O que é LGPD: significado e resumo da Lei Geral de Proteção de Dados

LGPD é a sigla de Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018, que diz quando empresas, órgãos públicos e profissionais podem coletar, guardar, usar e compartilhar informações que identificam uma pessoa no Brasil, e que direitos essa pessoa tem sobre elas. A maior parte da lei vale desde 18 de setembro de 2020, as multas desde agosto de 2021, e quem fiscaliza é a ANPD, hoje chamada Agência Nacional de Proteção de Dados. Para levar o assunto para a rotina de trabalho, o curso de LGPD Essencial é gratuito e tem 18 aulas curtas.

O que significa LGPD e para que a lei serve

O nome oficial da Lei 13.709, sancionada em 14 de agosto de 2018, é Lei Geral de Proteção de Dados Pessoais. A sigla LGPD entrou no próprio texto em 2019, quando a Lei 13.853 incluiu esse nome na ementa. O art. 1º resume a finalidade: proteger os direitos de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Na prática, a lei faz duas coisas ao mesmo tempo. Dá à pessoa direitos sobre as informações que falam dela e cobra de quem usa essas informações um motivo previsto em lei, o uso só do necessário e a proteção contra vazamento.

O "Geral" do nome indica que a mesma regra vale para todos os setores: comércio, saúde, escolas, bancos, aplicativos e poder público. Antes dela, as normas sobre dados estavam espalhadas em leis setoriais, como o Código de Defesa do Consumidor e o Marco Civil da Internet, que a própria LGPD alterou. Em 2022, a Emenda Constitucional 115 colocou a proteção de dados pessoais entre os direitos fundamentais do art. 5º da Constituição, no inciso LXXIX.

A lei alcança qualquer operação com dados pessoais feita por pessoa física ou jurídica, pública ou privada, em qualquer meio, desde que a operação aconteça no Brasil, tenha o objetivo de oferecer produtos ou serviços a quem está no país ou trate dados coletados aqui (art. 3º). Uma loja estrangeira que vende para brasileiros também precisa seguir a LGPD, mesmo com os servidores em outro país. Ficam fora da lei, pelo art. 4º:

• o uso feito por pessoa física para fins exclusivamente particulares e não econômicos, como a agenda do celular;
• o tratamento feito exclusivamente para fins jornalísticos ou artísticos;
• o tratamento para fins exclusivamente acadêmicos, com uma ressalva: as bases legais dos arts. 7º e 11 continuam valendo;
• segurança pública, defesa nacional, segurança do Estado e investigação de crimes, que dependem de lei específica;
• dados vindos do exterior que não são compartilhados com agentes brasileiros nem repassados a um terceiro país, desde que o país de origem tenha proteção adequada.

Para ver essa lógica do lado de quem atende cliente, preenche cadastro ou manda planilha, a aula O que é a LGPD e o que muda no seu trabalho explica com exemplos de escritório o que conta como tratamento de dados.

Linha do tempo: quando a LGPD entrou em vigor

A lei foi sancionada em 2018, mas não passou a valer de uma vez. A tabela reúne as datas que importam, conferidas no texto compilado da lei no Planalto e nas normas da ANPD.

Duas datas costumam confundir. O texto, já alterado em 2019, previa vigência 24 meses depois da publicação, o que daria agosto de 2020, mas a Medida Provisória 959/2020 tentou adiar tudo para maio de 2021. Esse adiamento caiu quando a MP foi convertida na Lei 14.058/2020, e a LGPD passou a valer em 18 de setembro de 2020, a data que a própria ANPD usa. Já as multas ficaram para 1º de agosto de 2021 por causa da Lei 14.010/2020, aprovada no começo da pandemia.

Resumo da Lei 13.709 por capítulo

A LGPD tem 65 artigos numerados, além de artigos com letra, como os 55-A a 55-L sobre a ANPD, distribuídos em dez capítulos. Quem precisa achar um ponto específico no texto do Planalto economiza tempo com este mapa:

O que é dado pessoal, dado sensível e dado anonimizado

Pelo art. 5º, I, dado pessoal é a informação relacionada a pessoa natural identificada ou identificável. O "identificável" pesa muito, porque não precisa ser o nome. Um número de pedido ligado a uma conta, a placa de um carro, a foto de um rosto, a localização do celular ou o endereço IP associado a um cliente levam até alguém, e por isso contam. Dado de pessoa jurídica, como razão social e endereço da sede, fica de fora: a lei protege a pessoa natural.

