Advogado de LGPD e proteção de dados em Londrina

A adequação costuma seguir etapas encadeadas. A primeira é o diagnóstico, com mapeamento dos fluxos de dados: quais informações são coletadas, por quais canais, com que finalidade, quem tem acesso, com quem são compartilhadas e por quanto tempo são retidas. Esse levantamento resulta no registro das operações de tratamento.

A segunda etapa é a análise de conformidade, que identifica a base legal de cada tratamento, avalia riscos e aponta lacunas. Nem todo tratamento depende de consentimento: a lei prevê outras bases, como execução de contrato, cumprimento de obrigação legal e legítimo interesse, sendo a escolha equivocada da base um dos erros mais frequentes.

A terceira envolve implementação: políticas de privacidade e de retenção, ajustes contratuais com fornecedores, controles de acesso, medidas de segurança, procedimento de atendimento a titulares, plano de resposta a incidentes e treinamento das equipes. A quarta é a manutenção, com revisões periódicas, já que a conformidade é contínua e não se esgota em um documento publicado no site.

O encarregado pelo tratamento de dados pessoais, também chamado de DPO, é a pessoa indicada para atuar como canal de comunicação entre a organização, os titulares de dados e a Agência Nacional de Proteção de Dados (ANPD), conforme a Resolução CD/ANPD 18/2024. Suas atribuições incluem receber reclamações, prestar esclarecimentos, orientar as equipes e adotar providências junto à ANPD. A lei exige a indicação pelo controlador, e a identidade e o contato do encarregado devem ser divulgados publicamente, geralmente no site da organização. Para agentes de pequeno porte, a regulamentação flexibilizou a obrigatoriedade, mantendo, porém, a necessidade de um canal de comunicação acessível aos titulares. A função pode ser exercida por pessoa natural ou jurídica, interna ou externa. A contratação externa costuma ser adotada por organizações que não dispõem de estrutura própria de privacidade, permitindo cumprir a exigência com apoio técnico especializado. O ponto essencial é que o encarregado tenha acesso efetivo às informações e autonomia para atuar.

A lei prevê um conjunto gradual de sanções administrativas aplicáveis pela Agência Nacional de Proteção de Dados (ANPD), iniciando por advertência com prazo para adoção de medidas corretivas. Há ainda multa simples, limitada a percentual do faturamento com teto por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos. Em situações mais graves, admite-se a suspensão parcial ou total do funcionamento do banco de dados e da atividade de tratamento, medida com potencial de interromper operações que dependem dessas informações. A dosimetria considera gravidade, boa-fé, vantagem obtida, condição econômica, reincidência, cooperação e a existência de política de boas práticas. Além da esfera administrativa, permanecem as responsabilidades civil e consumerista, com possibilidade de ações individuais e coletivas movidas por titulares, associações e Ministério Público. Na prática, a existência de um programa de conformidade documentado costuma ser considerada como atenuante, o que reforça o valor da adequação preventiva. As sanções administrativas podem ser aplicadas desde 01/08/2021 (Lei 14.010/2020), e a dosimetria segue o regulamento da ANPD (Resolução CD/ANPD 4/2023).

A resposta a incidentes tem etapas definidas. A primeira é a contenção técnica, com interrupção do vetor de exposição, preservação de evidências e registro cronológico do ocorrido. A segunda é a avaliação, que dimensiona quais dados foram atingidos, quantos titulares foram afetados e qual o risco concreto de dano. A partir dessa análise, define-se o dever de comunicação. Incidentes que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à Agência Nacional de Proteção de Dados (ANPD) e aos afetados, em regra em até 3 dias úteis, na forma da Resolução CD/ANPD 15/2024, com descrição dos dados envolvidos, das medidas adotadas e dos riscos identificados. A terceira etapa é corretiva: eliminar a vulnerabilidade, revisar controles de acesso, ajustar contratos com fornecedores envolvidos e documentar todo o processo. Essa documentação é relevante não apenas para a apuração administrativa, mas também para demonstrar diligência em eventuais demandas judiciais movidas pelos titulares afetados. Também é recomendável definir previamente quem integra o comitê de resposta e quais são os canais de acionamento, pois improvisar essa estrutura durante o incidente costuma atrasar decisões críticas.

