Leis de Proteção de Dados no Brasil: Guia de Conformidade com a LGPD (2026)

A Lei Geral de Proteção de Dados do Brasil (Lei nº 13.709/2018), em vigor desde setembro de 2020, é a lei abrangente de proteção de dados do país. Ela se aplica a qualquer organização que trate dados pessoais no Brasil, prevê 10 bases legais para o tratamento nos termos do Artigo 7º e é fiscalizada pela ANPD, com multas de até R$ 50 milhões por infração.

A Lei Geral de Proteção de Dados do Brasil (LGPD), promulgada como Lei nº 13.709/2018, é a lei geral de proteção de dados do país e uma das estruturas de privacidade mais abrangentes da América Latina. A lei está em vigor desde 18 de setembro de 2020, aplica-se extraterritorialmente a qualquer organização que trate dados de pessoas no Brasil, e é fiscalizada pela Agência Nacional de Proteção de Dados (ANPD). Para uma comparação lado a lado entre a estrutura brasileira e o GDPR da União Europeia, veja nossa comparação entre GDPR e LGPD. Para as regras de consentimento para gravações no Brasil, veja leis de gravação no Brasil.

O Que É a LGPD?

A Lei Geral de Proteção de Dados do Brasil, conhecida como LGPD, é a lei geral de proteção de dados do país. Promulgada como Lei nº 13.709, de 14 de agosto de 2018, e em vigor desde 18 de setembro de 2020, a LGPD unificou aproximadamente 40 leis brasileiras diferentes que anteriormente regulavam diversos aspectos do tratamento de dados pessoais.

A lei se aplica a qualquer pessoa física ou jurídica, de direito público ou privado, que trate dados pessoais no Brasil. Ela tem alcance extraterritorial explícito, o que significa que se aplica a qualquer empresa estrangeira que ofereça bens ou serviços a pessoas no Brasil, colete dados pessoais de residentes brasileiros ou opere por meio de uma subsidiária brasileira.

A LGPD se inspira fortemente no Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, mas inclui diversas disposições exclusivas do cenário jurídico e comercial brasileiro. Ela estabelece uma estrutura abrangente que cobre coleta, armazenamento, tratamento, compartilhamento e eliminação de dados, com fortes proteções para os direitos individuais de privacidade.

A Proteção de Dados como Direito Constitucional (EC 115/2022)

Em 10 de fevereiro de 2022, o Congresso Nacional promulgou a Emenda Constitucional nº 115 (EC 115/2022), que elevou a proteção de dados pessoais a direito fundamental explícito, no âmbito da Constituição Federal de 1988. A emenda acrescentou o inciso LXXIX ao Artigo 5º, que passou a dispor: "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais".

Essa mudança constitucional tem dois grandes efeitos práticos. Primeiro, a proteção de dados pessoais passa a ter o mesmo status constitucional de outros direitos fundamentais previstos no Artigo 5º, como a privacidade, a liberdade de expressão e o direito ao devido processo legal. Qualquer legislação ou ato governamental que viole os direitos de proteção de dados fica sujeito a questionamento constitucional. Segundo, a EC 115/2022 conferiu à União competência exclusiva para legislar sobre proteção e tratamento de dados pessoais. Isso impede que estados e municípios editem normas de privacidade conflitantes, garantindo a aplicação uniforme da LGPD em todos os estados e territórios brasileiros.

A emenda teve origem na Proposta de Emenda à Constituição nº 17/2019 e foi motivada, em parte, pela entrada em vigor da LGPD, que já havia estabelecido uma estrutura legal. A EC 115/2022 conferiu a essa estrutura um alicerce constitucional, reforçando os princípios da LGPD no próprio texto da constituição. A Comissão Europeia citou a emenda constitucional como um dos fatores que sustentaram a decisão de adequação do Brasil em janeiro de 2026.

A ANPD: a Autoridade de Proteção de Dados do Brasil

A Agência Nacional de Proteção de Dados (ANPD) é a autoridade nacional de proteção de dados do Brasil, criada pela LGPD para supervisionar, fiscalizar e regulamentar a proteção de dados em todo o país. Ela foi conhecida como Autoridade Nacional de Proteção de Dados até 2026.

A autoridade começou como órgão da Presidência da República. A Lei nº 14.460/2022 a transformou em autarquia de natureza especial. A Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352, de 25 de fevereiro de 2026, deu nova redação ao Artigo 55-A da LGPD para criar a Agência Nacional de Proteção de Dados como autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, regida pela Lei das Agências Reguladoras (Lei nº 13.848/2019), com autonomia funcional, técnica, decisória, administrativa e financeira.

A mesma lei incluiu a ANPD na lista de agências reguladoras do Artigo 2º da Lei nº 13.848/2019, acrescentou uma unidade de auditoria interna à sua estrutura e criou uma carreira própria de regulação e fiscalização de proteção de dados para o seu quadro de pessoal.

As atribuições da ANPD incluem editar normas e diretrizes sobre proteção de dados, apurar denúncias e possíveis infrações, aplicar sanções administrativas por descumprimento, promover a conscientização pública sobre os direitos de proteção de dados e cooperar com autoridades de proteção de dados de outros países.

