LGPD para empresas: obrigações, sanções e como se adequar

Atualizado em outubro de 2026.

A LGPD para empresas é o conjunto de obrigações que a Lei Geral de Proteção de Dados Pessoais (Lei n. 13.709/2018) impõe a toda pessoa jurídica que trate dados de pessoas naturais, do cadastro de clientes à folha de pagamento, independentemente de porte, setor ou origem do capital. A lei exige base legal para cada tratamento, transparência, atendimento aos titulares, segurança, comunicação de incidentes e indicação de encarregado, sob pena de sanções que chegam a R$ 50 milhões por infração. Este artigo trata dessas obrigações, do regime das pequenas empresas, das sanções, da responsabilidade civil e das etapas de adequação.

Em resumo: a LGPD se aplica a toda empresa que trate dados pessoais no Brasil, de clientes, empregados ou fornecedores. Cada tratamento precisa de uma das dez bases legais do art. 7.º ou, para dados sensíveis, das hipóteses do art. 11. A empresa deve informar os titulares, responder aos pedidos de acesso, registrar as operações, adotar medidas de segurança e indicar encarregado. Incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares em 3 dias úteis. Agentes de pequeno porte sem tratamento de alto risco têm prazos em dobro e dispensa de encarregado. A multa chega a 2% do faturamento, limitada a R$ 50 milhões por infração.

O que é a LGPD para empresas e a quem ela se aplica?

A LGPD é a norma geral de proteção de dados pessoais no Brasil, e a proteção desses dados é direito fundamental desde a Emenda Constitucional n. 115/2022 (art. 5.º, LXXIX, da Constituição). Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável, como nome, CPF, e-mail ou imagem captada por câmera (art. 5.º, I); tratamento é toda operação realizada com esses dados, da coleta à eliminação (art. 5.º, X). Emitir nota fiscal, processar a folha de pagamento ou manter uma lista de contatos comerciais já são tratamentos.

Princípios do art. 6.º

Todo tratamento deve observar a boa-fé e os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e, por fim, responsabilização e prestação de contas (art. 6.º). O da necessidade, que limita a coleta ao mínimo indispensável à finalidade, é o mais violado na prática; o da responsabilização exige que a empresa consiga demonstrar, com documentos, as medidas que adotou.

Aplicação a empresas estrangeiras e exceções

O critério de aplicação é a operação de tratamento, e não o porte, o setor ou a nacionalidade da empresa: a lei incide quando o tratamento é realizado no Brasil, quando visa à oferta de bens ou serviços a pessoas localizadas no país ou quando os dados foram aqui coletados (art. 3.º). Fornecedores sediados no exterior que atendem clientes brasileiros estão sujeitos à lei mesmo sem estabelecimento no país, tema do artigo sobre LGPD para empresas estrangeiras. As exceções do art. 4.º, como o tratamento para fins exclusivamente particulares e não econômicos, jornalísticos ou de segurança pública, têm alcance residual no universo empresarial.

Quais são as obrigações da LGPD para empresas?

As obrigações acompanham todo o ciclo de vida do dado, da coleta à eliminação, e recaem sobre o controlador e, no que lhe cabe, sobre o operador.

Mapeamento de dados e registro das operações

O ponto de partida é o inventário: quais dados pessoais a empresa trata, de quem, para quê, onde estão armazenados, com quem são compartilhados e por quanto tempo são mantidos. Controlador e operador devem manter registro das operações de tratamento, especialmente quando baseadas no legítimo interesse (art. 37), atualizado a cada novo sistema, finalidade ou fornecedor; o mapeamento feito uma vez e arquivado produz apenas conformidade formal.

Bases legais: arts. 7.º e 11

Todo tratamento precisa apoiar-se em uma das dez hipóteses do art. 7.º: consentimento; cumprimento de obrigação legal ou regulatória; execução de políticas públicas; estudos por órgão de pesquisa; execução de contrato ou de procedimentos preliminares a pedido do titular; exercício regular de direitos em processo judicial, administrativo ou arbitral; proteção da vida; tutela da saúde; legítimo interesse; e proteção do crédito. A escolha deve refletir cada operação: a folha de pagamento apoia-se em obrigação legal; a entrega do produto vendido, na execução de contrato.

