A Lei nº 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), estabelece regras para a coleta, o uso, o armazenamento, o compartilhamento e a eliminação de informações relacionadas a pessoas naturais. Inspirada em legislações internacionais, como o Regulamento Geral de Proteção de Dados da União Europeia, a LGPD procura compatibilizar o desenvolvimento econômico e tecnológico com a proteção da liberdade, da privacidade e da personalidade humana.
A relevância da matéria foi reforçada pela Emenda Constitucional nº 115/2022, que incluiu a proteção dos dados pessoais, inclusive nos meios digitais, entre os direitos e garantias fundamentais previstos na Constituição Federal. A emenda também atribuiu à União competência privativa para legislar sobre o tema. Assim, a proteção de dados deixou de ser apenas uma obrigação legal das organizações e passou a possuir inequívoca dimensão constitucional. (Lei nº 13.709/2018; EC nº 115/2022)
Abrangência e conceitos fundamentais
A LGPD aplica-se ao tratamento de dados realizado por pessoas físicas ou jurídicas, públicas ou privadas, em meios digitais ou físicos. Sua incidência não depende necessariamente de a organização estar sediada no Brasil: a lei também pode alcançar agentes estrangeiros quando o tratamento ocorre no território nacional, envolve pessoas aqui localizadas ou utiliza dados coletados no país. “Tratamento” é uma expressão ampla. Abrange praticamente qualquer operação com dados, como coleta, acesso, classificação, reprodução, transmissão, armazenamento, análise, compartilhamento, modificação e eliminação.
A lei diferencia algumas categorias:
- Dado pessoal: informação relacionada a uma pessoa natural identificada ou identificável, como nome, CPF, endereço, localização ou identificadores eletrônicos.
- Dado pessoal sensível: informação sobre origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos vinculados a uma pessoa.
- Dado anonimizado: dado que, considerando os meios técnicos razoáveis disponíveis, não permite identificar seu titular.
- Titular: pessoa natural a quem os dados se referem.
- Controlador: agente que toma as decisões sobre as finalidades e os elementos essenciais do tratamento.
- Operador: agente que trata os dados em nome do controlador.
- Encarregado: pessoa natural ou jurídica que atua como canal de comunicação entre o agente de tratamento, os titulares e a Autoridade Nacional de Proteção de Dados.
A lei contém exceções, entre elas o tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos e determinados tratamentos para fins jornalísticos, artísticos, acadêmicos, de segurança pública, defesa nacional ou investigação criminal. Essas exceções não significam, porém, uma autorização geral para o uso indiscriminado de informações.
Princípios da proteção de dados
A conformidade com a LGPD não depende apenas da existência de uma base legal. O tratamento deve respeitar princípios como:
- Finalidade: existência de propósito legítimo, específico e informado;
- Adequação: compatibilidade entre o uso realizado e a finalidade apresentada;
- Necessidade: utilização apenas dos dados estritamente necessários;
- Livre acesso e transparência: informações claras e acessíveis ao titular;
- Qualidade dos dados: exatidão, clareza e atualização das informações;
- Segurança e prevenção: adoção de medidas contra acessos indevidos, vazamentos e danos;
- Não discriminação: proibição de tratamentos discriminatórios ilícitos ou abusivos;
- Responsabilização e prestação de contas: capacidade de demonstrar a adoção de medidas eficazes de conformidade.
Esses princípios revelam que a LGPD não é somente uma lei de segurança da informação. Mesmo um banco de dados tecnicamente protegido pode estar em desconformidade se as informações forem excessivas, utilizadas para finalidade incompatível ou mantidas por tempo desnecessário.
Bases legais e o papel do consentimento
Um equívoco comum é pensar que todo tratamento exige consentimento. Na realidade, a LGPD prevê diferentes bases legais. Para dados pessoais comuns, incluem-se, entre outras:
- consentimento;
- cumprimento de obrigação legal ou regulatória;
- execução de contrato ou de procedimentos preliminares solicitados pelo titular;
- exercício regular de direitos em processo;
- proteção da vida;
- tutela da saúde;
- legítimo interesse;
- proteção do crédito;
- execução de políticas públicas.