Dentro desse conjunto, o art. 5º, II, separa os dados pessoais sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. São os dados que mais expõem a pessoa a discriminação, e têm regra de tratamento própria no art. 11, mais fechada que a do dado comum.

No outro extremo está o dado anonimizado (art. 5º, III), que não permite identificar a pessoa com os meios técnicos razoáveis disponíveis. Pelo art. 12, dado anonimizado não é dado pessoal, salvo se a anonimização puder ser revertida com esforço razoável. Não confunda com pseudonimização (art. 13, § 4º), que troca o nome por um código mas guarda a chave em outro lugar. Como dá para voltar à pessoa, o dado pseudonimizado continua pessoal.

Tratar dados, no vocabulário da lei, é quase tudo o que se faz com eles. O art. 5º, X, lista coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle, modificação, comunicação, transferência, difusão e extração. Consultar uma ficha, imprimir uma lista e apagar um arquivo também são tratamento.

No curso, a aula Dados pessoais: o que são e onde eles estão mostra onde esses dados ficam numa empresa (planilha, e-mail, grupo de WhatsApp, papel), e a aula Dados sensíveis: por que exigem cuidado redobrado traz os casos de RH, financeiro e atendimento em que o dado sensível aparece sem ninguém perceber, como o atestado médico que circula no grupo do setor.

Quais são os princípios da LGPD

O art. 6º manda observar a boa-fé e dez princípios. Eles valem para toda operação, com qualquer base legal, e são o critério usado quando nenhuma regra específica resolve o caso.

Finalidade e necessidade resolvem boa parte das dúvidas do dia a dia. Se a empresa pegou o e-mail do cliente para mandar a nota fiscal, usar a mesma lista numa promoção que ele nunca pediu esbarra na finalidade. Se o formulário de orçamento pede renda e estado civil sem precisar, esbarra na necessidade. A aula Os princípios da LGPD no dia a dia transforma cada princípio numa pergunta curta para fazer antes de pedir ou usar um dado.

As 10 bases legais do art. 7º, com um exemplo de cada

O art. 7º diz que o tratamento de dados pessoais somente poderá ser realizado em dez hipóteses, chamadas de bases legais. Sem uma delas, o uso é irregular, por melhor que seja a intenção. A escolha vem antes da coleta e limita o que a empresa pode fazer depois: um dado coletado para cumprir um contrato não vira dado de marketing por conta própria.

O consentimento tem regras próprias. Pelo art. 5º, XII, e pelo art. 8º, ele precisa ser uma manifestação livre, informada e inequívoca, para uma finalidade determinada, e, se vier por escrito, numa cláusula destacada. Autorização genérica é nula, o titular pode revogar a qualquer momento por procedimento gratuito e facilitado, e é a empresa que precisa provar que obteve o consentimento do jeito certo. Por isso ele serve bem para marketing e cadastro opcional, e mal para o que a empresa não pode deixar de fazer, como emitir nota fiscal.

O legítimo interesse é a base mais flexível e a que mais pede cuidado. O art. 10 só aceita essa base para finalidades legítimas em situações concretas, com os dados estritamente necessários e com transparência para o titular, e a ANPD pode pedir um relatório de impacto a quem se apoia nela. Quando os direitos e as liberdades do titular pesam mais que o interesse da empresa, a base não vale.

Dado público também não é dado livre. O § 3º do art. 7º manda respeitar a finalidade, a boa-fé e o interesse público que justificaram a divulgação, e o § 4º dispensa o consentimento para dados que o próprio titular tornou manifestamente públicos, sem dispensar os princípios nem os direitos dele. Copiar telefones de um site para montar uma lista de vendas não fica permitido só porque os números estavam na internet.

Quem trabalha com atendimento, vendas ou RH encontra na aula Bases legais: por que você pode tratar um dado as quatro bases que mais aparecem na rotina (consentimento, contrato, obrigação legal e legítimo interesse) e os sinais de que é hora de parar e pedir orientação.