Em novembro de 2025, a ANPD lançou seu Painel de Fiscalização no gov.br/anpd, uma ferramenta interativa que fornece dados agregados sobre ações de supervisão, procedimentos preparatórios e processos administrativos. Esse painel representa um avanço significativo em direção à transparência na fiscalização.

Agenda Regulatória da ANPD para 2025-2026

A ANPD publicou uma agenda regulatória atualizada que prioriza diversas áreas-chave. Elas incluem a proteção dos direitos dos titulares, regras de tratamento de dados biométricos, governança e padrões de segurança para inteligência artificial, diretrizes de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), compartilhamento de dados por entidades governamentais e medidas de segurança para tratamentos de alto risco.

Para o biênio 2026-2027, a ANPD identificou quatro temas prioritários para maior fiscalização: os direitos dos titulares (com atenção especial a dados sensíveis usados para fins publicitários), a proteção de crianças e adolescentes on-line (incluindo a conformidade com o ECA Digital, a verificação de idade e o bloqueio de conteúdo impróprio), o tratamento de dados pessoais por autoridades públicas, e a inteligência artificial e tecnologias emergentes. Essas prioridades refletem a intenção declarada da ANPD de avançar de uma postura educativa para uma fiscalização ativa em todos os setores.

As 10 Bases Legais para o Tratamento de Dados

Uma das características centrais da LGPD é que ela estabelece 10 bases legais para o tratamento lícito de dados pessoais, previstas no Artigo 7º. Não há hierarquia entre essas bases. As organizações devem identificar a base legal mais adequada para cada atividade específica de tratamento, considerando a finalidade e a relação com o titular dos dados.

1. Consentimento

O titular dos dados fornece consentimento livre, informado e inequívoco para uma finalidade específica. O consentimento deve ser dado por escrito ou por outro meio que demonstre a manifestação de vontade do titular. Ele pode ser revogado a qualquer momento, e o controlador deve informar o titular sobre as consequências da revogação.

2. Cumprimento de Obrigação Legal ou Regulatória

O tratamento é necessário para o cumprimento de obrigação legal ou regulatória pelo controlador. Isso abrange situações em que a lei brasileira exige a coleta ou retenção de determinados dados, como registros fiscais, dados trabalhistas ou exigências de prevenção à lavagem de dinheiro.

3. Execução de Políticas Públicas

O tratamento é necessário para a execução de políticas públicas previstas em leis e regulamentos, ou respaldadas em contratos, convênios ou instrumentos congêneres. Essa base está disponível exclusivamente para a administração pública.

4. Realização de Estudos por Órgão de Pesquisa

Órgãos de pesquisa podem tratar dados pessoais para a realização de estudos de caráter histórico, científico, tecnológico ou estatístico. Sempre que possível, os dados devem ser anonimizados. Essa base exige o cumprimento de padrões éticos e não pode ser usada para fins comerciais sem outro fundamento legal adicional.

5. Execução de Contrato

O tratamento é necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o titular dos dados seja parte. Isso abrange o tratamento necessário para cumprir obrigações contratuais a pedido do titular.

6. Exercício Regular de Direitos

O tratamento é necessário para o exercício regular de direitos em processo judicial, administrativo ou arbitral. Isso permite que as organizações tratem dados pessoais quando necessário para constituir, exercer ou defender direitos em um processo.

7. Proteção da Vida ou da Incolumidade Física

O tratamento é necessário para a proteção da vida ou da incolumidade física do titular ou de terceiro. Essa base de emergência se aplica em situações em que obter o consentimento não é viável e há uma ameaça imediata à vida ou à segurança de alguém.

8. Tutela da Saúde

O tratamento é necessário para fins de tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridades sanitárias. Essa base abrange o tratamento médico, medidas de saúde pública e pesquisas relacionadas à saúde conduzidas por entidades qualificadas.

9. Legítimo Interesse

O tratamento é necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto quando prevalecerem os direitos e liberdades fundamentais do titular dos dados. Os controladores que se baseiam nessa hipótese devem realizar um teste de ponderação e manter documentação de sua avaliação.

10. Proteção do Crédito

O tratamento é necessário para a proteção do crédito, incluindo a pontuação de crédito (credit scoring). Essa é uma base legal exclusiva da LGPD, não encontrada no GDPR. Ela reflete o extenso sistema brasileiro de cadastro de crédito e permite o tratamento de dados para avaliações de capacidade creditícia e prevenção a fraudes.

Os Direitos dos Titulares de Dados na LGPD

O Artigo 18 da LGPD garante aos titulares de dados nove direitos sobre seus dados pessoais, previstos nos incisos I a IX. Esses direitos podem ser exercidos a qualquer momento e gratuitamente, mediante requisição ao controlador.

O Artigo 19 fixa o prazo de resposta, e esse é o número mais relevante na prática deste capítulo. A confirmação da existência de tratamento ou o acesso aos dados devem ser fornecidos imediatamente, em formato simplificado, ou no prazo de até 15 dias, por meio de declaração clara e completa que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, resguardados os segredos comercial e industrial. Quando o controlador não puder adotar de imediato a providência solicitada, o Artigo 18, § 4º, exige que ele responda comunicando que não é agente de tratamento e indicando, sempre que possível, o agente, ou apontando as razões de fato ou de direito que impedem a adoção imediata da providência. Os agentes de tratamento de pequeno porte têm o dobro desses prazos e até 15 dias para a declaração simplificada.

