LGPD GuardianDado pessoal
Informação relacionada a pessoa natural identificada ou identificável. Não se limita a nome e CPF: qualquer informação que, isolada ou combinada com outras, permita identificar alguém pode ser dado pessoal.
Guia · Conteúdo informativo
LGPD: guia completo da Lei Geral de Proteção de Dados
O que a Lei nº 13.709/2018 estabelece, quem ela alcança, quais são os princípios, as bases legais, os direitos dos titulares e o trabalho operacional que sustenta a conformidade no dia a dia.
Conceito
O que é a LGPD
A Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 — estabelece regras sobre o tratamento de dados pessoais por pessoas naturais e por pessoas jurídicas de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade, de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
A autoridade competente para zelar pela proteção de dados pessoais, editar normas e fiscalizar o cumprimento da lei é a Autoridade Nacional de Proteção de Dados (ANPD).
Este guia é informativo. Para o texto oficial e atualizado, consulte sempre a fonte primária: Lei nº 13.709/2018 no portal do Planalto.
Alcance
A quem a lei se aplica
A LGPD alcança o tratamento de dados pessoais realizado por organizações públicas e privadas, independentemente do meio, do país-sede ou do país onde os dados estejam armazenados, observadas as hipóteses previstas na própria lei.
Tratamento é um conceito amplo: inclui coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão e extração.
Na prática, quase toda organização que possui funcionários, clientes, fornecedores ou atende cidadãos realiza tratamento de dados pessoais.
Definições
Dados pessoais e dados sensíveis
Dado pessoal sensível
Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Recebe proteção reforçada.
Princípios
Os princípios que orientam o tratamento
O artigo 6º da lei estabelece os princípios que devem ser observados em toda atividade de tratamento.
Finalidade
Propósitos legítimos, específicos, explícitos e informados ao titular.
Adequação
Compatibilidade do tratamento com as finalidades informadas.
Necessidade
Limitação ao mínimo necessário para alcançar a finalidade.
Livre acesso
Consulta facilitada e gratuita sobre a forma e a duração do tratamento.
Qualidade dos dados
Exatidão, clareza, relevância e atualização dos dados.
Transparência
Informações claras e acessíveis sobre o tratamento e os agentes envolvidos.
Segurança
Medidas técnicas e administrativas de proteção.
Prevenção
Adoção de medidas para prevenir danos.
Não discriminação
Impossibilidade de tratamento para fins discriminatórios ilícitos ou abusivos.
Responsabilização
Demonstração da adoção de medidas eficazes de cumprimento — a chamada prestação de contas.
O princípio da responsabilização é o que torna a governança documentada indispensável: não basta cumprir, é preciso demonstrar que se cumpre.
Bases legais
Todo tratamento precisa de uma base legal
A lei não proíbe o tratamento de dados pessoais — ela exige que cada atividade de tratamento se apoie em uma hipótese legal prevista.
O artigo 7º lista as hipóteses aplicáveis a dados pessoais em geral, entre elas o consentimento do titular, o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas, a execução de contrato, o exercício regular de direitos, a proteção da vida, a tutela da saúde, o legítimo interesse e a proteção do crédito.
O artigo 11 trata das hipóteses específicas para dados pessoais sensíveis, que são mais restritas.
Consentimento é apenas uma das bases — e frequentemente não é a mais adequada. Escolher a base legal correta para cada tratamento é uma decisão técnica e jurídica que exige conhecer o processo.
Agentes
Quem é quem no tratamento
Controlador
A quem competem as decisões referentes ao tratamento de dados pessoais.
Operador
Quem realiza o tratamento em nome do controlador.
Encarregado (DPO)
Pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.
Direitos
Os direitos do titular
O artigo 18 assegura ao titular direitos que a organização precisa estar preparada para atender.
- Confirmação da existência de tratamento.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
- Portabilidade a outro fornecedor, conforme regulamentação.
- Eliminação dos dados tratados com consentimento, nas hipóteses previstas.
- Informação sobre as entidades com as quais os dados foram compartilhados.
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
- Revogação do consentimento.
Atender esses direitos no prazo exige saber, com precisão, onde os dados de um titular estão sendo tratados — o que só é possível com processos mapeados.
Documentação
ROPA, RIPD e LIA
ROPA
O registro das operações de tratamento, previsto no artigo 37, deve ser mantido pelo controlador e pelo operador. É a base documental da governança.
Gerador de ROPARIPD
O relatório de impacto à proteção de dados pessoais descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais. A ANPD pode determinar sua elaboração.
LIA
A avaliação do legítimo interesse documenta o teste que sustenta o uso dessa base legal, ponderando finalidade, necessidade e expectativas do titular.
Segurança e sanções
Segurança da informação e responsabilização
A lei exige a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
A ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicada à ANPD e ao titular, em prazo razoável, conforme regulamentação da autoridade.
O artigo 52 prevê sanções administrativas aplicáveis pela ANPD, que vão de advertência a multa e a sanções mais graves, observados o procedimento e os critérios de dosimetria previstos na lei e na regulamentação.
Para prazos, procedimentos e critérios atualizados, consulte a ANPD e o texto oficial da lei. Não reproduzimos aqui interpretações que possam estar defasadas.
Na prática
Por que a conformidade se perde com o tempo
A maior parte das organizações não falha por desconhecer a lei. Falha porque a conformidade não acompanha a operação: processos mudam, sistemas mudam, fornecedores mudam — e a documentação fica parada no dia em que foi escrita.
Quando cada atualização exige repetir entrevistas e reconsolidar planilhas, o custo de manter a adequação cresce até que ela simplesmente pare de ser mantida.
- Mapear processos
- Estruturar contexto
- Documentar
- Analisar riscos
- Executar ações
- Registrar evidências
Por contexto
A LGPD em diferentes realidades
No setor privado
Operações que mudam rápido exigem governança que acompanhe essa velocidade.
LGPD no setor privadoNo setor público
Estruturas administrativas próprias exigem governança que represente a realidade institucional.
LGPD no setor públicoCom apoio de IA
Tecnologia que assume o trabalho técnico repetitivo, mantendo a decisão com o profissional.
IA e governançaEste material tem caráter informativo e não constitui orientação jurídica. Para decisões sobre casos concretos, consulte profissional habilitado e as fontes oficiais.
Da teoria à governança que se mantém
Veja como o LGPD Guardian transforma processos reais em conformidade contínua.