O consentimento costuma ser a base menos estável, pois pode ser revogado a qualquer momento (art. 8.º, § 5.º) e, no emprego, a dependência econômica pode comprometer sua liberdade. O legítimo interesse é mais flexível, mas cede quando prevalecerem os direitos e liberdades fundamentais do titular (art. 7.º, IX); convém documentar o teste de balanceamento, porque a ANPD pode solicitar relatório de impacto nesses casos (art. 10, § 3.º). Os dados sensíveis, como saúde, biometria e filiação sindical, só podem ser tratados com consentimento específico e destacado ou nas hipóteses do art. 11, que não incluem o legítimo interesse nem a proteção do crédito.

Transparência e direitos dos titulares

O titular tem direito a informações claras sobre a finalidade, a forma e a duração do tratamento, a identidade e o contato do controlador, o uso compartilhado, as responsabilidades dos agentes e seus próprios direitos (art. 9.º). A política de privacidade deve descrever as operações reais da empresa, e não reproduzir a lei, e ser complementada por avisos no ponto de coleta; a identidade e o contato do encarregado devem ser divulgados, preferencialmente no sítio eletrônico (art. 41, § 1.º).

O art. 18 assegura confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade, eliminação dos dados tratados com consentimento, informação sobre compartilhamento e sobre a possibilidade de não consentir, e revogação do consentimento. O art. 20 acrescenta a revisão de decisões tomadas unicamente com base em tratamento automatizado, ponto que dialoga com a regulamentação da inteligência artificial. O atendimento é gratuito (art. 18, § 5.º), e a confirmação ou o acesso devem ser fornecidos imediatamente, em formato simplificado, ou em até 15 dias, contados do requerimento, por declaração clara e completa (art. 19), prazo contado em dobro para os agentes de pequeno porte. Diante de bancos de dados de entidades governamentais ou de caráter público, o titular dispõe também do habeas data.

Segurança da informação e relatório de impacto

Os agentes devem adotar medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46), desde a concepção do produto ou serviço (art. 46, § 2.º). O padrão é proporcional ao risco: controle de acesso por perfil, autenticação forte, criptografia, registros de auditoria, cópias de segurança testadas e treinamento periódico. O relatório de impacto à proteção de dados (RIPD) documenta os tratamentos que podem gerar riscos às liberdades civis e aos direitos fundamentais e as salvaguardas adotadas (art. 5.º, XVII); a ANPD pode determinar sua elaboração (art. 38), e elaborá-lo antes de projetos de biometria, monitoramento de empregados, inteligência artificial ou tratamento em larga escala é a forma mais segura de demonstrar necessidade e proporcionalidade.

Contratos com operadores e fornecedores

O operador deve seguir as instruções do controlador (art. 39) e responde solidariamente pelos danos quando descumprir a legislação ou essas instruções (art. 42, § 1.º, I). Contratos com fornecedores de software, nuvem, folha de pagamento e marketing devem prever finalidade, segurança, sigilo, subcontratação, notificação de incidentes e eliminação dos dados ao término da relação. Ferramentas de inteligência artificial alimentadas com dados de clientes exigem atenção redobrada a essa camada contratual, tema do artigo sobre inteligência artificial na advocacia e da área de Blockchain e Inteligência Artificial.

Dados de empregados, crianças e adolescentes

A lei alcança candidatos, empregados e ex-empregados: folha, eSocial, exames ocupacionais e controle de ponto envolvem tratamento contínuo e, muitas vezes, dados sensíveis, como atestados e biometria, tema do artigo sobre a LGPD nas relações de trabalho. Dados de crianças e adolescentes devem ser tratados em seu melhor interesse, e o consentimento para dados de crianças, quando for a base utilizada, deve ser específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal (art. 14, caput e § 1.º). Serviços digitais direcionados a esse público, ou de acesso provável por ele, devem observar também o Estatuto Digital da Criança e do Adolescente (Lei n. 15.211/2025), em vigor desde 17 de março de 2026.