Confirmação da Existência de Tratamento. Os titulares de dados têm o direito de confirmar se seus dados pessoais estão sendo tratados por um controlador.

Acesso aos Dados. As pessoas podem solicitar acesso aos seus dados pessoais mantidos pelo controlador, incluindo informações sobre quais dados estão sendo tratados e de que forma.

Correção de Dados Incompletos, Inexatos ou Desatualizados. Os titulares de dados podem solicitar a correção de dados pessoais incompletos, inexatos ou desatualizados.

Anonimização, Bloqueio ou Eliminação. As pessoas podem solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.

Portabilidade dos Dados. Os titulares de dados têm o direito de solicitar a portabilidade de seus dados pessoais para outro fornecedor de serviço ou produto, nos termos da regulamentação da ANPD.

Eliminação dos Dados Tratados com Consentimento. As pessoas podem solicitar a eliminação de dados pessoais tratados com base no consentimento, exceto quando o controlador tiver base legal para retê-los.

Informação sobre o Compartilhamento. Os titulares de dados têm o direito de saber com quais entidades públicas e privadas o controlador compartilhou seus dados.

Informação sobre a Possibilidade de Não Consentir. As pessoas devem ser informadas sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa recusa.

Revogação do Consentimento. Os titulares de dados podem revogar seu consentimento a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado, ao controlador.

A Revisão de Decisões Automatizadas (Artigo 20)

As decisões automatizadas são regidas pelo Artigo 20, e não pelo Artigo 18, e o direito é de revisão, não de explicação. Nos termos do Artigo 20, o titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

Vale ler a redação com atenção. O texto original de 2018 previa a revisão por pessoa natural. Essa expressão foi retirada pela Medida Provisória nº 869/2018, e a supressão permanece na redação atual, dada pela Lei nº 13.853/2019. A LGPD garante, portanto, a revisão, mas não um revisor humano.

O Artigo 20, § 1º, exige que o controlador forneça, sempre que solicitado, informações claras e adequadas a respeito dos critérios e procedimentos utilizados na decisão automatizada, observados os segredos comercial e industrial. Quando o controlador deixa de fornecer essas informações com base em sigilo, o Artigo 20, § 2º, permite que a ANPD realize auditoria para verificar aspectos discriminatórios no tratamento.

Dados Pessoais Sensíveis

A LGPD prevê proteção reforçada para os dados pessoais sensíveis. Nos termos do Artigo 5º, II, dado pessoal sensível é aquele referente à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico quando vinculado a uma pessoa natural.

A lei fala em vida sexual, e não em orientação sexual. Essa é a categoria mais ampla: dados sobre atividade, histórico ou práticas sexuais são sensíveis, revelem ou não a orientação da pessoa.

O tratamento de dados sensíveis exige consentimento específico e destacado do titular, com informações claras sobre as finalidades do tratamento. Sem consentimento, os dados sensíveis somente podem ser tratados quando isso for indispensável para uma das sete hipóteses do Artigo 11, II: cumprimento de obrigação legal ou regulatória; tratamento compartilhado de dados necessário à execução de políticas públicas pela administração pública; realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização; exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; proteção da vida ou da incolumidade física; tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; e prevenção à fraude e à segurança do titular nos processos de identificação e autenticação.

Essa quarta hipótese passa despercebida com facilidade, e ela importa. O legítimo interesse do Artigo 7º, IX, não tem correspondente no Artigo 11, então ele nunca está disponível para dados sensíveis. A execução de contrato do Artigo 7º, V, também não é, por si só, uma base do Artigo 11. Mas o Artigo 11, II, alínea d, permite o tratamento de dados sensíveis sem consentimento para o exercício regular de direitos, e o texto diz inclusive em contrato, abrangendo expressamente os direitos decorrentes de um contrato. A LGPD também proíbe o compartilhamento de dados sensíveis relacionados à saúde entre controladores com o objetivo de obter vantagem econômica. O Artigo 11, § 4º, excetua apenas as hipóteses relativas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia, e somente para permitir a portabilidade de dados quando solicitada pelo titular ou as transações financeiras e administrativas resultantes do uso e da prestação desses serviços.

Exigências quanto ao Encarregado de Proteção de Dados

O Artigo 41 da LGPD exige que todo controlador indique um Encarregado de Proteção de Dados (DPO, chamado de "encarregado" em português). O encarregado atua como o principal canal de comunicação entre o controlador, os titulares de dados e a ANPD.

As atribuições do encarregado incluem receber reclamações e comunicações dos titulares e prestar esclarecimentos, receber comunicações da ANPD e adotar as providências cabíveis, orientar os funcionários e contratados do controlador sobre práticas de proteção de dados, e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

A norma que rege a matéria é a Resolução CD/ANPD nº 18, de 16 de julho de 2024, que estabelece regras complementares sobre a indicação do encarregado e o exercício da função. A indicação deve ser feita por ato formal, ou seja, documento escrito, datado e assinado, que designe com clareza a pessoa natural ou jurídica e informe como a função será exercida, devendo ser apresentado à ANPD quando solicitado (art. 3º). Um substituto deve ser formalmente designado para cobrir ausências, impedimentos e vacância (art. 4º). O agente de tratamento deve divulgar a identidade e as informações de contato do encarregado de forma pública, clara, em local visível e de fácil acesso em seu site, mantendo-as atualizadas (arts. 8º e 9º).

