Em fevereiro de 2026, a Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados (ANPD) em agência reguladora de regime especial, com poder de polícia administrativa, verba própria e independência técnica — e, em junho do mesmo ano, a autoridade abriu 19 novos processos administrativos sancionadores de uma só vez, o maior lote de sua história (Daniel Law; gov.br/ANPD). Para qualquer empresa que trata dados pessoais de brasileiros, a mensagem é clara: a fase de "orientação" da Lei Geral de Proteção de Dados (LGPD) terminou, e a fiscalização entrou em um novo patamar operacional. Learn more about nova fase de fiscalização mais rigorosa da LGPD.
Conformidade com a LGPD não se resume a ter uma política de privacidade publicada. Exige mapeamento de dados, base legal documentada para cada tratamento, prazos de resposta a titulares, notificação de incidentes e, cada vez mais, governança sobre uso de dados em inteligência artificial. Este guia organiza os requisitos essenciais, a lista real de sanções já aplicadas e um roteiro prático de conformidade.
Principais Pontos
- A LGPD (Lei nº 13.709/2018) se aplica a qualquer tratamento de dados pessoais realizado no Brasil, direcionado a pessoas no Brasil, ou que envolva dados coletados no Brasil — independentemente de onde a empresa esteja sediada.
- O prazo de resposta detalhada a uma solicitação de titular é de 15 dias (Art. 18), metade do prazo de 30 dias do GDPR europeu.
- A notificação de incidentes de segurança à ANPD e aos titulares afetados deve ocorrer em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
- A multa máxima prevista é de 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração (Art. 52) — mas, até o momento, o único valor monetário efetivamente cobrado foi de R$ 14.400, no caso Telekall (2023).
- A ANPD tem priorizado suspensões cautelares em vez de multas em casos de alto risco: Meta (julho de 2024) e X Corp (dezembro de 2024) foram obrigadas a suspender o uso de dados para treinamento de inteligência artificial, sem multa monetária confirmada em nenhum dos dois casos.
O Que É a LGPD?
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) é a legislação brasileira que disciplina o tratamento de dados pessoais por pessoas físicas ou jurídicas, públicas ou privadas. Ela se aplica sempre que o tratamento ocorrer em território nacional, quando a atividade tiver por objetivo oferecer bens ou serviços a pessoas no Brasil, ou quando os dados tratados tiverem sido coletados no país.
Dado pessoal, para efeitos da lei, é qualquer informação relacionada a pessoa natural identificada ou identificável: nome, e-mail, identificador de dispositivo, endereço IP, cookies e qualquer dado comportamental que permita, direta ou indiretamente, identificar alguém. Ficam fora do escopo o tratamento para fins exclusivamente particulares, jornalísticos, artísticos ou acadêmicos (ainda que os princípios da lei continuem se aplicando), segurança pública, e dados efetivamente anonimizados.
O Artigo 6º estabelece dez princípios que orientam qualquer tratamento — quatro a mais que os seis princípios equivalentes do GDPR europeu: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização (accountability). Este último princípio inverte o ônus da prova: cabe ao controlador demonstrar que cumpre a lei, não ao titular provar que ela foi violada.
Quem Precisa Cumprir a LGPD
Praticamente qualquer organização que colete e-mails de clientes, mantenha um CRM, rode campanhas de marketing ou armazene registros de transações de brasileiros está sujeita à lei — inclusive empresas sediadas fora do Brasil, desde que atendam pessoas no território nacional. A exigência de nomear um encarregado de dados (DPO) recai sobre a maioria dos controladores; agentes de pequeno porte (receita até R$ 4,8 milhões/ano) têm dispensa condicional, exceto quando fazem tratamento de alto risco, como dados de crianças ou treinamento de IA.
Vale entender a diferença entre controlador e operador antes de decidir quem, na cadeia de fornecedores, responde por qual obrigação — esse é justamente o tema aprofundado em O que é LGPD?, um dos conceitos-base que vale revisar antes de avançar para as obrigações operacionais.