O Regulamento Geral de Proteção de Dados europeu tem alcance extraterritorial. Ele pode alcançar organizações estabelecidas fora da União Europeia quando estas oferecem bens ou serviços a titulares situados no bloco, ainda que gratuitamente, ou quando monitoram o comportamento dessas pessoas, hipótese que abrange práticas de rastreamento e perfilamento online.

O simples fato de um site brasileiro ser acessível na Europa não basta para atrair a aplicação da norma. São considerados indícios de direcionamento elementos como idioma, moeda, opções de entrega para países do bloco, domínio local e campanhas publicitárias voltadas àquele público.

Configurada a incidência, surgem obrigações adicionais, entre elas a eventual designação de representante na União Europeia, prazos próprios para notificação de incidentes, avaliações de impacto e regras específicas para transferência internacional de dados. Empresas com operações de exportação, comércio eletrônico internacional ou clientes europeus costumam ser as mais afetadas por esse conjunto de exigências. Convém observar que a adequação à legislação brasileira não implica automaticamente conformidade com o regulamento europeu, já que há exigências e prazos que não encontram correspondência exata entre as duas normas.

Em 3 dias úteis, contados de quando o controlador sabe que o incidente afetou dados pessoais, tanto para a Agência Nacional de Proteção de Dados (ANPD), denominação dada pela Lei 15.352/2026, quanto para os titulares, com prazo em dobro para agentes de pequeno porte (Lei 13.709/2018, art. 48; Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). A comunicação é obrigatória quando o incidente pode afetar significativamente direitos dos titulares e envolve dados sensíveis, financeiros, de autenticação ou protegidos por sigilo, dados de crianças, adolescentes ou idosos, ou dados em larga escala (art. 5º da resolução). As informações podem ser complementadas em 20 dias úteis (art. 6º, § 3º). Todo incidente, mesmo não comunicado, deve ser registrado, e o registro, mantido por no mínimo 5 anos (art. 10).

Sim. A Resolução CD/ANPD nº 2/2022 criou regime diferenciado para agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte, microempreendedores individuais e startups. Eles não são obrigados a indicar encarregado, desde que mantenham canal de comunicação com os titulares (art. 11); podem manter registro simplificado das operações (art. 9º) e política simplificada de segurança da informação (art. 13); e têm prazos em dobro para atender titulares e comunicar incidentes (art. 14). O benefício não alcança quem faz tratamento de alto risco, quem supera o limite de receita bruta da Lei Complementar 123/2006 ou integra grupo econômico que o ultrapasse (art. 3º). Bases legais, princípios e direitos dos titulares continuam obrigatórios (art. 6º), como mostra o roteiro sobre como as empresas devem se adequar à LGPD.

O legítimo interesse é uma das bases legais da LGPD (Lei 13.709/2018, art. 7º, IX) e pode amparar finalidades concretas, como apoio e promoção das atividades do controlador ou serviços que beneficiem o titular, respeitadas suas legítimas expectativas (art. 10). Só podem ser tratados os dados estritamente necessários, com transparência, e a ANPD pode solicitar relatório de impacto (art. 10, §§ 1º a 3º). O guia orientativo da ANPD sobre o tema, de fevereiro de 2024, recomenda documentar um teste de balanceamento em três fases: finalidade, necessidade e balanceamento com salvaguardas. Essa base não vale para dados sensíveis, cujas hipóteses estão no art. 11, nem quando prevalecem direitos e liberdades fundamentais do titular. A lei exige registro das operações, especialmente das baseadas no legítimo interesse (art. 37).