Encarregado de dados (DPO): quem precisa indicar e como

O controlador deve indicar encarregado pelo tratamento de dados pessoais (art. 41), a quem cabe aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da ANPD e orientar empregados e contratados sobre as práticas de proteção de dados (art. 41, § 2.º).

Pela Resolução CD/ANPD n. 18/2024, a indicação é feita por ato formal, documento escrito, datado e assinado, que não precisa ser enviado à ANPD. O encarregado pode ser pessoa natural, do quadro da empresa ou externa, ou pessoa jurídica, e a função não exige inscrição em entidade nem certificação ou formação específica. A empresa deve divulgar sua identidade e seu contato em local de destaque, preferencialmente no sítio eletrônico, e designar substituto para ausências, impedimentos e vacâncias. O encarregado pode atuar para mais de um agente ou acumular funções, desde que sem conflito de interesse, e não responde perante a ANPD pela conformidade do tratamento, que é do controlador. Para o operador, a indicação é facultativa e considerada boa prática.

Os agentes de tratamento de pequeno porte não são obrigados a indicar encarregado, desde que disponibilizem canal de comunicação com o titular, e a indicação voluntária conta como política de boas práticas e governança (art. 11 da Resolução CD/ANPD n. 2/2022). A dispensa não alcança, em regra, quem realiza tratamento de alto risco.

Incidentes de segurança: prazo e comunicação à ANPD

Incidente de segurança é o evento adverso que compromete a confidencialidade, a integridade ou a disponibilidade de dados pessoais, como o vazamento de uma base de clientes, um ataque de ransomware ou o envio de documentos ao destinatário errado. O controlador deve comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante (art. 48). Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD n. 15/2024), isso ocorre quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e envolver ao menos um destes elementos: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala. O prazo é de 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, e conta em dobro para os agentes de pequeno porte.

A comunicação deve indicar, no mínimo, a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança utilizadas, os riscos, os motivos de eventual demora e as medidas adotadas para reverter ou mitigar os efeitos (art. 48, § 1.º). Todo incidente, comunicado ou não, deve ser registrado, e o registro, mantido por cinco anos. A ANPD pode determinar a ampla divulgação do fato e medidas de mitigação (art. 48, § 2.º), e o descumprimento das regras de comunicação pode levar a processo sancionador. Cumprir o prazo exige plano de resposta preparado com antecedência, que defina quem classifica o evento, como contê-lo e quem decide sobre a comunicação. O ataque pode ainda configurar crime, como a invasão de dispositivo informático (art. 154-A do Código Penal), tema do artigo sobre crime cibernético.

Transferência internacional de dados

Armazenar dados em nuvem fora do país, usar sistema estrangeiro de gestão de clientes ou compartilhar a base com a matriz no exterior caracteriza transferência internacional, admitida apenas nas hipóteses do art. 33. Os mecanismos mais usados são a decisão de adequação, pela qual se reconhece que o país ou organismo de destino oferece proteção adequada, e as garantias oferecidas pelo controlador, como cláusulas-padrão aprovadas pela ANPD, cláusulas específicas ou normas corporativas globais.

A Resolução CD/ANPD n. 19/2024 aprovou o Regulamento de Transferência Internacional de Dados e o texto das cláusulas-padrão, válidas apenas se adotadas integralmente e sem alteração; quem já usava cláusulas contratuais teve 12 meses, contados da publicação em 23 de agosto de 2024, para incorporá-las, prazo encerrado em agosto de 2025. Em janeiro de 2026, Brasil e União Europeia anunciaram o reconhecimento recíproco da adequação de seus regimes, o que permite transferências entre ambos sem cláusulas contratuais, ressalvados os fluxos destinados exclusivamente à segurança pública, à defesa nacional, à segurança do Estado ou à investigação criminal. A transferência continua a exigir base legal e segurança, e o controlador brasileiro permanece responsável pelo tratamento feito por fornecedores no exterior.