A mesma resolução confirma que a função não pressupõe inscrição em qualquer entidade, nem certificação ou formação profissional específica (art. 14), que o encarregado deve ser capaz de se comunicar com os titulares e com a ANPD de forma clara e em português (art. 13), e que um mesmo encarregado pode atuar para mais de um agente de tratamento, desde que as atribuições de cada agente possam ser plenamente cumpridas e não haja conflito de interesses (art. 19). O exercício da função não transfere ao encarregado a responsabilidade do agente de tratamento pelo cumprimento da lei (art. 17).

Os agentes de tratamento de pequeno porte, conforme definidos pela Resolução CD/ANPD nº 2/2022, estão dispensados da obrigatoriedade de indicar um encarregado. Essa dispensa se aplica a microempresas, pequenas empresas, startups e pessoas físicas ou jurídicas cujas atividades de tratamento de dados apresentem risco limitado. Ainda assim, a ANPD recomenda a indicação voluntária como boa prática.

Em novembro de 2024, a ANPD instaurou processos contra 20 empresas por não terem indicado ou divulgado publicamente um encarregado. Até abril de 2025, todas as empresas haviam regularizado sua situação, demonstrando tanto a disposição da ANPD de atuar contra organizações em desconformidade quanto a eficácia de campanhas de fiscalização direcionadas.

Exigências de Comunicação de Incidentes de Segurança

A LGPD exige que os controladores comuniquem incidentes de segurança envolvendo dados pessoais à ANPD e aos titulares afetados. A Resolução CD/ANPD nº 15/2024, adotada em 24 de abril de 2024, estabeleceu exigências detalhadas para esse processo de comunicação.

Prazo. Os controladores devem comunicar a ANPD e os titulares afetados no prazo de três dias úteis a partir do conhecimento de que um incidente de segurança envolveu dados pessoais com probabilidade de acarretar risco ou dano relevante. Caso as informações completas ainda não estejam disponíveis, uma comunicação preliminar pode ser apresentada dentro desse prazo, com informações complementares devidas em até 20 dias úteis.

Os agentes de tratamento de pequeno porte têm prazo em dobro, ou seja, seis dias úteis, nos termos do Artigo 14, II, da Resolução CD/ANPD nº 2/2022, na redação dada pela Resolução CD/ANPD nº 15/2024.

Conteúdo da Comunicação. A comunicação deve incluir a descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas para a proteção dos dados (resguardado o sigilo comercial e industrial), os riscos relacionados ao incidente, as medidas adotadas para reverter ou mitigar os efeitos do incidente e as razões para eventual atraso na comunicação, caso o prazo de três dias não tenha sido cumprido.

Comunicação aos Titulares. Quando exigida a comunicação individual, ela deve ser feita em linguagem simples e de fácil compreensão. Os controladores devem contatar os titulares diretamente por e-mail, SMS, carta ou mensagem eletrônica, preferencialmente usando o canal de comunicação normalmente utilizado com o titular. Caso o controlador não consiga identificar todas as pessoas afetadas, deve divulgar publicamente o incidente em seu site, aplicativos, redes sociais e canais de atendimento ao consumidor por, no mínimo, três meses.

Papel do Encarregado na Comunicação. A comunicação do incidente deve ser apresentada pelo encarregado ou pelo representante legal do controlador, com a respectiva documentação de nomeação ou procuração, utilizando o formulário de comunicação de incidente disponibilizado pela ANPD.

Penalidades e Fiscalização pela ANPD

A LGPD estabelece um sistema gradativo de sanções administrativas para casos de descumprimento, previsto nos Artigos 52 a 54. A ANPD classifica as infrações como leves, médias ou graves nos termos da Resolução CD/ANPD nº 4/2023, que define a metodologia de cálculo do valor das multas (dosimetria) e determina a gravidade das sanções aplicadas.

Tipos de Sanções

Advertência. A ANPD pode aplicar advertência, com indicação de prazo para a adoção de medidas corretivas pelo controlador.

Multa Simples. Multas de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitadas a R$ 50 milhões por infração. O Artigo 52, II, torna esse valor de R$ 50 milhões um teto absoluto, e não uma alternativa ao percentual.

Multa Diária. A ANPD pode impor multas diárias, observado o mesmo limite de R$ 50 milhões, com o objetivo de compelir o cumprimento da obrigação dentro de um prazo determinado.

Publicização da Infração. Após a devida apuração e confirmação da violação, a ANPD pode divulgar publicamente a infração, o que pode causar dano reputacional significativo.

Bloqueio dos Dados. A ANPD pode determinar o bloqueio dos dados pessoais relacionados à infração até a regularização do tratamento.

Eliminação dos Dados. A autoridade pode determinar a eliminação total dos dados pessoais relacionados à infração.

Suspensão do Tratamento. A ANPD pode suspender o funcionamento do tratamento de dados por até seis meses, prorrogável, até a regularização da infração pelo controlador.