Consentimento é a manifestação livre, informada e inequívoca do titular para uma finalidade determinada (Lei 13.709/2018, art. 5º, XII). Deve ser dado por escrito ou por outro meio que demonstre a vontade; se constar de contrato, em cláusula destacada; e cabe ao controlador provar que o obteve corretamente (art. 8º, §§ 1º e 2º). Autorizações genéricas são nulas, e o titular pode revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado (art. 8º, §§ 4º e 5º). Também é nulo o consentimento colhido com informações enganosas, abusivas ou pouco claras (art. 9º, § 1º). Para dados sensíveis, ele deve ser específico e destacado (art. 11, I). O tema é aprofundado no artigo sobre consentimento para tratamento de dados pessoais.

Sim, sempre que coleta dados pessoais, o que inclui formulários, cadastros e cookies capazes de identificar o visitante. A LGPD exige informação clara, adequada e ostensiva sobre finalidade, forma e duração do tratamento, identificação e contato do controlador, uso compartilhado, responsabilidades dos agentes e direitos do titular (Lei 13.709/2018, art. 9º), conteúdo normalmente reunido na política de privacidade. Quanto aos cookies, o guia orientativo da ANPD de 2022 indica que os estritamente necessários podem se apoiar no legítimo interesse, enquanto, para os de publicidade, o consentimento tende a ser a base mais apropriada. O mesmo guia recomenda banner com botão para rejeitar todos os cookies não necessários e desaconselha deixá-los ativados por padrão ou oferecer apenas a opção de aceitar.

São os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, saúde, vida sexual, dados genéticos e biométricos (Lei 13.709/2018, art. 5º, II). Seu tratamento só é permitido com consentimento específico e destacado ou, sem ele, nas hipóteses indispensáveis do art. 11, como cumprimento de obrigação legal, exercício regular de direitos, tutela da saúde e prevenção à fraude em processos de identificação e autenticação. O legítimo interesse não se aplica a esses dados. É vedado compartilhar dados de saúde para obter vantagem econômica, salvo as exceções legais (art. 11, § 4º). Clínicas, laboratórios, academias, empresas com ponto biométrico e setores de recursos humanos costumam tratar esse tipo de dado.

O tratamento deve atender ao melhor interesse da criança e do adolescente (Lei 13.709/2018, art. 14). Para crianças, a lei prevê consentimento específico e em destaque de ao menos um dos pais ou do responsável, mas o Enunciado CD/ANPD nº 1/2023 admite as demais bases legais dos arts. 7º e 11, desde que prevaleça seu melhor interesse, avaliado no caso concreto. É vedado condicionar a participação em jogos e aplicativos ao fornecimento de dados além dos necessários (art. 14, § 4º). Desde 17/03/2026, o Estatuto Digital da Criança e do Adolescente (Lei 15.211/2025), fiscalizado pela ANPD, exige dos serviços digitais direcionados a esse público ou de provável acesso por ele a configuração mais protetiva de privacidade por padrão e proíbe o perfilamento para publicidade comercial (arts. 1º, 7º e 22).

Fornecedores que tratam dados em nome da empresa, como contabilidade, folha de pagamento, sistemas em nuvem e agências de marketing, atuam em regra como operadores, e a contratante, como controladora (Lei 13.709/2018, art. 5º, VI e VII). O operador deve seguir as instruções do controlador, que verifica seu cumprimento (art. 39), e responde solidariamente pelos danos se descumprir a lei ou essas instruções lícitas (art. 42, § 1º, I). Por isso, convém prever em contrato a finalidade, as medidas de segurança, a confidencialidade, o aviso imediato de incidentes, a subcontratação e a devolução ou eliminação dos dados ao fim da relação. O assunto se liga às cláusulas essenciais dos contratos de prestação de serviços entre empresas.

A relação de trabalho envolve várias bases legais: execução do contrato e procedimentos preliminares, como a seleção (Lei 13.709/2018, art. 7º, V), e cumprimento de obrigações legais, como registros, folha e controle de jornada (art. 7º, II). Exames ocupacionais exigidos pela CLT (art. 168) envolvem dados de saúde, que são sensíveis e se apoiam no cumprimento de obrigação legal (art. 11, II, a). Vale o princípio da necessidade: coleta-se apenas o pertinente à finalidade (art. 6º, III). Exigir teste ou atestado de gravidez ou de esterilização é crime (Lei 9.029/1995, art. 2º, I). Currículos não aproveitados não devem ser guardados sem finalidade e prazo definidos, enquanto documentos trabalhistas podem ser conservados para cumprir obrigações legais (art. 16, I).