LGPD para pequenas empresas e startups: o que muda?

A LGPD não dispensa nenhuma empresa por porte, mas atribuiu à ANPD a edição de procedimentos simplificados e diferenciados, inclusive quanto a prazos, para microempresas, empresas de pequeno porte e startups (art. 55-J, XVIII). Esse regime está na Resolução CD/ANPD n. 2/2022, que alcança também pessoas jurídicas de direito privado sem fins lucrativos, pessoas naturais e entes despersonalizados que tratam dados como controladores ou operadores.

Não se beneficiam do regime, salvo exceção pontual do regulamento, os agentes que realizem tratamento de alto risco; também ficam de fora os que ultrapassem os limites de receita bruta da Lei Complementar n. 123/2006 ou, para startups, da Lei Complementar n. 182/2021, e os que integrem grupo econômico cuja receita global ultrapasse esses limites (art. 3.º). O alto risco exige ao menos um critério geral, como tratamento em larga escala ou capaz de afetar significativamente direitos fundamentais, e um critério específico, como tecnologias emergentes, vigilância de zonas acessíveis ao público, decisões exclusivamente automatizadas ou uso de dados sensíveis ou de crianças, adolescentes ou idosos (art. 4.º).

O regime simplificado não dispensa a base legal, a transparência, o atendimento aos titulares, a segurança nem a comunicação de incidentes. Para quem não tem estrutura de compliance, o ponto de partida é um mapeamento que responda a quatro perguntas:

• Quais dados pessoais a empresa coleta?
• De quem são: clientes, empregados, fornecedores ou parceiros?
• Para que finalidade são usados e com quem são compartilhados?
• Onde estão armazenados e por quanto tempo são mantidos?

Com esse diagnóstico, é possível priorizar as operações de maior risco, como dados sensíveis, compartilhamento com terceiros e dados de crianças, em vez de seguir um roteiro genérico.

Sanções da LGPD: o que a ANPD pode aplicar?

As sanções administrativas vigoram desde 1.º de agosto de 2021 e são aplicadas pela ANPD após processo que assegure ampla defesa, de forma gradativa, isolada ou cumulativa (art. 52, § 1.º).

Na dosimetria, a lei manda considerar, entre outros critérios, a gravidade e a natureza da infração, a boa-fé, a vantagem auferida, a condição econômica do infrator, a reincidência, o grau do dano, a cooperação, a política de boas práticas e governança e a pronta adoção de medidas corretivas (art. 52, § 1.º). O Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD n. 4/2023) classifica as infrações em leves, médias e graves e define o cálculo das multas, de modo que um programa de conformidade efetivo pesa na própria fixação da pena. Critérios e casos estão detalhados no artigo sobre a multa da LGPD.

A ANPD como agência reguladora

A Lei n. 15.352/2026, conversão da Medida Provisória n. 1.317/2025, transformou a autoridade na Agência Nacional de Proteção de Dados (ANPD), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira (art. 55-A da LGPD), e a incluiu entre as agências reguladoras da Lei n. 13.848/2019; a sigla e as sanções do art. 52 foram mantidas. A fiscalização combina monitoramento, orientação e prevenção com o processo sancionador (Resolução CD/ANPD n. 1/2021), e a cooperação da empresa é, ela própria, critério de dosimetria.

Responsabilidade civil: o titular pode processar a empresa?

Independentemente da sanção administrativa, o controlador ou o operador que, em violação à legislação de proteção de dados, causar dano patrimonial, moral, individual ou coletivo é obrigado a repará-lo (art. 42). O operador responde solidariamente quando descumprir a lei ou as instruções lícitas do controlador, e os agentes só se eximem se provarem que não realizaram o tratamento, que não violaram a legislação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (arts. 42, § 1.º, e 43). A defesa dos titulares pode ser exercida em juízo individual ou coletivamente (arts. 22 e 42, § 3.º).