O consentimento, quando utilizado, deve ser livre, informado, inequívoco e relacionado a finalidade determinada, além de poder ser revogado. Autorizações genéricas ou obtidas de forma obscura não atendem adequadamente à lei.
O legítimo interesse também não constitui uma autorização irrestrita. Seu uso requer avaliação concreta da finalidade, da necessidade, dos impactos sobre o titular e das salvaguardas aplicadas. Para dados sensíveis, as hipóteses legais são mais restritas e estão previstas principalmente no artigo 11 da LGPD.
Direitos dos titulares
A LGPD atribui protagonismo à pessoa a quem os dados pertencem. Conforme o caso, o titular pode solicitar:
- confirmação da existência do tratamento;
- acesso aos seus dados;
- correção de informações incompletas, inexatas ou desatualizadas;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados irregularmente;
- portabilidade, observada a regulamentação;
- eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;
- informações sobre compartilhamentos;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento;
- oposição a tratamento irregular;
- revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Esses direitos não são absolutos. Uma empresa, por exemplo, pode conservar determinados dados após o término de um contrato quando isso for necessário para cumprir uma obrigação legal ou exercer direitos em processo. A resposta ao titular deve explicar de maneira clara a justificativa aplicável. A ANPD mantém orientação específica sobre os direitos dos titulares.
Obrigações das organizações
A adequação à LGPD exige mais do que publicar uma política de privacidade. Entre as medidas normalmente necessárias estão o mapeamento dos fluxos de dados, a definição das bases legais, a revisão de contratos, o controle de acessos, a adoção de prazos de retenção, o atendimento aos titulares, a capacitação de funcionários e a gestão de fornecedores.
Dependendo do risco da atividade, o controlador pode precisar elaborar um Relatório de Impacto à Proteção de Dados Pessoais. Também deve adotar medidas técnicas e administrativas capazes de proteger as informações contra acessos não autorizados, destruição, perda, alteração, comunicação ou tratamento inadequado.
Quando um incidente de segurança puder ocasionar risco ou dano relevante aos titulares, o controlador deverá comunicá-lo à ANPD e às pessoas afetadas. A regulamentação vigente estabelece, como regra, prazo de três dias úteis para essa comunicação, ressalvados prazos específicos de outras legislações. (Orientação da ANPD sobre incidentes)
Fiscalização, responsabilidade e sanções
A Autoridade Nacional de Proteção de Dados (ANPD) é a entidade responsável por regulamentar, orientar e fiscalizar a aplicação da LGPD. Sua atuação não é apenas punitiva: envolve produção de guias, educação, monitoramento e regulamentação de temas que a lei deixou em aberto.
Em caso de infração, podem ser aplicadas sanções como advertência, publicização da irregularidade, bloqueio ou eliminação dos dados, suspensão de atividades de tratamento e multa. Para agentes privados, a multa simples pode alcançar 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no exercício anterior, excluídos os tributos e limitada a R$ 50 milhões por infração. A aplicação depende de processo administrativo, contraditório, ampla defesa e critérios de dosimetria. (Resolução CD/ANPD nº 4/2023)
Além das sanções administrativas, a violação da LGPD pode gerar responsabilidade civil e dever de reparar danos patrimoniais ou morais. Dependendo da situação, também podem atuar órgãos de defesa do consumidor, Ministério Público e Poder Judiciário.
Importância e desafios
A LGPD promove uma transformação cultural. Dados pessoais não devem ser considerados simples ativos disponíveis para exploração ilimitada. Seu uso implica responsabilidade, transparência e respeito à autodeterminação informativa.
Entre os principais desafios estão a aplicação da lei a inteligência artificial, biometria, publicidade comportamental, reconhecimento facial, decisões automatizadas e grandes bancos de dados públicos. Também é necessário evitar uma conformidade meramente documental: formulários e avisos de privacidade têm pouco valor se as práticas efetivas continuarem excessivas ou inseguras.
Em síntese, a LGPD procura equilibrar inovação, atividade econômica e proteção da pessoa. Seu objetivo não é impedir o tratamento de dados, mas fazer com que ele ocorra de forma legítima, necessária, segura e transparente. A verdadeira adequação, portanto, não se resume a obter consentimentos ou evitar multas; consiste em incorporar a proteção de dados à governança e ao funcionamento cotidiano das organizações.