Enquanto forem necessários à finalidade que justificou a coleta. O tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários, quando acaba o período previsto, quando o titular revoga o consentimento ou por determinação da ANPD (Lei 13.709/2018, art. 15). Encerrado o tratamento, os dados devem ser eliminados, admitida a conservação para cumprir obrigação legal ou regulatória, como a guarda de documentos fiscais e trabalhistas, para estudo por órgão de pesquisa, para transferência a terceiro nos termos da lei ou para uso exclusivo do controlador, desde que anonimizados (art. 16). Na prática, convém manter uma tabela de temporalidade que indique, para cada categoria de dado, o prazo de guarda e o fundamento correspondente.

A confirmação de existência de tratamento ou o acesso aos dados devem ser fornecidos imediatamente, em formato simplificado, ou por declaração clara e completa, com origem dos dados, critérios e finalidade, em até 15 dias do requerimento (Lei 13.709/2018, art. 19). Agentes de pequeno porte têm até 15 dias para a versão simplificada e prazo em dobro para a completa (Resolução CD/ANPD nº 2/2022, arts. 14 e 15). O atendimento é gratuito e, se não for possível agir de imediato, o controlador deve responder indicando as razões ou o agente responsável (art. 18, §§ 4º e 5º). Sem solução, o titular pode peticionar à ANPD, comprovando a reclamação prévia ao controlador (Resolução CD/ANPD nº 1/2021, art. 25, § 1º). Veja também os principais direitos dos titulares de dados pessoais.

Sim, desde que a transferência se enquadre em um dos mecanismos do art. 33 da Lei 13.709/2018, como destino com proteção adequada reconhecida pela ANPD, cláusulas-padrão contratuais, normas corporativas globais ou consentimento específico. A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão, que devem ser adotadas integralmente e sem alteração, e fixou prazo, já encerrado, para incorporá-las aos contratos em curso. Pela Resolução CD/ANPD nº 32/2026, de 26/01/2026, a União Europeia e os países do Espaço Econômico Europeu são considerados adequados, e a Comissão Europeia adotou decisão recíproca de adequação do Brasil com base no GDPR, o que facilita o fluxo de dados nos dois sentidos. As demais diferenças estão no artigo sobre LGPD brasileira e GDPR europeu.

O relatório documenta tratamentos que podem gerar riscos às liberdades civis e aos direitos fundamentais, com as medidas de mitigação (Lei 13.709/2018, art. 5º, XVII). A lei não o exige sempre: a ANPD pode determiná-lo ao controlador, inclusive quanto a dados sensíveis (art. 38), solicitá-lo quando o tratamento se basear no legítimo interesse (art. 10, § 3º) e após incidente de segurança (Resolução CD/ANPD nº 15/2024, art. 8º). Deve descrever, no mínimo, os tipos de dados coletados, a metodologia de coleta e de segurança e a análise das salvaguardas adotadas (art. 38, parágrafo único). Como referência, a Resolução CD/ANPD nº 2/2022 (art. 4º) considera de alto risco o tratamento em larga escala ou de impacto significativo com tecnologias inovadoras, vigilância de áreas públicas, decisões automatizadas ou dados sensíveis.

A Resolução CD/ANPD nº 18/2024 exige que o encarregado seja indicado por ato formal, escrito, datado e assinado, com as atividades a desempenhar, e que haja substituto para ausências e impedimentos (arts. 3º e 4º). Nome e contato devem ser divulgados em local de destaque no site (art. 9º), e ele deve se comunicar em língua portuguesa (art. 13). Pode acumular funções e atender a mais de um agente de tratamento, desde que consiga cumprir suas atribuições e não haja conflito de interesse, cuja verificação pode levar a sanção ao agente (art. 19). O exercício da função não transfere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento, que continua sendo do controlador (art. 17).