A natureza dessa responsabilidade é controvertida: parte da doutrina a considera objetiva; outra parte, subjetiva, fundada na violação dos deveres legais. Nas relações de consumo, aplica-se o Código de Defesa do Consumidor (art. 45), e o juiz pode inverter o ônus da prova a favor do titular quando a alegação for verossímil, houver hipossuficiência ou a prova lhe for excessivamente onerosa (art. 42, § 2.º); a inversão, portanto, não é automática. O Superior Tribunal de Justiça decidiu que o vazamento de dados pessoais comuns, como nome, telefone e endereço, não gera, por si só, dano moral indenizável, cabendo ao titular demonstrar o prejuízo (AREsp 2.130.619/SP, 2.ª Turma, julgado em 7/3/2023); o acórdão distinguiu esses dados dos sensíveis, cuja exposição é o terreno em que se discute o dano presumido.

Como adequar a empresa à LGPD: etapas do programa de conformidade

A adequação é um programa contínuo de governança, e não um projeto pontual. O art. 50, § 2.º, descreve o conteúdo mínimo do programa de governança em privacidade que o controlador pode implementar: demonstrar seu comprometimento, adaptar-se à escala e à sensibilidade das operações, basear-se em avaliação de riscos, prever planos de resposta a incidentes e ser atualizado por monitoramento contínuo, entre outros requisitos; sua adoção é considerada na dosimetria das sanções (art. 52, § 1.º, IX). Na prática, a adequação percorre estas etapas:

1. Diagnóstico: inventário dos dados, finalidades, fluxos internos e externos, transferências internacionais, prazos de retenção e medidas de segurança existentes.
2. Enquadramento jurídico: base legal de cada operação, eliminação de dados desnecessários e prazos de retenção.
3. Governança: indicação do encarregado, ou do canal de comunicação do agente de pequeno porte, e definição dos responsáveis internos.
4. Documentação: política de privacidade, avisos de coleta e de cookies, política de segurança da informação, registro das operações e, quando cabível, relatório de impacto.
5. Contratos: cláusulas de proteção de dados com operadores e fornecedores e mecanismo válido para transferências internacionais.
6. Procedimentos: fluxo de atendimento aos titulares e plano de resposta a incidentes, com simulações periódicas.
7. Treinamento e monitoramento: capacitação das equipes, auditorias internas e revisão do programa a cada mudança relevante.

Benefícios da conformidade para a empresa

Além de reduzir a exposição a sanções, ações judiciais e danos reputacionais, a conformidade tornou-se requisito de mercado: grandes empresas e entes públicos avaliam a proteção de dados na diligência prévia de fornecedores, e, em fusões, aquisições e captação de investimentos, a governança de dados integra a avaliação de riscos e os critérios ESG. Por isso, o programa deve integrar o compliance e a governança corporativa da empresa, e não funcionar como iniciativa isolada.

Perguntas frequentes sobre LGPD para empresas

A LGPD se aplica à minha empresa se ela só trata dados de empregados?

Sim. A LGPD não distingue o tipo de titular, e dados de empregados, candidatos, clientes e fornecedores estão igualmente protegidos. Dados de saúde e biometria dos empregados seguem as regras mais rígidas do art. 11.

Qual a diferença entre controlador e operador de dados?

O controlador decide sobre o tratamento, como finalidade e meios; o operador trata os dados em nome dele, segundo suas instruções. A empresa que coleta dados de clientes é controladora, e o fornecedor de software que os processa por conta dela é operador, que responde solidariamente quando descumpre a lei ou as instruções lícitas recebidas.

Toda empresa precisa ter um encarregado de dados (DPO)?