E quando o dado é sensível ou de criança?

Para dado sensível, a lista muda. O art. 11 admite oito hipóteses, a mesma contagem que a ANPD usa:

1. consentimento do titular ou do responsável legal, de forma específica e destacada, para finalidades específicas;
2. cumprimento de obrigação legal ou regulatória;
3. execução de políticas públicas pela administração pública;
4. estudos por órgão de pesquisa, com anonimização sempre que possível;
5. exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral;
6. proteção da vida ou da incolumidade física;
7. tutela da saúde, só por profissionais de saúde, serviços de saúde ou autoridade sanitária;
8. prevenção à fraude e segurança do titular na identificação e na autenticação de cadastro em sistemas eletrônicos.

Repare no que saiu da lista: legítimo interesse e proteção do crédito não servem para dado sensível, e o contrato aparece só como exercício regular de direitos. Na academia com catraca por digital ou na clínica com prontuários, esse corte pesa: o cuidado tem de ser maior que o de um cadastro de clientes comum.

Dados de crianças e adolescentes seguem o art. 14, que exige o melhor interesse deles em qualquer tratamento. O § 1º fala em consentimento específico e em destaque de pelo menos um dos pais ou do responsável para dados de crianças. Em 2023, a ANPD fixou no Enunciado CD/ANPD nº 1 que o tratamento de dados de crianças e adolescentes pode usar as hipóteses dos arts. 7º e 11, desde que o melhor interesse deles prevaleça no caso concreto.

Quais são os direitos do titular e em quanto tempo a empresa responde

Titular é a pessoa natural a quem os dados se referem (art. 5º, V). O art. 18 dá a ela o direito de obter do controlador, a qualquer momento e mediante pedido, as providências da tabela, cada uma com o jeito como o pedido costuma chegar:

O art. 20 acrescenta o direito de pedir a revisão de uma decisão tomada só por sistema automatizado que afete os interesses do titular, como uma nota de crédito ou um perfil de consumo, e de receber informação clara sobre os critérios usados, respeitado o segredo comercial.

Os prazos estão no art. 19. A confirmação de que existe tratamento e o acesso em formato simplificado devem sair imediatamente. A declaração clara e completa, com a origem dos dados, os critérios e a finalidade, sai em até 15 dias do pedido, em meio eletrônico ou impresso, à escolha do titular. O atendimento é gratuito (art. 18, § 5º), e quando a empresa não pode atender na hora precisa responder dizendo que não é a controladora ou quais razões impedem a providência (art. 18, § 4º). MEI e pequenas empresas têm prazos próprios, explicados no checklist da LGPD para pequenas empresas e MEI.

Nenhum desses direitos é absoluto. O pedido de exclusão não obriga a apagar o que a empresa precisa manter por obrigação legal ou regulatória, porque o art. 16 autoriza a conservação nesses casos: nota fiscal e dados de folha de pagamento continuam guardados pelo prazo da lei. A aula Quem é o titular e quais são seus direitos mostra como esses pedidos chegam de verdade: pelo atendimento, pelo vendedor, pela recepção, quase nunca pelo departamento jurídico.

Controlador, operador e encarregado: quem faz o quê

A LGPD chama de agentes de tratamento o controlador e o operador (art. 5º, IX). Controlador é quem toma as decisões sobre o tratamento. Operador é quem trata os dados em nome do controlador, seguindo as instruções dele (art. 5º, VI e VII, e art. 39). Encarregado é a pessoa indicada para ser o canal de comunicação entre o controlador, os titulares e a ANPD (art. 5º, VIII).

Numa loja virtual, por exemplo, a loja é a controladora dos dados dos clientes. A plataforma de e-mail marketing contratada para disparar a newsletter é operadora. O encarregado é a pessoa, ou a empresa, que atende os pedidos dos clientes e as comunicações da ANPD. Se a operadora descumprir a lei ou as instruções lícitas da loja, responde junto pelos danos (art. 42, § 1º, I).

