O que é a LGPD: fundamentos, agentes e a quem a lei se aplica
Antes de adequar a empresa, vale entender do que a LGPD trata, quais dados ela protege e quem tem responsabilidade sobre eles.
A LGPD é a Lei nº 13.709/2018, a lei brasileira que define como dados pessoais podem ser tratados. Ela se inspira no regulamento europeu de proteção de dados, o GDPR, e trouxe para o Brasil um conjunto de princípios, direitos e obrigações que valem para empresas privadas e para o poder público. Está em vigor desde setembro de 2020, com sanções a partir de agosto de 2021.
Entender a LGPD começa por três perguntas simples: o que ela protege, quem tem responsabilidade e a quem ela se aplica. Este guia responde a essas perguntas em linguagem clara, para servir de base antes de entrar nos passos práticos da adequação.
O que conta como dado pessoal
Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa natural. O óbvio entra na conta: nome, CPF, e-mail, telefone, endereço. O menos óbvio também: um endereço IP, um identificador de dispositivo, um dado de geolocalização ou a combinação de informações que, juntas, apontam para alguém. O critério é a capacidade de identificar, direta ou indiretamente.
Uma parte dos dados recebe proteção reforçada. São os dados pessoais sensíveis, que revelam origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados sobre saúde ou vida sexual, além de dados genéticos e biométricos. Tratar dado sensível exige uma base legal específica, listada no artigo 11, mais restrita que a lista geral, porque o potencial de discriminação é maior.
- Dado pessoal: identifica ou pode identificar uma pessoa
- Dado sensível: saúde, biometria, religião, opinião política e afins
- Dado anonimizado: perde o vínculo com a pessoa e sai do escopo, se a anonimização for real
- Tratamento: qualquer operação com o dado, da coleta ao descarte
Os princípios que orientam a lei
Antes das regras específicas, a LGPD estabelece princípios no artigo 6 que orientam todo tratamento de dados. Eles funcionam como uma bússola: quando a lei não dá uma resposta pronta para um caso, os princípios indicam o caminho. Entendê-los ajuda a tomar decisões coerentes em situações que nenhum manual previu.
- Finalidade: tratar dados para propósitos legítimos, específicos e informados ao titular
- Adequação e necessidade: coletar só o que a finalidade exige, sem excesso
- Livre acesso e qualidade: garantir consulta fácil e dados exatos e atualizados
- Transparência: informar de forma clara como os dados são tratados
- Segurança e prevenção: proteger os dados e agir para evitar danos
- Não discriminação: não tratar dados para fins discriminatórios ilícitos
- Responsabilização e prestação de contas: demonstrar que as medidas foram adotadas
O princípio da necessidade tem efeito prático direto na segurança: quanto menos dado a empresa guarda, menor a superfície que ela precisa proteger e menor o estrago de um eventual vazamento. Já a responsabilização é o que transforma boas intenções em evidência, porque exige conseguir mostrar, com documentos e controles, que a proteção existe de verdade.
Quem são os agentes de tratamento
A LGPD distribui responsabilidades entre papéis. O controlador é quem toma as decisões sobre o tratamento: define por que e como os dados são usados. O operador trata dados em nome do controlador, seguindo as instruções dele, como um fornecedor de nuvem ou uma empresa de folha de pagamento. Uma mesma empresa pode ser controladora de uns dados e operadora de outros.
O encarregado, ou DPO, é a pessoa indicada para ser o canal entre a empresa, os titulares e a ANPD. E o titular é a pessoa a quem os dados se referem, o centro da lei. Entender quem é quem importa porque as obrigações mudam conforme o papel: o controlador responde pelas decisões, o operador responde por seguir as instruções e por segurança.
O papel da ANPD
A Autoridade Nacional de Proteção de Dados é o órgão que fiscaliza e regulamenta a LGPD. Ela edita as resoluções que detalham a lei, orienta empresas e cidadãos, investiga denúncias e aplica as sanções administrativas quando há descumprimento. Pela Lei nº 14.460/2022, a ANPD passou a ser uma autarquia de natureza especial, com autonomia técnica e decisória.