Proibição do Tratamento. Em casos graves, a ANPD pode impor a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Órgãos Públicos Não Podem Ser Multados. O Artigo 52, § 3º, limita quais dessas sanções podem ser aplicadas às entidades e aos órgãos públicos. Cabem advertência, publicização da infração, bloqueio, eliminação, suspensão e proibição. Não cabem multa simples nem multa diária. Isso não afasta os regimes próprios da Lei nº 8.112/1990, da Lei nº 8.429/1992 e da Lei nº 12.527/2011.

Ações de Fiscalização Relevantes

Até 2025, as sanções pecuniárias da ANPD foram muito pequenas. A lista publicada de processos administrativos sancionadores concluídos aponta oito casos, e sete deles envolvem órgãos públicos, que o Artigo 52, § 3º, exclui por completo do regime de multas. A única multa entre eles foi a de R$ 14.400 aplicada à Telekall em 2023.

Isso mudou em 25 de agosto de 2026, quando a ANPD multou a ByteDance em R$ 153,7 milhões. Os órgãos públicos seguem fora do regime de multas, mas os controladores privados passam a enfrentar um teto de nove dígitos já demonstrado, e não o de cinco dígitos que o histórico anterior sugeria.

Telekall Infoservice (2023). A primeira ação sancionatória da ANPD teve como alvo essa pequena empresa de telecomunicações, após denúncia de que ela oferecia uma lista de contatos de WhatsApp de eleitores para uso em campanha eleitoral. A autoridade identificou três infrações, e elas não receberam a mesma sanção. O tratamento de dados pessoais sem base legal (Artigo 7º) e o descumprimento das solicitações da equipe de fiscalização (Artigo 5º da Resolução CD/ANPD nº 1/2021) receberam, cada um, multa simples, limitada por infração a 2% do faturamento bruto da microempresa nos termos do Artigo 52, II, totalizando R$ 14.400. A falta de indicação de encarregado (Artigo 41) resultou em advertência, e não em multa. Embora modesto no valor, o caso sinalizou que as obrigações de conformidade se aplicam a empresas de todos os portes.

IAMSPE (2024). A segunda ação sancionatória da ANPD teve como alvo o Instituto de Assistência Médica ao Servidor Público Estadual de São Paulo (IAMSPE), um órgão público de saúde. As sanções decorreram de um incidente de segurança no qual dados pessoais de servidores estaduais e seus dependentes foram acessados por um usuário externo não autorizado. A ANPD aplicou duas advertências: a primeira por não comunicar a ANPD e os titulares afetados dentro do prazo exigido (violação do Artigo 48 da LGPD); a segunda por controles de segurança inadequados na proteção de um grande volume de dados pessoais, incluindo dados de titulares vulneráveis, como crianças e idosos (violação do Artigo 49). As entidades do setor público estão sujeitas aos mesmos deveres materiais da LGPD que os controladores privados, mas não às mesmas sanções. Nos termos do Artigo 52, § 3º, elas não podem ser multadas, e foi por isso que o IAMSPE recebeu duas advertências e nenhuma penalidade pecuniária.

Meta Platforms (julho de 2024). A ANPD determinou medida preventiva ordenando que a Meta suspendesse o uso de dados pessoais do Facebook, Instagram e Messenger para o treinamento de seus sistemas de inteligência artificial. A ANPD identificou quatro violações distintas da LGPD: informações inadequadas, proteções insuficientes para dados de crianças e adolescentes, ausência de mecanismos de recusa (opt-out) e desconsideração das expectativas legítimas dos usuários brasileiros de redes sociais. A Meta ficou sujeita a multas diárias de R$ 50.000 em caso de descumprimento. Após a Meta implementar os ajustes exigidos, a medida foi suspensa em agosto de 2024.

TikTok/ByteDance (agosto de 2026). Em 25 de agosto de 2026, a ANPD multou a ByteDance, empresa responsável pelo TikTok, em R$ 153,7 milhões pelo tratamento de dados pessoais de crianças e adolescentes sem base legal válida. É a maior sanção já aplicada com base na LGPD, com ampla margem.

A decisão abrange cinco violações dos Artigos 6º, VIII, 6º, X, e 7º, tanto no feed sem login quanto no feed de contas cadastradas. A ANPD também determinou a eliminação dos dados coletados de forma irregular. A ByteDance tinha dez dias úteis, contados da notificação de 24 de agosto de 2026, para recorrer ao Conselho Diretor da ANPD, prazo que se encerrou no início de setembro de 2026.

Em decisão publicada no mesmo dia, o Conselho Diretor aprovou um plano de conformidade para a plataforma. Ele exige as configurações de privacidade mais restritivas por padrão nas contas de usuários menores de 16 anos, alteráveis somente com autorização do responsável, ferramentas mais robustas de supervisão parental e filtros de conteúdo mais rigorosos. Na experiência sem login, o TikTok deve suspender toda a publicidade no Brasil, impedir publicações, comentários, mensagens diretas, o ato de seguir perfis e transmissões ao vivo, limitar a sessão a 12 horas, restringir o conteúdo a material adequado para todas as idades e reduzir a coleta de dados ao mínimo. O plano está sujeito ao cronograma de verificação de idade definido pelo ECA Digital.