O art. 41 lista as tarefas do encarregado: aceitar reclamações dos titulares, receber comunicações da ANPD, orientar os funcionários e cumprir outras atribuições definidas pelo controlador. A Resolução CD/ANPD nº 18/2024 detalhou a função. O encarregado pode ser funcionário, pessoa externa ou empresa, não precisa de certificação nem de inscrição em entidade, e nome e contato ficam publicados em destaque no site. Agentes de pequeno porte podem deixar de indicar encarregado, desde que mantenham um canal de comunicação com o titular.

Além de escolher a base legal e atender os titulares, o controlador tem deveres fixos: manter registro das operações de tratamento (art. 37), adotar medidas de segurança (art. 46), elaborar relatório de impacto quando a ANPD determinar (art. 38) e comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48). O regulamento de incidentes (Resolução CD/ANPD nº 15/2024) fixou três dias úteis para essa comunicação, contados de quando a empresa sabe que o incidente atingiu dados pessoais.

Quem percebe o incidente primeiro costuma ser um funcionário, e não o dono da empresa. A aula O que é um incidente e o que fazer na hora ensina a reconhecer o problema e a avisar rápido, que é o que dá tempo à empresa para cumprir esse prazo.

O que é a ANPD e como reclamar de uma empresa

A ANPD é o órgão federal que regulamenta, orienta e fiscaliza a LGPD, e só ela aplica as sanções da lei (art. 55-K). Nasceu como Autoridade Nacional de Proteção de Dados, integrante da Presidência da República. Virou autarquia de natureza especial com a Lei 14.460/2022 e, desde a Medida Provisória 1.317/2025, convertida na Lei 15.352/2026, se chama Agência Nacional de Proteção de Dados. Pelo art. 55-A atual, é vinculada ao Ministério da Justiça e Segurança Pública e tem autonomia funcional, técnica, decisória, administrativa e financeira.

No dia a dia, a ANPD edita regulamentos (fiscalização, pequeno porte, dosimetria de multas, incidentes, encarregado, transferência internacional), publica guias, recebe comunicações de incidente e analisa requerimentos. Os requerimentos são de dois tipos: a petição de titular, feita por quem teve um pedido ignorado pela empresa, e a denúncia, que qualquer pessoa pode apresentar sobre uma suposta infração. Para reclamar, siga esta ordem:

1. Faça o pedido à empresa pelo canal de privacidade, pelo encarregado ou pelo SAC, e guarde o número de protocolo ou o print da mensagem.
2. Sem resposta no prazo, apresente a petição de titular nos canais de atendimento da ANPD no gov.br. A Resolução CD/ANPD nº 1/2021 exige a prova do pedido anterior e aceita a sua autodeclaração quando não houver outra prova (art. 25, § 1º).
3. Em relação de consumo, a queixa também pode ir ao Procon (art. 18, § 8º, da LGPD).
4. Para cobrar indenização por dano, o caminho é a Justiça, individual ou coletivamente (arts. 22 e 42).

Multas e sanções da LGPD: o que a empresa arrisca

As sanções administrativas estão no art. 52 e só podem ser aplicadas depois de um processo com direito de defesa. A lista completa:

As três últimas são as mais pesadas e só entram depois de o mesmo caso já ter recebido ao menos uma das sanções dos incisos II a VI (art. 52, § 6º). Para escolher e dosar a pena, a ANPD pesa gravidade, boa-fé, vantagem obtida, condição econômica, reincidência, grau do dano, cooperação, mecanismos internos de prevenção, política de boas práticas, rapidez na correção e proporcionalidade (art. 52, § 1º). O Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023) põe isso em números: classifica a infração como leve, média ou grave e aplica agravantes, como a reincidência, e atenuantes, como parar a infração antes de a ANPD abrir procedimento, o que reduz a multa em 75%.

A primeira multa da ANPD saiu em julho de 2023, contra a Telekall Infoservice, uma microempresa que oferecia listas de contatos de WhatsApp de eleitores para campanha na eleição municipal de 2020 em Ubatuba (SP). Foram uma advertência por não ter encarregado e duas multas de R$ 7.200, uma por tratar dados sem base legal e outra por não atender às requisições da fiscalização: R$ 14.400 no total. Ser microempresa não impediu a sanção.

