--- source_url: "https://diegocastroadvogado.com.br/o-que-e-lgpd-adequacao-empresa/" title: "O que é a LGPD e por que sua empresa precisa se adequar" generated_at: 2026-08-24T13:14:20Z host: diegocastroadvogado.com.br type: post schema_types: [Article] generator: geostack/1.0.0 --- ## Structured data ```json { "@context": "https://schema.org", "@graph": [ { "@type": "Article", "@id": "https://diegocastroadvogado.com.br/o-que-e-lgpd-adequacao-empresa/#article", "url": "https://diegocastroadvogado.com.br/o-que-e-lgpd-adequacao-empresa/", "headline": "O que é a LGPD e por que sua empresa precisa se adequar", "datePublished": "2026-08-05T18:16:12+00:00", "dateModified": "2026-08-05T18:16:17+00:00", "inLanguage": "pt-BR", "publisher": { "@type": "Organization", "name": "Diego Castro Advogado", "url": "https://diegocastroadvogado.com.br/" }, "description": "A LGPD é a Lei 13.709/2018, que define regras para qualquer atividade de tratamento de dados pessoais no Brasil. Sua empresa precisa se adequar porque a lei não olha faturamento nem número de funcionários: ela olha se você coleta, guarda, usa ou compartilha dado de pessoa física. Uma loja com dois sócios que captura e-mail […]", "author": { "@type": "Person", "name": "diegocastroadvadm" }, "image": "https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/o-que-e-lgpd-adequacao-empresa-featured-2.webp" } ] } ``` # O que é a LGPD e por que sua empresa precisa se adequar A LGPD é a Lei 13.709/2018, que define regras para qualquer atividade de tratamento de dados pessoais no Brasil. Sua empresa precisa se adequar porque a lei não olha faturamento nem número de funcionários: ela olha se você coleta, guarda, usa ou compartilha dado de pessoa física. Uma loja com dois sócios que captura e-mail em landing page está tão sujeita à lei quanto um banco. ## O que é a LGPD, sem juridiquês A Lei Geral de Proteção de Dados Pessoais organiza como empresas e órgãos públicos podem tratar informações de pessoas físicas no Brasil. Entrou em vigor em setembro de 2020 e as sanções administrativas passaram a ser aplicáveis em agosto de 2021. Quem fiscaliza e sanciona é a Autoridade Nacional de Proteção de Dados, a ANPD. A lógica da lei é simples de enunciar e difícil de executar: o dado pessoal não pertence à empresa que o coletou. Ele pertence à pessoa. A empresa recebe uma autorização para usar aquele dado dentro de um propósito declarado, por um tempo determinado, com um nível mínimo de segurança e com a obrigação de devolver controle ao titular quando ele pedir. Isso muda o jeito de pensar a base de dados. Uma lista de dez mil leads comprada de terceiro deixa de ser ativo e vira passivo. Um CRM que guarda histórico de conversa de cliente que cancelou há quatro anos deixa de ser memória institucional e vira exposição. O banco de dados que ninguém sabe explicar de onde veio é o item mais caro do balanço quando aparece uma fiscalização. ### A palavra que carrega a lei inteira: tratamento O artigo 5º da LGPD define tratamento como praticamente qualquer operação feita com dado pessoal. Coleta, acesso, reprodução, transmissão, processamento, armazenamento, modificação, compartilhamento e eliminação, entre outras. Guardar uma planilha parada em um Drive é tratamento. Exportar contatos para uma ferramenta de disparo é tratamento. Deletar também é tratamento. Por isso a resposta de que “a gente não faz nada com esses dados, só guarda” não protege ninguém. Guardar é uma das operações listadas na lei. ## A LGPD se aplica à minha empresa? O artigo 3º responde por três critérios. A lei alcança qualquer operação de tratamento realizada no território nacional, qualquer tratamento que tenha por objetivo oferecer bens ou serviços a pessoas no Brasil, e qualquer tratamento de dados de pessoas que estavam no Brasil no momento da coleta. Repare no segundo critério. Uma empresa constituída fora do país, com servidor fora do país, que vende curso para brasileiro, está dentro da LGPD. O critério é o alcance da oferta, não a bandeira do CNPJ. O artigo 4º traz as exceções, e elas são estreitas. Ficam de fora o tratamento feito por pessoa natural para fins particulares e não econômicos, o tratamento para fins exclusivamente jornalísticos, artísticos ou acadêmicos, e o tratamento voltado à segurança pública e à investigação penal. Nenhuma empresa comercial se encaixa nessas