Investigações em Andamento. Em 2026, a ANPD mantém ações fiscalizatórias ativas contra redes sociais (relacionadas a dados de crianças e adolescentes), plataformas de mensagens (questões de transparência e consentimento), programas de fidelidade farmacêuticos e 23 clubes de futebol que utilizam tecnologia de reconhecimento facial para acesso a estádios.

Propostas de Aumento das Penalidades

O Projeto de Lei nº 4530/2023, apresentado no Senado pelo Senador Angelo Coronel em setembro de 2023, propõe aumentos significativos nas penalidades da LGPD. Se aprovado, o percentual máximo da multa passaria de 2% para 20% do faturamento, e o limite absoluto dobraria de R$ 50 milhões para R$ 100 milhões por infração.

O projeto não avançou. Ele nunca saiu da sua primeira comissão, a Comissão de Transparência, Governança, Fiscalização e Controle e Defesa do Consumidor do Senado, e sua situação registrada é de aguardando designação do relator desde 13 de novembro de 2025, quando o relator anterior o devolveu. Ele não foi votado em comissão, muito menos por qualquer das casas. Trate o percentual de 20% como uma proposta, e não como uma tendência.

Transferências Internacionais de Dados e Cláusulas Contratuais Padrão

A LGPD estabelece regras específicas para a transferência internacional de dados pessoais, detalhadas nos Artigos 33 a 36. As transferências somente são permitidas por meio de mecanismos legalmente definidos.

Mecanismos de Transferência

Decisões de Adequação. A ANPD pode reconhecer que um país estrangeiro ou organismo internacional proporciona grau de proteção de dados pessoais adequado. Esse é o mecanismo mais simples, pois permite transferências sem salvaguardas adicionais.

Cláusulas Contratuais Padrão (SCCs). A Resolução CD/ANPD nº 19/2024, publicada em 23 de agosto de 2024, instituiu as Cláusulas Contratuais Padrão aprovadas pela ANPD como o principal mecanismo de transferência para organizações sem decisão de adequação. As SCCs abrangem tanto transferências controlador-controlador quanto controlador-operador. O prazo de adaptação para a implementação dessas SCCs expirou em 23 de agosto de 2025. Desde então, as transferências internacionais de dados só são válidas se houver SCCs ou outro mecanismo aprovado pela ANPD.

Normas Corporativas Globais (BCRs). Para transferências internacionais de dados intragrupo, as organizações podem utilizar normas corporativas globais, que exigem avaliação prévia e aprovação da ANPD. Em setembro de 2026, a própria página de transferência internacional da ANPD informa que nenhuma norma corporativa global foi aprovada pelo Conselho Diretor, o que torna esse mecanismo tecnicamente disponível, mas praticamente inutilizável.

Cláusulas Contratuais Específicas. Quando as SCCs forem insuficientes, as organizações podem utilizar cláusulas contratuais específicas como mecanismo subsidiário. Elas devem se aproximar ao máximo das SCCs e exigem aprovação prévia da ANPD.

Selos, Certificados e Códigos de Conduta. O Artigo 33, II, alínea d, também permite que o controlador comprove as garantias exigidas por meio de selos, certificados e códigos de conduta regularmente emitidos.

Outras Hipóteses Permitidas. As transferências internacionais também são permitidas para cooperação jurídica internacional, proteção da vida ou da incolumidade física, consentimento do titular, cumprimento de obrigação legal ou regulatória, necessidade contratual e exercício regular de direitos em processo.

Na prática, o cardápio é bem menor do que a lei sugere. A página de transferência internacional da ANPD informa que o Conselho Diretor não aprovou até hoje nenhuma cláusula contratual padrão equivalente, nenhuma cláusula contratual específica e nenhuma norma corporativa global, e que a União Europeia é o único reconhecimento de adequação já concedido, por meio da Resolução CD/ANPD nº 32/2026. Restam como mecanismos operativos as Cláusulas Contratuais Padrão da própria ANPD, previstas na Resolução CD/ANPD nº 19/2024, e a decisão de adequação da UE.

A Decisão de Adequação Mútua entre a UE e o Brasil

Em 26 de janeiro de 2026, o Brasil e a União Europeia adotaram decisões de adequação mútua, marcando um momento decisivo para as transferências internacionais de dados entre as duas jurisdições. A medida foi formalizada por meio da Resolução CD/ANPD nº 32/2026, do lado brasileiro, e da correspondente decisão de execução da Comissão Europeia, do lado da UE.

Esse reconhecimento mútuo significa que os dados pessoais podem circular entre o Brasil e a UE de forma direta, segura e sem mecanismos adicionais de transferência, nos termos do Artigo 33, I, da LGPD. A decisão abrange transferências para todos os Estados-membros da UE, além de Islândia, Liechtenstein e Noruega (países do EEE/EFTA), bem como para instituições, órgãos e agências da UE.

O marco de adequação exclui transferências realizadas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e persecução criminal. O acordo está sujeito a revisão a cada quatro anos. Trata-se da primeira decisão de adequação do Brasil e da mais abrangente já adotada pela União Europeia nos termos do GDPR, cobrindo simultaneamente os setores público e privado.