Fora da ANPD, o descumprimento custa em outras frentes. A empresa responde por dano patrimonial ou moral causado ao titular (art. 42), as regras do Código de Defesa do Consumidor continuam valendo nas relações de consumo (art. 45) e o art. 52, § 2º, deixa claro que as sanções da LGPD não substituem as de outras leis.

O que a LGPD não é: sete mitos comuns

Sete ideias erradas aparecem com frequência em conversa de empresa:

• "A lei só vale para a internet." O art. 1º fala em dados inclusive nos meios digitais, e o art. 5º, IV, inclui bancos de dados em suporte físico. Ficha de papel, caderno de encomendas e currículo impresso entram.
• "Sem consentimento, nada pode." O consentimento é uma das dez bases legais e muitas vezes nem é a mais adequada: a nota fiscal se apoia em obrigação legal, a entrega se apoia no contrato.
• "MEI e pequena empresa estão fora." A lei não isenta por porte. A ANPD criou regras simplificadas, mas bases legais, princípios e direitos continuam valendo.
• "Dado público pode ser usado à vontade." O art. 7º, §§ 3º e 4º, exige respeitar a finalidade e a boa-fé da divulgação, e os direitos do titular continuam de pé.
• "A LGPD proíbe pedir CPF." A lei não proíbe nenhum dado específico. Ela exige motivo previsto em lei e só o necessário para a finalidade.
• "Pediu exclusão, tem de apagar tudo na hora." O art. 16 permite guardar o que a lei manda guardar, como documentos fiscais e trabalhistas.
• "Trocar o nome por um código deixa o dado anônimo." Isso é pseudonimização: enquanto existir a chave para voltar à pessoa, o dado continua pessoal.

Para testar se essas ideias ficaram claras, a aula Simulado: situações reais do dia a dia traz seis cenários de trabalho, como o atestado no grupo de WhatsApp e o e-mail enviado ao cliente errado, com a forma certa de agir em cada um.

Limites deste guia

Este conteúdo é educativo e resume o texto compilado da Lei 13.709/2018 no Planalto e as normas da ANPD em vigor em setembro de 2026. Não é parecer jurídico. Caso concreto, como escolher a base legal de um tratamento novo, responder a uma fiscalização ou avaliar um incidente, é assunto para um advogado ou para o encarregado da sua empresa. O curso de LGPD Essencial segue a mesma linha: explica a lei do ponto de vista técnico e operacional, para quem lida com dados no trabalho, e deixa a interpretação jurídica para quem tem essa função. A ANPD trabalha com uma agenda regulatória para 2025 e 2026 e ainda vai regulamentar pontos da lei, então confira a norma vigente antes de uma decisão importante.

Conclusão

LGPD é a Lei 13.709/2018, a regra geral sobre dados de pessoas no Brasil. Ela vale para o papel e para o digital, pede uma das dez bases legais para cada uso, dá ao titular direitos com prazo de resposta e coloca a ANPD, hoje Agência Nacional de Proteção de Dados, para fiscalizar e multar. Quem tem um negócio pequeno encontra o passo a passo no checklist da LGPD para pequenas empresas e MEI. Quem quer treinar a equipe tem o curso de LGPD Essencial e os demais cursos gratuitos do ValorFinal. Para a parte técnica, o guia de como criar uma senha forte e as ferramentas de tecnologia ajudam, e a página como validamos os cálculos explica como o portal escolhe e confere as fontes.

Fontes oficiais

• Lei nº 13.709/2018 (LGPD), texto compilado (Planalto): a lei com todas as alterações, inclusive as de 2026.
• Agência Nacional de Proteção de Dados (ANPD): regulamentos, guias, petição de titular e denúncia.
• Lei nº 15.352/2026 (Planalto): dá à ANPD o nome de Agência Nacional de Proteção de Dados.
• Emenda Constitucional nº 115/2022 (Planalto): inclui a proteção de dados pessoais entre os direitos fundamentais.
• Resolução CD/ANPD nº 4/2023, Regulamento de Dosimetria (Diário Oficial da União): como a ANPD calcula as multas.
• ANPD, comunicado sobre a primeira sanção aplicada (2023): o caso da microempresa multada em R$ 14.400.