Bases Legais: As Dez Hipóteses de Tratamento
O Artigo 7º lista dez bases legais, sem hierarquia entre elas — o controlador só precisa identificar e documentar qual se aplica a cada atividade de tratamento:
- Consentimento do titular
- Cumprimento de obrigação legal ou regulatória
- Execução de políticas públicas
- Realização de estudos por órgão de pesquisa
- Execução de contrato ou procedimentos preliminares
- Exercício regular de direitos em processo judicial, administrativo ou arbitral
- Proteção da vida ou da incolumidade física
- Tutela da saúde, em procedimento por profissionais de saúde
- Legítimo interesse do controlador ou de terceiro
- Proteção do crédito
Consentimento só é válido quando livre, informado, inequívoco e específico para cada finalidade — checkboxes pré-marcados não satisfazem o requisito, e a revogação deve ser tão simples quanto a concessão. Legítimo interesse, embora não exija formalmente um teste de balanceamento na letra da lei, tornou-se na prática quase obrigatório depois dos casos Meta e X Corp: a ANPD passou a cobrar documentação explícita de que o tratamento atende ao "melhor interesse" de crianças e adolescentes, com medidas de mitigação como pseudonimização.
LGPD vs. GDPR: O Que Muda na Prática
Empresas que já operam sob o GDPR europeu tendem a presumir equivalência total com a LGPD. Na prática, seis pontos concentram a maior parte do risco de conformidade quando se assume que "o que vale lá vale aqui":
| Dimensão | LGPD (Brasil) | GDPR (UE) |
|---|---|---|
| Bases legais | Dez hipóteses no Art. 7º, incluindo pesquisa, tutela da saúde e proteção do crédito como bases autônomas | Seis bases no Art. 6º, sem as categorias de pesquisa/crédito como bases separadas |
| Contrato com operadores | Recomendado pela boa prática, mas não exigido expressamente por artigo específico como no GDPR | Obrigatório por força do Art. 28 do GDPR |
| Gatilho para avaliação de impacto (RIPD/DPIA) | Discricionário: a ANPD pode requisitar a qualquer momento, sem lista fechada de gatilhos | Estatutário: Art. 35 lista hipóteses específicas que obrigam a DPIA |
| Prazo de resposta ao titular | 15 dias corridos para acesso detalhado (30 dias para pequenas empresas) | 30 dias corridos, prorrogável por mais 60 em casos complexos |
| Notificação de incidente | 3 dias úteis à ANPD e aos titulares, com base em risco potencial (não exige dano confirmado) | 72 horas à autoridade supervisora, com limiar de risco às vezes mais alto na prática |
| Transferência internacional | Exige cláusulas-padrão específicas da ANPD (Resolução CD/ANPD nº 19/2024), sem decisões de adequação vigentes para nenhum país | Permite cláusulas contratuais-padrão próprias e decisões de adequação da Comissão Europeia para dezenas de países |
| Dados de crianças e adolescentes | Exige avaliação explícita do "melhor interesse" do menor, com enforcement recente e agressivo (casos Meta/X Corp) | Considera o interesse do menor de forma mais implícita, sem precedente equivalente de suspensão cautelar |
Para times que já mantêm um programa de GDPR, boa parte da estrutura pode ser aproveitada: mapeamento de dados, medidas de segurança e plataforma de gestão de consentimento tendem a servir para as duas leis com pouco retrabalho. Onde a duplicação de esforço não compensa é justamente nos seis pontos da tabela acima — e vale revisitar as semelhanças e diferenças completas em LGPD vs GDPR: quais são as principais similaridades antes de decidir o que unificar.
O Processo de Conformidade, Passo a Passo
Mapeamento de dados e Registro de Operações (ROPA): o Artigo 37 exige inventário completo dos processos que tratam dados pessoais, com dados especialmente detalhados quando a base legal for legítimo interesse. Isso inclui catalogar sistemas (CRM, e-mail marketing, analytics, backups), classificar a sensibilidade dos dados (dados sensíveis incluem origem racial, convicção religiosa, opinião política, dado de saúde e dado biométrico) e documentar prazos de retenção com justificativa — retenção indefinida viola o princípio da necessidade.
Avaliação de Impacto (RIPD): ao contrário do GDPR, a LGPD não lista gatilhos fechados para exigir um Relatório de Impacto à Proteção de Dados — a decisão fica a critério da ANPD, o que na prática empurra as empresas a produzir o relatório de forma proativa sempre que houver tratamento em larga escala, monitoramento sistemático, decisão automatizada, dado sensível ou sistema de IA envolvido.
Fluxo de solicitação de titular (DSAR): o Artigo 18 garante nove direitos, incluindo confirmação, acesso, correção, portabilidade e eliminação. A confirmação de que o tratamento existe deve ser imediata, em formato simplificado; o acesso detalhado tem prazo de 15 dias — a metade do prazo europeu. Sem automação, sustentar esse prazo de forma consistente em volume se torna praticamente inviável.
