LGPD: o que é a Lei Geral de Proteção de Dados Pessoais
A LGPD é a Lei 13.709/2018, que regula qualquer uso de dado pessoal no Brasil, do cadastro da newsletter ao cookie que alimenta o remarketing. Está em vigor desde setembro de 2020, e as sanções administrativas passaram a poder ser aplicadas em agosto de 2021. Cada tratamento precisa de uma finalidade declarada, de uma base legal escolhida antes de começar e de prova de que as duas foram respeitadas.
O que a lei diz de si mesma
O art. 1º fixa o objetivo: proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. O art. 5º distribui os papéis. Titular é a pessoa a quem o dado se refere. Controlador é quem decide como e por que tratar. Operador é quem trata em nome do controlador.
O art. 6º traz os princípios que a fiscalização usa como régua: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização. Dois deles derrubam a maior parte dos projetos de marketing. Necessidade manda coletar o mínimo. Transparência manda dizer em português claro o que você faz com aquilo.
A quem ela se aplica
O art. 3º define o alcance pelo lugar do tratamento e pela localização das pessoas, não pela sede da empresa. Basta uma destas condições:
- a operação de tratamento é realizada no território nacional;
- a atividade tem por objetivo oferecer bens ou serviços, ou tratar dados de pessoas localizadas no Brasil;
- os dados foram coletados no território nacional.
A agência que opera do exterior, o SaaS estrangeiro e a loja hospedada fora do país estão todos dentro quando o público é brasileiro.
LGPD e GDPR não são a mesma lei
O texto brasileiro se inspirou no europeu, e é comum supor que traduzir o programa da matriz resolve. Três diferenças mudam decisão:
| Ponto | LGPD | GDPR |
|---|---|---|
| Bases legais para dado comum | Dez hipóteses (art. 7º) | Seis hipóteses |
| Teto da multa simples | 2% do faturamento no Brasil, até R$ 50 milhões por infração | 4% do faturamento global ou € 20 milhões, o que for maior |
| Autoridade | ANPD, autarquia federal desde 2022 | Autoridades nacionais, coordenadas no bloco |
O rol maior de bases legais é a diferença mais útil no dia a dia: aqui existem hipóteses como proteção do crédito e tutela da saúde sem equivalente direto lá fora.
Uma loja de calçados, quatro frentes
Uma loja com Nuvemshop, GA4, Meta Pixel e ferramenta de e-mail marketing trata dado pessoal em quatro frentes simultâneas: cadastro do cliente, pedido, identificadores de rastreamento e lista de disparo. Cada frente tem finalidade e base legal próprias. O pedido se apoia em execução de contrato; o cookie de remarketing depende de consentimento. Todas precisam aparecer na política de privacidade em linguagem que o cliente entenda.
O que a lei cobra de um site comum
- Base legal definida por finalidade, não por sistema.
- Cookies não essenciais bloqueados até o aceite, com recusa tão fácil quanto o aceite.
- Registro auditável de cada consentimento, já que o ônus da prova é do controlador (art. 8º, § 2º).
- Revogação a qualquer tempo, por procedimento gratuito e facilitado (art. 8º, § 5º).
- Canal para o titular exercer os direitos do art. 18, com resposta em prazo.
Política publicada e rastreador disparando
O erro que mais aparece é tratar a LGPD como documento. Publica-se uma política de
privacidade genérica, marca-se a tarefa como concluída, e o site segue gravando _ga e
_fbp antes de qualquer clique. Publicar a política não muda o que o site executa no
primeiro milissegundo da visita. Numa fiscalização, quem sustenta a defesa é a evidência
técnica: o rastreador que não disparou e o log que mostra quando, o que e em qual versão do
texto o visitante consentiu.
Termos relacionados
Continue lendo
Opt-in e opt-out: por que o Brasil só admite opt-in
O que muda entre pedir permissão antes e presumir o aceite até a pessoa sair, e por que cookie não essencial no Brasil só admite opt-in.
Titular de dados: quem é e os nove direitos do art. 18
Quem a LGPD chama de titular, os nove direitos do art. 18, os prazos de resposta do art. 19 e por que o visitante anônimo também é titular.
Tratamento de dados pessoais: a definição do art. 5º, X
A definição do art. 5º, X, por que gravar ou ler um cookie já é tratamento e como mapear as operações do seu site sem virar um projeto eterno.
Anonimização e pseudonimização: a diferença jurídica
O que o art. 5º, XI, e o art. 12 exigem para um dado sair do escopo da LGPD, por que hash costuma ser pseudonimização e onde essa diferença aparece.