Na prática, boa parte do que uma empresa precisa saber para se adequar está nas resoluções da ANPD, e não só no texto da lei. Regras sobre agentes de pequeno porte, comunicação de incidentes, dosimetria das multas e transferência internacional vêm dessas normas complementares, que a autoridade continua publicando e atualizando.
A quem a LGPD se aplica
A LGPD alcança qualquer operação de tratamento realizada no Brasil, ou que trate dados de pessoas que estão no Brasil, ou que tenha como objetivo oferecer bens e serviços a pessoas no país. Isso vale para empresas privadas de qualquer porte, para o poder público e até para empresas estrangeiras que atendem o mercado brasileiro. Porte pequeno não tira ninguém do alcance da lei.
Existem algumas exceções de escopo. A lei não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares, nem a fins jornalísticos, artísticos ou acadêmicos dentro de certos limites, nem a temas de segurança pública e defesa nacional, que têm regime próprio. Fora dessas hipóteses, a regra é que a LGPD se aplica.
Checklist prático
- Reconhecer quais informações da empresa são dados pessoais
- Identificar se há tratamento de dados sensíveis
- Saber se a empresa é controladora, operadora ou ambos
- Entender o papel do encarregado e do titular
- Confirmar que a operação está no alcance da lei
- Acompanhar as resoluções da ANPD, não só o texto da lei
Boas práticas
- Trate como dado pessoal tudo que possa identificar alguém, direta ou indiretamente
- Dê atenção redobrada aos dados sensíveis e à sua base específica
- Mapeie os papéis da empresa em cada fluxo de dados
- Use as resoluções da ANPD como fonte, além da lei
- Não confunda anonimização real com apenas remover o nome
Erros comuns
Achar que só nome e CPF são dados pessoais
IP, geolocalização e identificadores ficam de fora do controle e do mapeamento.
Tratar dado sensível como dado comum
A empresa usa uma base legal que a lei não permite para esse tipo de dado.
Confundir os papéis de controlador e operador
Responsabilidades e obrigações contratuais ficam mal definidas.
Supor que empresa pequena está fora da LGPD
A empresa ignora obrigações que valem para ela, mesmo com regime flexível.
Quando procurar apoio especializado
Entender os conceitos é o começo; aplicá-los à realidade técnica da empresa é onde a GUARDIASEC ajuda. Mapeamos onde os dados pessoais estão nos sistemas, quem acessa e como estão protegidos, entregando o retrato técnico que o encarregado e o jurídico usam para as decisões de privacidade.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Qual a diferença entre dado pessoal e dado sensível?
Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa. Dado sensível é uma categoria dentro dele, com informações sobre saúde, biometria, religião, opinião política, vida sexual e afins, que recebem proteção reforçada porque o potencial de discriminação é maior. Tratar dado sensível exige uma base legal específica, listada no artigo 11 da LGPD.
Minha empresa é controladora ou operadora?
Depende do fluxo. Controlador é quem decide por que e como os dados são tratados; operador trata dados em nome do controlador, seguindo instruções. Uma empresa costuma ser controladora dos dados dos próprios clientes e funcionários, e operadora quando presta um serviço tratando dados de clientes de outra empresa. É comum acumular os dois papéis.
Dados anonimizados estão sujeitos à LGPD?
Dados verdadeiramente anonimizados, que não permitem mais identificar a pessoa nem por meios razoáveis, ficam fora do escopo da lei. O cuidado é que anonimização real é difícil: só remover o nome, mantendo dados que em conjunto identificam alguém, não anonimiza. Se for possível reverter e reidentificar, o dado continua pessoal e a LGPD se aplica.
A LGPD vale para empresas estrangeiras?
Sim, quando o tratamento ocorre no Brasil, trata dados de pessoas que estão no país ou tem como objetivo oferecer bens e serviços a pessoas no Brasil. Uma empresa sediada fora que atende o mercado brasileiro está sujeita à lei. Isso também afeta as regras de transferência internacional de dados, que a ANPD regulamentou em 2024.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.