Contratos com operadores e fornecedores: o Artigo 39 impõe obrigações ao operador, mas não exige formalmente um contrato específico (diferente do Art. 28 do GDPR). Ainda assim, o contrato é essencial na prática: sem ele, a divisão de responsabilidade entre controlador e operador fica ambígua diante de qualquer fiscalização.
Resposta a incidentes: a Resolução CD/ANPD nº 15/2024 definiu que um incidente notificável é aquele que gera risco potencial relevante, envolvendo dado sensível, dado de criança ou idoso, dado financeiro, credenciais de acesso ou tratamento em larga escala. O ponto central: dano efetivo não é necessário, basta o risco potencial. O prazo de notificação é de 3 dias úteis, tanto para a ANPD quanto para os titulares afetados, e o registro de incidentes deve ser mantido por, no mínimo, 5 anos — mesmo para casos não notificados.
Penalidades e Fiscalização: Os Casos Reais
O Artigo 52 estabelece uma hierarquia de sanções: advertência, publicização da infração, bloqueio ou eliminação dos dados, multa simples (até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração), multa diária, suspensão do funcionamento do banco de dados (até seis meses), suspensão da atividade de tratamento e proibição de operar com órgãos públicos.
Na prática, porém, o histórico de fiscalização até agora mostra um padrão diferente do que a lista de sanções sugere:
- Telekall Infoservice (2023) — a primeira sanção efetivamente aplicada pela ANPD, publicada em 6 de julho de 2023: duas multas simples de R$ 7.200 cada (uma por violação ao regulamento de fiscalização, outra ao Art. 7º da LGPD), totalizando R$ 14.400, mais advertência por violação ao Art. 41 (gov.br/ANPD). O caso envolvia a comercialização de listas de contatos de WhatsApp de eleitores para disparo de propaganda.
- IAMSPE (2023) — sanção de advertência, sem multa monetária, aplicada em outubro de 2023 por falha em comunicar adequadamente aos titulares um incidente de segurança que expôs dados cadastrais e salariais de segurados, em violação aos Artigos 48 e 49.
- Meta (julho de 2024) — medida preventiva determinando suspensão imediata do uso de dados pessoais de usuários brasileiros para treinamento de IA, sob multa cominatória de R$ 50 mil por dia de descumprimento (gov.br/ANPD). A suspensão foi levantada pela própria ANPD em 30 de agosto de 2024, depois que a empresa apresentou salvaguardas e compromissos de adequação — sem confirmação pública de multa efetivamente paga.
- X Corp (dezembro de 2024) — determinação para suspender, em até 5 dias, o uso de dados de menores de 18 anos para treinamento de IA generativa, além de alterações obrigatórias nos Termos de Uso e na Política de Privacidade da plataforma (Security Leaders; Campos Thomaz Advogados).
O total de multas monetárias efetivamente aplicadas pela ANPD desde 2023 continua modesto: R$ 14.400, integralmente do caso Telekall — nenhum outro processo concluído até o momento resultou em multa monetária contra empresa privada; os demais casos do setor público geraram advertências, e os casos Meta e X Corp foram resolvidos por suspensão cautelar, não por multa. Isso não deve ser lido como sinal de baixo risco: a mudança de status da ANPD para agência reguladora em 2026, somada à abertura de 19 novos processos em junho, aponta para volume de fiscalização crescente. Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027, fixando quatro frentes de fiscalização: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo poder público e inteligência artificial (gov.br/ANPD).
Manter esse histórico organizado, sabendo exatamente qual base legal, contrato de operador e avaliação de impacto sustentam cada atividade de tratamento, é o tipo de trabalho que se torna insustentável em planilha a partir de um certo volume de processos. O módulo de Data Map & ROPA da Plataforma de Governança de Privacidade e IA da Secure Privacy centraliza esse inventário, calcula o nível de risco automaticamente e exporta relatórios prontos para auditoria da ANPD.
