LGPD para Empresas: Adequação, Multas e Boas Práticas

O Que É a LGPD

A Lei Geral de Proteção de Dados (Lei 13.709/2018) é a legislação brasileira que regulamenta o tratamento de dados pessoais por empresas, organizações e órgãos públicos. Inspirada no GDPR europeu, a LGPD estabelece regras claras sobre como dados pessoais devem ser coletados, armazenados, processados e compartilhados.

A lei está em vigor desde setembro de 2020, e as sanções administrativas são aplicáveis desde 1º de agosto de 2021 (art. 65, I-A), pela ANPD, que desde a Medida Provisória 1.317/2025, convertida na Lei 15.352/2026, é a Agência Nacional de Proteção de Dados (antes, Autoridade Nacional), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública. Todas as empresas que tratam dados pessoais, independentemente do porte ou setor, devem se adequar, ainda que os agentes de tratamento de pequeno porte tenham regras simplificadas (Resolução CD/ANPD 2/2022).

Conceitos Fundamentais

Dados Pessoais

Qualquer informação que identifique ou possa identificar uma pessoa natural:

• Nome, CPF, RG, endereço, telefone, e-mail
• Dados de localização, cookies, IP
• Dados sensíveis (art. 5º, II), como dados de saúde, biométricos e genéticos, convicção religiosa, origem racial ou étnica e vida sexual

Tratamento de Dados

Toda operação realizada com dados pessoais:

• Coleta, armazenamento, acesso, compartilhamento
• Classificação, utilização, reprodução, processamento
• Eliminação, transferência, difusão

Agentes de Tratamento

• Controlador: Quem decide sobre o tratamento dos dados (a empresa)
• Operador: Quem realiza o tratamento em nome do controlador (prestador de serviço)
• Encarregado (DPO): Pessoa indicada pelo controlador e pelo operador para ser canal de comunicação entre o controlador, os titulares e a ANPD

Bases Legais para o Tratamento

A LGPD prevê 10 bases legais que autorizam o tratamento de dados pessoais. As mais utilizadas por empresas:

1. Consentimento: Autorização livre, informada e inequívoca do titular
2. Execução de contrato: Necessário para cumprir contrato com o titular
3. Obrigação legal: Cumprimento de obrigação prevista em lei (ex.: eSocial, FGTS)
4. Legítimo interesse: Interesse legítimo do controlador, respeitados os direitos do titular
5. Proteção do crédito: Análise de crédito e cadastros positivos

A escolha da base legal deve ser feita antes do início do tratamento e documentada.

Obrigações Práticas para Empresas

1. Mapeamento de Dados

Identificar todos os dados pessoais tratados pela empresa:

• Quais dados são coletados (de clientes, empregados, fornecedores)
• Onde estão armazenados (sistemas, planilhas, arquivos físicos)
• Com quem são compartilhados (contadores, bancos, órgãos públicos)
• Qual a base legal para cada tratamento
• Por quanto tempo são retidos

2. Política de Privacidade

Documento público que informa aos titulares:

• Quais dados são coletados e por quê
• Como são utilizados e compartilhados
• Quais são os direitos do titular
• Como exercer esses direitos
• Dados de contato do DPO

3. Indicação do Encarregado (DPO)

O controlador deve indicar um encarregado (art. 41 da LGPD), responsável por:

• Atender solicitações dos titulares de dados
• Interagir com a ANPD
• Orientar funcionários sobre práticas de proteção de dados
• Publicar seus dados de contato no site da empresa

Agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte que não façam tratamento de alto risco, são dispensados dessa indicação, mas devem manter um canal de comunicação com o titular (Resolução CD/ANPD 2/2022, art. 11).