O Projeto de Lei de IA do Brasil (PL 2338/2023)

A proposta de Lei de Inteligência Artificial do Brasil, o Projeto de Lei nº 2338/2023, representa um desenvolvimento regulatório significativo para organizações que utilizam sistemas de IA no tratamento de dados pessoais. O Senado Federal aprovou o projeto em 10 de dezembro de 2024. Em setembro de 2026, ele segue na Câmara dos Deputados, na comissão especial instituída em 29 de abril de 2025, com o Deputado Aguinaldo Ribeiro designado relator em 20 de maio de 2025.

O projeto estabelece uma estrutura baseada em risco, com três níveis. Sistemas de IA de risco excessivo são totalmente proibidos. Sistemas de alto risco, que incluem os utilizados para identificação biométrica, decisões de emprego, pontuação de crédito e serviços sociais, exigem avaliações formais de impacto antes de sua implementação. Sistemas de risco significativo estão sujeitos a obrigações de transparência e divulgação.

Na redação atual do projeto, a ANPD é designada como a principal reguladora de IA. Isso conferiria à ANPD competência sobre sistemas de IA que tratam dados pessoais, criando uma sobreposição direta com a fiscalização da LGPD. O projeto também cria obrigações específicas para modelos de fundação de IA generativa, incluindo exigências de transparência sobre os dados de treinamento.

A análise na Câmara trouxe à tona preocupações conflitantes sobre exceções de vigilância biométrica para fins de segurança pública, o alcance da responsabilidade dos desenvolvedores de modelos de fundação e a relação entre o projeto de IA e as disposições vigentes da LGPD. Em setembro de 2026, a comissão ainda não votou parecer, a movimentação recente do processo consiste na apensação de projetos correlatos, e nenhuma votação em plenário foi agendada. Até que o projeto seja sancionado e entre em vigor, a ANPD regula o tratamento de dados relacionado à IA com base nas disposições vigentes da LGPD, como demonstrado pela ação de fiscalização contra o treinamento de IA da Meta em 2024.

LGPD x GDPR: Principais Diferenças

Embora a LGPD tenha sido inspirada no GDPR, diversas diferenças importantes distinguem as duas estruturas. A tabela abaixo resume as variações estruturais mais significativas.

Uma diferença que a tabela não consegue resumir em uma célula: a LGPD não tem equivalente à lista obrigatória de cláusulas contratuais entre controlador e operador do Artigo 28 do GDPR. O Brasil vincula o operador diretamente por lei, em vez de prescrever o que o contrato deve dizer.

Para uma análise completa de ambas as estruturas, veja nossa comparação entre GDPR e LGPD.

Relatórios de Impacto à Proteção de Dados Pessoais

A LGPD não impõe um dever geral de elaborar Relatório de Impacto à Proteção de Dados Pessoais. Essa é uma leitura equivocada comum, e ela importa, porque a obrigação nasce de uma determinação do regulador, e não da avaliação de risco feita pelo próprio controlador.

O Artigo 38 diz que a autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, nos termos de regulamento e observados os segredos comercial e industrial. O Artigo 10, § 3º, no mesmo sentido, prevê que a ANPD poderá solicitar o relatório ao controlador que fundamentar o tratamento em legítimo interesse. Ambos são poderes discricionários da autoridade, e não deveres autoaplicáveis de todo controlador.

O parágrafo único do Artigo 38 define o conteúdo mínimo do relatório: os tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações, e a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Há um teste de alto risco separado, muitas vezes confundido com um gatilho de RIPD. O Artigo 4º da Resolução CD/ANPD nº 2/2022 considera de alto risco o tratamento que atenda a pelo menos um critério geral (tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares) e a pelo menos um critério específico (uso de tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões tomadas unicamente com base em tratamento automatizado, ou uso de dados sensíveis ou de dados de crianças, adolescentes e idosos). Esse teste existe para uma finalidade: definir se um agente de tratamento de pequeno porte perde o regime diferenciado do Artigo 3º da mesma resolução. Ele não é um gatilho de RIPD para os controladores em geral.

Um regulamento específico sobre o RIPD segue na agenda regulatória da ANPD e ainda não foi editado. Até lá, a postura prática é que a ANPD pode determinar a elaboração do relatório, de modo que o controlador que realiza tratamento de alto risco deve estar em condições de apresentá-lo quando solicitado.

Dados de Crianças e Adolescentes

A LGPD prevê proteções específicas para o tratamento de dados pessoais de crianças e adolescentes, nos termos do Artigo 14. O tratamento deve sempre ser realizado no melhor interesse da criança ou do adolescente.

Para crianças menores de 12 anos, o tratamento de dados pessoais exige consentimento específico e destacado de pelo menos um dos pais ou do responsável legal. Os controladores devem envidar esforços razoáveis para verificar que o consentimento foi efetivamente dado pelo responsável, utilizando a tecnologia disponível.

A LGPD não define criança nem adolescente. Ela toma emprestadas as definições do Artigo 2º do ECA (Lei nº 8.069/1990): criança é a pessoa de até doze anos de idade incompletos, e adolescente é aquela entre doze e dezoito anos de idade. Ou seja, os adolescentes vão dos 12 aos 18 anos, e não dos 13 aos 17, e uma pessoa de doze anos está na faixa dos adolescentes.