hipóteses. Vale dizer o óbvio que muita gente ignora: dado de sócio, de funcionário e de candidato a vaga também é dado pessoal. Empresa que acha que não tem base de clientes porque vende só para outras empresas continua tendo folha de pagamento, currículo recebido e contato do comprador do outro lado. O modelo B2B não isenta ninguém. ## O que conta como dado pessoal Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável. A palavra que faz o trabalho pesado aqui é “identificável”. Não precisa ser nome e CPF. Se o conjunto de informações permite chegar em alguém, é dado pessoal. Na rotina de uma operação digital, isso inclui coisas que raramente aparecem no mapa mental de quem não trabalha com privacidade: - Endereço de IP registrado em log de acesso, obrigação que o Marco Civil da Internet (Lei 12.965/2014) impõe a provedores de aplicação. - Identificadores de cookie e pixel usados para remarketing. - Gravação de ligação do time comercial e transcrição automática de reunião. - Foto e vídeo de cliente usados como prova social em anúncio. - Comportamento de navegação associado a um usuário logado, incluindo carrinho abandonado e histórico de compra. - Número de telefone em grupo de WhatsApp de turma de curso. Existe ainda a categoria de dado pessoal sensível, tratada no artigo 11: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético e dado biométrico. As bases legais para tratar dado sensível são mais restritas e a exigência de cuidado é maior. Isso pega negócios que não se veem como área da saúde, como plataforma de nutrição, academia com avaliação física e aplicativo de bem-estar. Dado de criança e adolescente tem regra própria no artigo 14, com exigência de consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal quando a base for o consentimento. Quem produz conteúdo ou app com público jovem precisa olhar esse ponto antes de qualquer outra coisa. ![Bases legais para tratamento de dados sob a LGPD nas empresas](https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/o-que-e-lgpd-adequacao-empresa-body1-2.webp)## Base legal: o erro de achar que tudo se resolve com consentimento Este é o ponto onde a maioria dos projetos de adequação começa errado. A LGPD não exige consentimento para tudo. Ela exige que exista uma base legal, e o consentimento é apenas uma das dez hipóteses do artigo 7º. Escolher consentimento quando outra base se aplica cria um problema operacional sério: consentimento pode ser revogado a qualquer momento, de forma gratuita e facilitada. Se a empresa apoiou a emissão de nota fiscal no consentimento do cliente, ela entra em contradição com a obrigação fiscal no dia em que alguém revogar. Situação real da operaçãoBase legal que costuma se aplicarPor queCadastro do cliente para entregar o produto compradoExecução de contratoSem o dado, o contrato não se cumpre. Consentimento aqui é desnecessário e frágil.Emissão de nota fiscal e guarda de documentos fiscaisCumprimento de obrigação legal ou regulatóriaA empresa é obrigada por outra lei a manter o registro.Newsletter e disparo de campanha para quem não é clienteConsentimentoComunicação de marketing para lista fria depende de manifestação livre e informada.Prevenção a fraude no checkoutProteção do crédito ou legítimo interesseA finalidade é legítima e o titular tem expectativa razoável desse controle.Retenção de contrato encerrado para defesa em eventual processoExercício regular de direitosProva precisa sobreviver ao fim da relação, dentro de prazo justificável.Análise de comportamento de navegação para melhorar o produtoLegítimo interesse, com teste documentadoExige avaliação de necessidade e transparência sobre a finalidade.O legítimo interesse merece um aviso. Ele não é curinga. A lei condiciona seu uso a finalidades legítimas, à consideração das expectativas do titular e à adoção de medidas para garantir transparência. Na prática, isso significa registrar por escrito por que aquele tratamento é necessário, que alternativa menos invasiva foi descartada e como o titular pode se opor. Empresa que escreve “legítimo interesse” na política de privacidade sem nenhum documento por trás está apenas anotando um risco. ## O que a lei exige, na prática, de uma empresa digital Adequação não é comprar um selo nem colar um banner de cookies. É um conjunto de entregas que se sustentam umas nas outras. ### Mapear o que entra, onde fica e por quanto tempo O primeiro documento de qualquer projeto sério é o inventário de dados. Quais dados a empresa coleta, por qual canal, com qual finalidade, em qual sistema ficam, quem tem acesso, para quem são compartilhados e quando são descartados. O artigo 37 fala em registro das operações de tratamento, e é disso que se trata. Sem esse mapa, todo o resto é chute. O mapa costuma revelar surpresas. Planilha de clientes no computador pessoal de um freelancer, integração antiga que continua sincronizando a base, formulário que pede CPF sem razão, backup que nunca é apagado. ### Ajustar o que o site e o app dizem Política de privacidade, aviso de cookies e termos de uso são a face pública da adequação. Uma política honesta descreve o que a empresa realmente faz, cita as finalidades, indica as bases legais, informa o tempo de retenção, aponta com quem os dados são compartilhados e mostra o canal de contato do encarregado. Política copiada de concorrente é prova contra a própria empresa, porque descreve tratamento que ela não faz e omite o que faz. O tema aparece em detalhe no material sobre [contratos digitais e termos de uso](https://diegocastroadvogado.com.br/contratos-digitais-e-termos-de-uso). ### Colocar contrato entre a empresa e seus fornecedores Toda ferramenta que recebe dado da sua base é um operador ou um controlador conjunto. Plataforma de e-mail, CRM, checkout, gateway de pagamento, ferramenta de suporte, agência que gerencia campanha, freelancer que edita vídeo com imagem de cliente. A relação precisa estar em contrato, com cláusula de proteção de dados que defina finalidade, sigilo, subcontratação, segurança, devolução ou eliminação ao final e responsabilidade por incidente. Agência que recebe base de cliente para subir público personalizado em plataforma de anúncio está tratando dado de terceiro e responde por isso, assunto que também aparece no conteúdo voltado a [agências de tráfego pago](https://diegocastroadvogado.com.br/advogado-para-agencias-de-trafego-pago). ### Nomear um encarregado O artigo 41 prevê a figura do encarregado pelo tratamento de dados pessoais, o canal entre a empresa, os titulares e a ANPD. A identidade e o contato precisam ser divulgados publicamente, normalmente no site. Não existe exigência legal de que seja advogado ou de que seja funcionário exclusivo. Existe exigência de que a pessoa seja alcançável e consiga fazer a comunicação acontecer. ### Definir segurança compatível O artigo 46 fala em medidas de segurança, técnicas e administrativas aptas a proteger os dados. A lei não lista ferramentas, e isso é proposital: o que se espera de uma operação com trinta mil clientes é diferente do que se espera de um consultório. O básico que quase nenhuma empresa pequena tem completo é controle de acesso por pessoa, segundo fator de autenticação, revogação de acesso no desligamento e backup testado. ![Direitos do titular e conformidade com a ANPD](https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/o-que-e-lgpd-adequacao-empresa-body2-2.webp)## Os direitos do titular e o que fazer quando alguém exerce O artigo 18 lista os direitos que qualquer pessoa pode exercer perante a empresa: confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, eliminação dos dados tratados com consentimento, informação sobre compartilhamento, informação sobre a possibilidade de não consentir e revogação do consentimento. O que costuma faltar não é vontade de atender, é processo. Quando chega um pedido, alguém precisa saber em qual sistema procurar, quem autoriza a exclusão, o que não pode ser apagado por obrigação legal de guarda e em quanto tempo responder. Sem fluxo definido, o pedido morre na caixa de entrada e vira reclamação na ANPD ou ação no Juizado. Um detalhe que gera confusão: eliminar não é sempre possível. Se a empresa precisa manter documento fiscal por prazo legal, ou precisa preservar prova de uma relação que pode virar litígio, ela pode recusar a exclusão total explicando a razão e mantendo apenas o mínimo necessário. O erro é não responder ou responder que apagou tudo quando não apagou. ## Empresa pequena tem tratamento diferente? Tem, mas menos do que se imagina. A ANPD editou a Resolução CD/ANPD nº 2/2022, que estabelece um regime simplificado para agentes de tratamento de pequeno porte, incluindo microempresas, empresas de pequeno porte, startups e pessoas jurídicas de direito privado sem fins lucrativos, desde que não realizem tratamento de alto risco. O que esse regime flexibiliza são formalidades: prazos maiores para alguns deveres, política de segurança simplificada, dispensa da indicação formal de encarregado desde que exista canal de comunicação com o titular. O núcleo da lei continua igual. Base legal, transparência, direito do titular e comunicação de incidente seguem obrigatórios. E a exceção do alto risco derruba boa parte dos negócios digitais que se imaginam cobertos. Tratamento em larga escala, uso de novas tecnologias para perfilamento, decisão automatizada com efeito relevante e tratamento de dado sensível puxam a operação para fora do regime simplificado. Uma plataforma de nutrição com dez mil usuários e dado de saúde não é caso de regime simplificado, mesmo sendo microempresa. ## O que acontece se a empresa ignorar O artigo 52 lista as sanções administrativas que a ANPD pode aplicar. Advertência com prazo para medidas corretivas. Multa simples de até 2% do faturamento da empresa ou grupo no Brasil no último exercício, excluídos os tributos, limitada a cinquenta milhões de reais por infração. Multa diária. Publicização da infração. Bloqueio e eliminação dos dados envolvidos. Suspensão parcial do funcionamento do banco de dados por até seis meses. Suspensão da atividade de tratamento por até seis meses. Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. A multa não é a parte mais dolorosa para uma operação digital. Suspensão de banco de dados significa parar de vender. Empresa que não pode usar a própria base por seis meses não tem problema de compliance, tem problema de sobrevivência. E o risco administrativo é apenas um dos três. Os outros dois aparecem antes e com mais frequência: 1. **Risco judicial individual.** Titular que se sente lesado processa por dano. Vazamento, disparo indevido, uso de imagem sem autorização e recusa de exclusão são causas de pedir comuns em ações de consumidor, que se somam ao Código de Defesa do Consumidor e ao Marco Civil da Internet. 2. **Risco contratual.** Cliente corporativo grande manda questionário de privacidade antes de assinar. Empresa que não consegue responder onde ficam os dados e quem tem acesso perde contrato sem nunca ter visto a ANPD. Esse é hoje o motivo mais frequente pelo qual empresas digitais procuram adequação, e vale tanto para [negócios SaaS](https://diegocastroadvogado.com.br/advogado-para-saas) quanto para prestadores de serviço que atendem grandes contas. ## Incidente de segurança: o que a lei obriga O artigo 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve mencionar a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente e as medidas adotadas para reverter ou mitigar os efeitos. Duas coisas costumam dar errado nesse momento. A primeira é a empresa demorar dias para entender o que aconteceu porque não tem log nem inventário. A segunda é comunicar mal, com texto que minimiza o problema e depois se prova falso. Um plano de resposta escrito antes do incidente, com responsáveis nomeados e roteiro de comunicação, é o que separa um episódio administrável de uma crise pública. ![Roteiro prático de adequação à LGPD sem travar a operação](https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/o-que-e-lgpd-adequacao-empresa-body3-2.webp)## Por onde começar sem travar a operação Adequação vira projeto eterno quando começa pelo documento em vez do mapa. Uma sequência que funciona para empresa digital pequena e média: 1. **Inventário rápido.** Listar canais de entrada de dado, sistemas onde eles ficam e pessoas com acesso. Conversar com quem opera resolve mais do que enviar questionário. 2. **Corte do excesso.** Parar de coletar o que não se usa, apagar base sem origem conhecida, revogar acesso de quem saiu, desligar integração morta. Essa etapa reduz risco antes de qualquer documento novo ser escrito. 3. **Definição de base legal por finalidade.** Para cada uso, apontar a hipótese do artigo 7º ou do artigo 11 e registrar o raciocínio. 4. **Documentos públicos.** Política de privacidade, aviso de cookies e termos de uso reescritos a partir do inventário, não de modelo. 5. **Contratos com fornecedores e clientes.** Cláusula de proteção de dados e, quando o volume justificar, acordo específico de tratamento. 6. **Processo de atendimento ao titular e plano de incidente.** Canal, responsável, prazo interno e roteiro escrito. 7. **Treinamento curto do time.** Quem atende cliente e quem opera campanha precisa saber o que pode e o que não pode pedir. Empresas que tratam isso como rotina, e não como projeto de uma vez só, gastam menos e sofrem menos. É o formato que costuma funcionar melhor em [acompanhamento jurídico mensal](https://diegocastroadvogado.com.br/plano-mensal-para-agencia-de-marketing), porque a base de dados muda toda vez que a empresa lança um produto, troca de ferramenta ou contrata um fornecedor novo. ## Erros que aparecem em quase toda auditoria - Política de privacidade que fala de “cookies de terceiros” sem listar nenhum e sem oferecer escolha real. - Formulário que pede CPF, data de nascimento e endereço completo para entregar um e-book. - Base de leads comprada ou raspada, usada em disparo, sem qualquer origem documentada. - Ferramenta de IA alimentada com base de clientes sem checar o que o fornecedor faz com aquele conteúdo. - Ex-funcionário com acesso ativo ao CRM meses depois do desligamento. - Print de conversa de cliente publicado como prova social sem autorização. - Contrato com agência ou freelancer sem uma linha sequer sobre dados pessoais, tema recorrente também em [contratos com influenciadores](https://diegocastroadvogado.com.br/contrato-com-influenciador-digital). Nenhum desses itens exige tecnologia cara para ser corrigido. Exige decisão e alguém responsável por executar. ## Perguntas frequentes ### Minha empresa é MEI, a LGPD vale para mim? Vale. A lei se aplica a qualquer pessoa jurídica ou natural que trate dados pessoais em atividade econômica. O que muda é o regime simplificado da Resolução CD/ANPD nº 2/2022 para agentes de pequeno porte, que flexibiliza formalidades, mas mantém base legal, transparência e direitos do titular. ### Preciso de consentimento para mandar e-mail para minha base de clientes? Depende do conteúdo. Comunicação necessária à execução do contrato, como aviso de entrega ou suporte, tem base própria. Já campanha de venda de produto novo para quem não pediu costuma exigir consentimento ou uma análise documentada de legítimo interesse, com opção clara de descadastro em toda mensagem. ### Guardar os dados em servidor fora do Brasil é proibido? Não é proibido. A LGPD trata de transferência internacional no artigo 33 e admite várias hipóteses, incluindo cláusulas contratuais específicas e países com nível adequado de proteção. O que a empresa precisa é saber para onde os dados vão, ter previsão contratual com o fornecedor e informar isso na política de privacidade. ### Contratar uma ferramenta de “conformidade LGPD” resolve? Resolve uma parte. Banner de cookies, gestão de consentimento e canal de titular são úteis, mas nenhuma ferramenta define base legal, revisa contrato com fornecedor ou decide o que pode ser apagado. Sem o inventário e as decisões jurídicas por trás, o software só documenta melhor um problema que continua existindo. ### Quanto tempo leva uma adequação completa? Para uma empresa digital pequena, com poucos sistemas, o ciclo de diagnóstico, documentos e contratos costuma levar de seis a doze semanas, dependendo da velocidade com que o time responde ao levantamento. Operações com muitos fornecedores, dado sensível ou base grande levam mais. ## Próximo passo Se a sua empresa coleta dado e ninguém consegue responder onde ele fica, quem tem acesso e por que foi coletado, o risco já existe e não depende de fiscalização para aparecer. Uma conversa de trinta minutos costuma ser suficiente para identificar as duas ou três frentes que precisam de atenção imediata. [Fale com o escritório pelo WhatsApp](https://wa.me/5511956644208?text=Ol%C3%A1%20Dr.%20Diego%2C%20tudo%20bom%3F%20Preciso%20de%20ajuda%20de%20um%20advogado%20especialista.) e descreva o cenário em poucas linhas. *Este conteúdo é informativo e não substitui análise jurídica individual. Bases legais, prazos de retenção e medidas de segurança dependem do modelo de negócio, dos dados tratados e das obrigações setoriais aplicáveis ao caso concreto.* --- **Sobre o autor:** Diego Castro é advogado inscrito na OAB/PI sob o número 15.613, especialista em Direito Digital, LGPD e contratos para empresas de tecnologia. Fundou o escritório Diego Castro Advogado em 2017, com atuação nacional e bases em Teresina e São Paulo.