Em regra, sim: o controlador deve indicá-lo por ato formal e divulgar sua identidade e seu contato (art. 41 da LGPD e Resolução CD/ANPD n. 18/2024). Microempresas, empresas de pequeno porte e startups que não realizem tratamento de alto risco estão dispensadas, desde que mantenham canal de comunicação com o titular. Para o operador, a indicação é facultativa.

Qual o prazo para comunicar um vazamento de dados à ANPD?

Três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando ele puder acarretar risco ou dano relevante aos titulares (Resolução CD/ANPD n. 15/2024). Os titulares afetados também devem ser comunicados, e o prazo conta em dobro para os agentes de pequeno porte. Todo incidente deve ser registrado, e o registro, mantido por cinco anos.

Qual o valor máximo da multa da LGPD?

A multa simples chega a 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). A multa diária observa o mesmo limite, e o valor concreto segue a Resolução CD/ANPD n. 4/2023.

Em quanto tempo a empresa deve responder a um pedido do titular?

A confirmação de existência de tratamento ou o acesso aos dados devem ser fornecidos imediatamente, em formato simplificado, ou em até 15 dias, por declaração clara e completa (art. 19). Para os agentes de pequeno porte, o prazo conta em dobro, e o atendimento é sempre gratuito.

A LGPD se aplica a dados de pessoas jurídicas?

Não diretamente, pois a lei protege dados de pessoas naturais (art. 5.º, I), e informações exclusivamente da empresa, como CNPJ e faturamento, não são dados pessoais. O nome do sócio, o e-mail corporativo nominal e os dados do representante legal, porém, são dados pessoais protegidos.

A empresa pode armazenar dados em servidores no exterior?

Pode, desde que a transferência se enquadre no art. 33, por exemplo por decisão de adequação ou por cláusulas-padrão aprovadas pela ANPD e adotadas sem alteração (Resolução CD/ANPD n. 19/2024). Para a União Europeia, objeto de reconhecimento recíproco de adequação anunciado em janeiro de 2026, basta a decisão de adequação. A empresa brasileira continua responsável pelo tratamento feito por seus fornecedores no exterior.

Conclusão

A LGPD impõe às empresas um modelo de responsabilidade demonstrável: não basta tratar dados corretamente, é preciso comprovar, com registros, políticas, contratos e procedimentos, que cada operação tem base legal, finalidade definida e segurança proporcional ao risco. Com a ANPD convertida em agência reguladora e as regras sobre encarregado, incidentes e transferências consolidadas, o risco de não conformidade deixou de ser teórico, inclusive para pequenas empresas, que contam com regras simplificadas, mas não com isenção.

Principais pontos deste artigo:

• A LGPD se aplica a toda empresa que trate dados pessoais no Brasil, de qualquer porte ou setor, inclusive dados de empregados.
• Cada tratamento exige uma das dez bases legais do art. 7.º; dados sensíveis só podem ser tratados nas hipóteses do art. 11.
• O controlador deve indicar encarregado; agentes de pequeno porte sem tratamento de alto risco estão dispensados, mantido canal com o titular.
• Incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares em 3 dias úteis.
• A multa simples chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, com dosimetria regulada pela Resolução CD/ANPD n. 4/2023.
• A conformidade é um programa contínuo de governança (art. 50), e não um projeto pontual.

Leia também

• Multa LGPD: sanções da ANPD, responsabilidade civil e como reduzir o risco
• Dados sensíveis na LGPD: o que são, exemplos e bases legais
• LGPD nas relações de trabalho: obrigações do empregador
• LGPD para empresas estrangeiras no Brasil
• Habeas data: o que é, quando cabe, como impetrar e LGPD
• Compliance e governança corporativa: tipos e benefícios
• Inteligência artificial na advocacia: ética, LGPD e responsabilidade profissional
• Direitos do Consumidor em Promoções Online: Aspectos Jurídicos e Proteção nas Compras Digitais (2026)

Veja todo o conteúdo da área de LGPD e Proteção de Dados.