Para os adolescentes, a LGPD não exige o consentimento dos pais, mas o Artigo 14 ainda exige que o tratamento atenda ao melhor interesse do adolescente. A ANPD sinalizou maior rigor na fiscalização do tratamento de dados envolvendo menores como prioridade para o biênio 2026-2027.

O Estatuto Digital da Criança e do Adolescente do Brasil (ECA Digital, Lei nº 15.211/2025) cria regras adicionais para a proteção de menores no uso de aplicativos on-line, jogos eletrônicos, redes sociais e programas de computador. A data de início de vigência agora está fixada em lei: o Artigo 41-A, incluído pela Lei nº 15.352/2026, prevê que a lei entrou em vigor em 17 de março de 2026. Os operadores de plataformas devem implementar mecanismos de verificação de idade, configurações de privacidade por padrão e moderação de conteúdo voltada a menores.

O ECA Digital tem regime sancionatório próprio, separado do da LGPD e mais severo na dosagem. O Artigo 35 prevê advertência, com prazo de até 30 dias para a adoção de medidas corretivas; multa simples de até 10% do faturamento do grupo econômico no Brasil no seu último exercício ou, na ausência de faturamento, de R$ 10,00 a R$ 1.000,00 por usuário cadastrado, limitada, no total, a R$ 50 milhões por infração; suspensão temporária das atividades; e proibição de atividades. A fiscalização cabe à autoridade autônoma indicada no Artigo 34, papel exercido pela ANPD, e o plano de conformidade imposto à ByteDance em agosto de 2026 foi expressamente vinculado ao cronograma de verificação de idade do ECA Digital.

Requisitos de Conformidade para as Organizações

As organizações que tratam dados pessoais no Brasil, ou de residentes brasileiros, devem adotar as seguintes medidas para garantir a conformidade com a LGPD.

Indicar um Encarregado de Proteção de Dados. Salvo dispensa por se tratar de agente de tratamento de pequeno porte, todo controlador deve indicar um encarregado e divulgar publicamente suas informações de contato. O encarregado deve ser capaz de se comunicar em português com a ANPD.

Mapear as Atividades de Tratamento de Dados. Realizar um inventário abrangente de todas as atividades de tratamento de dados pessoais, identificando os tipos de dados coletados, as finalidades do tratamento, as bases legais utilizadas, os acordos de compartilhamento de dados e os prazos de retenção.

Definir as Bases Legais. Identificar e documentar a base legal adequada para cada atividade de tratamento. O legítimo interesse nunca está disponível para dados sensíveis. A execução de contrato também não é, por si só, uma base do Artigo 11, mas o Artigo 11, II, alínea d, permite tratar dados sensíveis para o exercício regular de direitos, inclusive em contrato.

Implementar Mecanismos para os Direitos dos Titulares. Criar processos claros, acessíveis e gratuitos para que os titulares exerçam seus direitos, incluindo acesso, correção, eliminação, portabilidade e revogação do consentimento.

Desenvolver um Plano de Resposta a Incidentes. Preparar um plano de resposta a incidentes que permita a comunicação à ANPD e aos titulares afetados dentro do prazo de três dias úteis, ou de seis dias úteis para quem se enquadra como agente de tratamento de pequeno porte. Designar membros da equipe responsáveis pela avaliação e comunicação de incidentes.

Estar Pronto para Apresentar um RIPD. Não há dever geral de elaborar relatório de impacto. Nos termos do Artigo 38, a ANPD pode determinar ao controlador que elabore o relatório e, nos termos do Artigo 10, § 3º, pode solicitá-lo no caso de tratamento fundado em legítimo interesse. Documentar a metodologia de avaliação, os riscos identificados e as medidas de mitigação das atividades de alto risco, de modo que o relatório possa ser apresentado quando solicitado.

Revisar os Mecanismos de Transferência Internacional. No caso de transferência internacional de dados, garantir a conformidade com os Artigos 33 a 36 da LGPD. As transferências para países da UE se beneficiam da decisão de adequação mútua de janeiro de 2026 e não exigem mecanismos adicionais. As transferências para outras jurisdições exigem SCCs aprovadas pela ANPD (nos termos da Resolução CD/ANPD nº 19/2024, cujo prazo de adaptação expirou em 23 de agosto de 2025), futura aprovação de BCR, ou outro mecanismo legalmente previsto. As organizações que ainda não implementaram SCCs para transferências fora da UE estão atualmente em desconformidade.

Treinar os Funcionários. Oferecer treinamento regular sobre proteção de dados a funcionários e contratados que lidam com dados pessoais. O encarregado deve supervisionar os programas de treinamento.

Manter Registros. Manter registros detalhados das atividades de tratamento, do consentimento obtido, dos RIPDs realizados, das comunicações de incidentes apresentadas e das solicitações de titulares atendidas.

Acompanhar as Novidades sobre IA e Dados de Menores. As organizações que utilizam sistemas de IA para tratar dados pessoais devem acompanhar a tramitação do PL 2338/2023 na Câmara dos Deputados. Os operadores de plataformas on-line acessíveis a menores devem cumprir o ECA Digital (Lei nº 15.211/2025), em vigor desde 17 de março de 2026, cujas sanções próprias chegam a 10% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração.