avaliação e guardar esse registro por no mínimo cinco anos.
Minha empresa é estrangeira e não tem sede no Brasil. A LGPD se aplica?
Sim, se ocorrer qualquer uma das hipóteses do art. 3º: o tratamento é realizado em território nacional, a atividade tem por objetivo ofertar bens ou serviços a indivíduos no Brasil, ou os dados foram coletados no território nacional. A localização da sede e a dos servidores são irrelevantes para a incidência da lei. Se houver transferência desses dados para fora do país, aplicam-se ainda as regras da Resolução CD/ANPD nº 19/2024, incluindo as cláusulas-padrão contratuais.
O que a ANPD vai fiscalizar em 2026 e 2027?
A Resolução CD/ANPD nº 30/2025 instituiu o Mapa de Temas Prioritários do biênio, com quatro focos: direitos dos titulares, crianças e adolescentes no ambiente digital, tratamento de dados pessoais pelo setor público e inteligência artificial e tecnologias emergentes. A Resolução nº 31/2025 atualizou a Agenda Regulatória, que inclui temas como relatório de impacto, biometria e reconhecimento facial, cookies e rastreamento, decisões automatizadas e regras derivadas do ECA Digital.
Consentimento é sempre necessário para tratar dados pessoais?
Não — e tratá-lo como padrão é um dos erros mais frequentes. O consentimento é apenas uma das dez bases legais do art. 7º, e costuma ser a mais frágil: pode ser revogado a qualquer momento, e a revogação obriga a eliminar os dados tratados sob ele. Para cadastro de cliente, faturamento e suporte, a base natural é a execução de contrato; para retenção fiscal e trabalhista, o cumprimento de obrigação legal; para prevenção a fraudes, o legítimo interesse, com teste de balanceamento documentado. Para dados sensíveis, o rol do art. 11 é mais estreito e o consentimento, quando usado, precisa ser específico e destacado.
Qual é a multa máxima da LGPD?
A multa simples pode chegar a 2% do faturamento da empresa, grupo ou conglomerado no Brasil no seu último exercício, limitada a R$ 50 milhões por infração. Como o limite é por infração, um mesmo processo pode acumular valores. O cálculo segue a Resolução CD/ANPD nº 4/2023, que classifica as infrações em leves, médias e graves e pondera atenuantes e agravantes — entre eles a existência de política de boas práticas e governança e a pronta adoção de medidas corretivas. Além da multa, o art. 52 prevê publicização da infração, bloqueio e eliminação de dados, suspensão do banco de dados e até proibição do exercício da atividade de tratamento.
Em resumo
A LGPD mudou de fase. O arcabouço normativo está praticamente completo — encarregado, incidentes, transferência internacional e dosimetria já têm resolução própria —, a ANPD tem agora estrutura de agência reguladora e a fiscalização deixou de ser hipótese. Os quatro focos declarados para 2026-2027 são conhecidos, e os primeiros processos em massa foram abertos por falhas elementares: encarregado não indicado e canal de atendimento ao titular inexistente.
Para a maioria das organizações, o caminho não passa por sofisticação jurídica, mas por rotina: registro de operações atualizado, base legal atribuída, canal do titular funcionando, incidentes com fluxo testado, fornecedores mapeados e evidências guardadas. É trabalho contínuo — e é exatamente por isso que ele precisa estar em uma estrutura que sobreviva à rotatividade das planilhas.
Fontes oficiais: texto consolidado da Lei nº 13.709/2018 e portal da ANPD. Conteúdo atualizado em agosto de 2026; a Agenda Regulatória da ANPD segue em curso, e novas resoluções podem alterar prazos e obrigações descritos neste artigo.