4. Gestão de Consentimento

Quando o tratamento se baseia no consentimento:

• Deve ser obtido de forma clara e específica
• Registrado e armazenado (prova)
• Revogável a qualquer momento pelo titular
• Renovado quando houver mudança na finalidade

5. Segurança da Informação

Medidas técnicas e administrativas para proteger dados pessoais:

• Controle de acesso (quem pode acessar quais dados)
• Criptografia e anonimização
• Backup regular e plano de recuperação
• Treinamento dos colaboradores
• Política de senhas e autenticação

6. Gestão de Incidentes

Procedimentos para casos de vazamento ou violação de dados:

• Comunicação à ANPD em até 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando puder acarretar risco ou dano relevante aos titulares (Resolução CD/ANPD 15/2024, art. 6º)
• Notificação aos titulares afetados, também em até 3 dias úteis (art. 9º); para agentes de tratamento de pequeno porte, os prazos de comunicação à ANPD e aos titulares contam em dobro (Resolução CD/ANPD 15/2024, arts. 6º, § 8º, e 9º, § 6º)
• Medidas de contenção e remediação
• Registro do incidente, inclusive do não comunicado, por no mínimo 5 anos (art. 10), e lições aprendidas

Direitos dos Titulares

A LGPD garante aos titulares de dados pessoais o direito de:

• Confirmação da existência de tratamento
• Acesso aos dados pessoais tratados
• Correção de dados incompletos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários
• Portabilidade a outro fornecedor de serviço
• Eliminação dos dados tratados com consentimento
• Informação sobre compartilhamento com terceiros
• Revogação do consentimento

A empresa deve ter procedimentos para atender essas solicitações: a confirmação de existência de tratamento e o acesso aos dados devem ser providenciados de imediato, em formato simplificado, ou em até 15 dias, por declaração clara e completa (art. 19); os demais pedidos devem ser atendidos sem custo, nos prazos previstos em regulamento (art. 18, § 5º). Os agentes de pequeno porte têm prazo em dobro (Resolução CD/ANPD 2/2022, art. 14).

Sanções da ANPD

As penalidades por descumprimento incluem:

• Advertência com prazo para correção
• Multa simples: Até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos (limitada a R$ 50 milhões por infração)
• Multa diária: Para forçar o cumprimento
• Publicização da infração: Dano reputacional
• Bloqueio dos dados: Proibição de uso dos dados pessoais
• Eliminação dos dados: Obrigação de apagar os dados tratados irregularmente
• Suspensão parcial do funcionamento do banco de dados: Por até 6 meses, prorrogáveis por igual período (art. 52, X)
• Suspensão do exercício da atividade de tratamento: Por até 6 meses, prorrogáveis por igual período (art. 52, XI)
• Proibição parcial ou total das atividades de tratamento (art. 52, XII)

LGPD no Dia a Dia das Empresas em MT

Para empresas em Cuiabá e Mato Grosso, a adequação à LGPD impacta especialmente:

• Comércio: Cadastros de clientes, programas de fidelidade, envio de marketing
• Agronegócio: Dados de trabalhadores rurais, fornecedores, parceiros comerciais
• Saúde: Dados de pacientes (dados sensíveis exigem proteção reforçada)
• Educação: Dados de alunos e responsáveis
• Serviços: CRM, listas de contatos, histórico de atendimento

Primeiros Passos para Adequação

1. Indicar o encarregado (DPO), quando exigido, e publicar seus dados de contato (o agente de pequeno porte dispensado deve manter canal de atendimento ao titular)
2. Mapear os dados pessoais tratados pela empresa
3. Revisar contratos com fornecedores e parceiros que acessam dados
4. Criar a política de privacidade e publicar no site
5. Treinar os colaboradores sobre boas práticas de proteção de dados
6. Implementar medidas de segurança proporcionais ao risco
7. Documentar tudo: A ANPD pode solicitar evidências de conformidade

Se sua empresa ainda não se adequou à LGPD, busque orientação jurídica. A adequação não precisa ser complexa ou cara, mas deve ser feita de forma estruturada e documentada.