Checklist de Conformidade
Mapeamento e bases legais
▢ Inventariar todos os sistemas que armazenam dados pessoais
▢ Classificar dados por sensibilidade (comuns vs. sensíveis)
▢ Atribuir e documentar a base legal de cada atividade de tratamento
▢ Definir prazos de retenção com justificativa registrada
Direitos dos titulares
▢ Criar canal de recebimento de solicitações (portal, e-mail dedicado)
▢ Implementar verificação de identidade antes de liberar dados
▢ Automatizar o rastreamento do prazo de 15 dias
▢ Manter log de consentimento com timestamp e possibilidade de revogação em um clique
Fornecedores e incidentes
▢ Formalizar contrato com cláusulas LGPD com todos os operadores
▢ Realizar due diligence de segurança antes de contratar um novo fornecedor
▢ Testar o fluxo de notificação de incidente em 3 dias úteis
▢ Manter registro de incidentes por, no mínimo, 5 anos
Avaliações e IA
▢ Produzir RIPD proativo para qualquer sistema de IA ou dado biométrico
▢ Documentar teste de balanceamento para legítimo interesse
▢ Revisar tratamento de dados de crianças e adolescentes à luz dos casos Meta/X Corp
Se boa parte desses itens ainda depende de planilha e memória institucional, o módulo de Avaliações da Plataforma de Governança de Privacidade e IA da Secure Privacy roda DPIA, RIPD, LIA e AIA a partir de um único fluxo, com aprovação registrada — o tipo de evidência que a ANPD pede primeiro em uma fiscalização.
Perguntas Frequentes Sobre LGPD
O que é a LGPD e para quem ela vale?
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se aplica a qualquer tratamento de dados pessoais realizado no Brasil, direcionado a pessoas no país ou que envolva dados coletados em território brasileiro — independentemente de onde a empresa controladora esteja sediada. Isso inclui praticamente qualquer negócio que atenda clientes brasileiros online.
Qual o prazo para responder a uma solicitação de titular pela LGPD?
A confirmação de que o tratamento existe deve ser imediata, em formato simplificado. O acesso detalhado aos dados tem prazo máximo de 15 dias, reduzido para metade do prazo do GDPR europeu; pequenas empresas recebem prazo estendido de 30 dias. Correções e eliminações devem ocorrer de imediato, salvo impossibilidade fática ou jurídica.
É obrigatório ter um encarregado de dados (DPO) pela LGPD?
Controladores devem indicar um encarregado. Operadores podem fazê-lo opcionalmente, salvo quando atuarem como controladores de seus próprios dados. Agentes de pequeno porte, com faturamento até cerca de R$ 4,8 milhões, ficam dispensados dessa exigência, exceto quando realizam tratamento de alto risco, como dados de crianças ou treinamento de sistemas de IA.
Como transferir dados para fora do Brasil de forma lícita?
É preciso usar as cláusulas-padrão contratuais aprovadas pela ANPD, no texto exato definido pela Resolução CD/ANPD nº 19/2024 (cujo período de adequação terminou em agosto de 2025), obter consentimento específico e destacado para a transferência internacional, invocar cumprimento de obrigação legal ou política pública, ou solicitar autorização direta à ANPD. Nenhum país possui, até o momento, decisão de adequação vigente. Learn more about cláusulas-padrão contratuais para transferências internacionais de dados.
O que dispara a obrigação de notificar um incidente de segurança à ANPD?
Incidentes que gerem risco potencial relevante envolvendo dado sensível, dado de criança, idoso ou dado financeiro, credenciais de acesso ou tratamento em larga escala devem ser notificados à ANPD e aos titulares em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Dano efetivo não é exigido — o risco potencial já é suficiente para acionar o prazo.
Quais as multas já aplicadas pela ANPD até agora?
O único valor monetário efetivamente cobrado é de R$ 14.400, no caso Telekall (2023). Os demais processos concluídos resultaram em advertência (IAMSPE) ou suspensão cautelar sem multa confirmada (Meta e X Corp). O teto legal, no entanto, é de 2% do faturamento no Brasil por infração, limitado a R$ 50 milhões — e o volume de novos processos abertos em 2026 sugere que esse cenário de baixo valor acumulado tende a mudar.
Conclusão: Tratar a LGPD Como Governança Contínua
Conformidade com a LGPD não é um projeto com data de entrega, é um programa operacional permanente. As empresas mais expostas ao risco em 2026 são as que tratam a lei como documento jurídico arquivado, sem sistema real por trás do mapeamento de dados, das respostas a titulares e da resposta a incidentes.
Sustentar isso manualmente (planilha de ROPA, e-mails de solicitação de titular, contrato de fornecedor perdido em pasta compartilhada) deixa de escalar assim que a empresa passa de um punhado de processos de tratamento. A Plataforma de Governança de Privacidade e IA da Secure Privacy reúne Data Map & ROPA, gestão de DSAR com alertas automáticos por prazo regulatório, módulo de Avaliações (DPIA, RIPD, LIA, AIA) e um módulo dedicado de Governança de IA para classificar e monitorar sistemas de IA à luz da LGPD e de outras 60+ regulações — em um único painel, sem depender de headcount adicional. Agende uma demonstração para ver como o mapeamento e os prazos da LGPD podem rodar de forma automática, em vez de reativa.
