Lei Geral de Proteção de Dados
Guia detalhado da LGPD, sua estrutura, princípios, bases legais, direitos, responsabilidades e sanções.
1. Objeto, alcance e fundamentos
A LGPD disciplina o tratamento de dados pessoais, inclusive em meios digitais, por pessoas físicas ou jurídicas públicas ou privadas. Aplica-se quando o tratamento ocorre no Brasil, visa oferecer bens ou serviços a pessoas localizadas no país ou envolve dados coletados no território nacional. Seus fundamentos incluem privacidade, autodeterminação informativa, liberdade de expressão, inviolabilidade da intimidade, desenvolvimento econômico e tecnológico, livre iniciativa, defesa do consumidor, direitos humanos e dignidade.
2. Conceitos essenciais
Dado pessoal Informação relacionada a pessoa natural identificada ou identificável.
Dado pessoal sensível Origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico.
Titular Pessoa natural a quem os dados se referem.
Tratamento Toda operação com dados, como coleta, uso, acesso, armazenamento, compartilhamento e eliminação.
Controlador Quem toma as decisões referentes ao tratamento.
Operador Quem trata dados em nome do controlador.
Encarregado Canal entre controlador, titulares e ANPD.
Anonimização Processo que retira a possibilidade razoável de associação do dado a uma pessoa.
3. Princípios do tratamento
Todo tratamento deve observar finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização com prestação de contas. A organização deve conseguir demonstrar que suas medidas são eficazes e compatíveis com esses princípios.
4. Bases legais para dados pessoais
5. Dados pessoais sensíveis
O tratamento exige proteção reforçada. Pode ocorrer mediante consentimento específico e destacado ou, sem consentimento, nas hipóteses legais, como obrigação legal, políticas públicas, estudos, exercício de direitos, proteção da vida, tutela da saúde e prevenção à fraude e segurança do titular. O uso não pode gerar discriminação ilícita ou abusiva.
6. Crianças e adolescentes
O melhor interesse deve prevalecer. Para crianças, em regra, exige-se consentimento específico e em destaque de pelo menos um responsável legal, com informação pública sobre os dados coletados e sua utilização. Não se deve condicionar jogos ou aplicações ao fornecimento de dados além do estritamente necessário.
7. Direitos dos titulares
- Confirmação da existência de tratamento e acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
- Portabilidade, conforme regulamentação e proteção de segredos comercial e industrial.
- Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de conservação.
- Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
- Informação sobre a possibilidade de negar consentimento e suas consequências.
- Revogação do consentimento por procedimento gratuito e facilitado.
- Revisão de decisões tomadas unicamente com base em tratamento automatizado.
- Petição perante a ANPD e defesa de direitos em órgãos de proteção do consumidor ou em juízo.
O requerimento deve ser dirigido inicialmente ao controlador ou ao encarregado por canal acessível. A identidade do solicitante pode ser verificada para prevenir fraude.
8. Término e conservação
O tratamento termina quando a finalidade é alcançada, os dados deixam de ser necessários, termina o período de tratamento, há comunicação do titular ou determinação da ANPD. A conservação é admitida para obrigação legal, pesquisa, transferência legítima a terceiro ou uso exclusivo do controlador com anonimização e sem acesso por terceiros.
9. Poder público
Órgãos públicos devem tratar dados para finalidade pública e execução de competências legais, informar hipóteses, finalidade, procedimentos e práticas, indicar encarregado e observar regras específicas de compartilhamento. Empresas públicas e sociedades de economia mista podem se submeter a regimes diferentes conforme a atividade desempenhada.
10. Transferência internacional
É permitida nas hipóteses legais, inclusive para países ou organismos com grau adequado de proteção, mediante garantias contratuais, normas corporativas globais, certificações, consentimento específico, cooperação jurídica, proteção da vida, execução de políticas públicas, obrigação legal ou contrato. A ANPD regulamenta mecanismos e critérios.
11. Agentes de tratamento e encarregado
Controlador e operador devem manter registros das operações, adotar medidas de segurança, seguir instruções legítimas, cooperar com a ANPD e demonstrar conformidade. O controlador pode precisar elaborar relatório de impacto. O encarregado recebe reclamações, presta esclarecimentos, recebe comunicações da ANPD, orienta equipes e executa atribuições definidas pelo controlador ou por normas.
12. Responsabilidade e reparação
Quem causar dano patrimonial, moral, individual ou coletivo em violação à legislação pode ser obrigado a repará-lo. A lei disciplina responsabilidade solidária em determinadas situações, inversão do ônus da prova e excludentes quando não houve tratamento, não ocorreu violação ou o dano decorreu de culpa exclusiva do titular ou de terceiro.
13. Segurança e incidentes
Devem ser adotadas medidas técnicas e administrativas aptas a proteger os dados desde a concepção do produto ou serviço. Incidentes relevantes que possam causar risco ou dano devem ser comunicados à ANPD e aos titulares, conforme requisitos e prazos regulamentares, com natureza dos dados, titulares afetados, medidas de proteção, riscos e providências adotadas.
14. Boas práticas e governança
Programas de governança devem considerar natureza, escopo, finalidade, probabilidade e gravidade dos riscos. Podem incluir políticas internas, inventário de dados, gestão de fornecedores, controles de acesso, treinamento, resposta a incidentes, avaliações periódicas, privacidade desde a concepção e mecanismos de supervisão.
15. Fiscalização e sanções administrativas
Após processo administrativo com contraditório e ampla defesa, podem ser aplicadas advertência, multa simples de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização, bloqueio ou eliminação dos dados, suspensão parcial do banco de dados ou da atividade de tratamento e proibição parcial ou total da atividade relacionada. A gradação considera gravidade, boa-fé, vantagem, condição econômica, reincidência, cooperação, mecanismos internos e pronta adoção de correções.
16. Autoridade Nacional de Proteção de Dados
A ANPD zela pela proteção de dados, regulamenta a lei, fiscaliza, aplica sanções, promove conhecimento, recebe petições e articula-se com autoridades. O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade participa com estudos, propostas e diretrizes.
17. Como exercer seus direitos
- Identifique o controlador e procure o canal de privacidade ou o encarregado.
- Faça um pedido claro e guarde protocolo, mensagens e comprovantes.
- Aguarde a resposta e forneça somente os dados necessários para confirmação de identidade.
- Se não houver solução, avalie petição à ANPD, órgãos de defesa do consumidor ou medida judicial.
Consulte as orientações oficiais da ANPD sobre direitos dos titulares ↗.
18. Contato da FigLab
Solicitações relacionadas aos dados tratados pela FigLab podem ser encaminhadas para contato@figlab.com.br. Para saber como o site utiliza informações, consulte também nossa Política de Privacidade.