LGPD: noções gerais

A pergunta que resolve quase toda questão

A LGPD não é uma “lei do consentimento” nem uma proibição geral de usar dados. Ela organiza quando, por que, quanto e como dados de pessoas naturais podem ser tratados.

Antes de decorar listas, faça cinco perguntas, nesta ordem:

1. Há dado pessoal? A informação se relaciona a uma pessoa natural identificada ou identificável?
2. Há tratamento? Alguém coleta, consulta, armazena, compartilha, altera, elimina ou realiza outra operação com esse dado?
3. A lei se aplica a esse tratamento? O caso entra no alcance territorial da lei e não está em uma exclusão do artigo 4º?
4. Qual é a justificativa jurídica? Há uma hipótese legal adequada para o tratamento, além da observância dos princípios?
5. Quais deveres e direitos acompanham a operação? Entram aqui transparência, segurança, direitos do titular, papéis de controlador e operador e prestação de contas.

Esse roteiro evita a pegadinha mais comum: olhar apenas para o consentimento e esquecer que a lei trabalha com várias hipóteses legais.

1. O que a lei protege — e quando ela se aplica

A lei disciplina o tratamento de dados pessoais por pessoas naturais e por pessoas jurídicas de direito público ou privado, inclusive em meios digitais, para proteger liberdade, privacidade e o livre desenvolvimento da personalidade da pessoa natural.

O meio não decide sozinho. Uma ficha física com dados pessoais também pode estar no campo da lei. Do mesmo modo, a localização do servidor de informática não é o único critério territorial. A lei pode alcançar o tratamento quando, por exemplo, a operação ocorre no Brasil, quando a atividade tem por objetivo oferecer bens ou serviços ou tratar dados de indivíduos localizados no Brasil, ou quando os dados foram coletados no território nacional.

1.1 A fronteira importante para a atividade policial

O artigo 4º exclui do regime geral da LGPD o tratamento realizado para fins exclusivos de:

• segurança pública;
• defesa nacional;
• segurança do Estado;
• investigação e repressão de infrações penais.

A palavra decisiva é exclusivos. A exclusão é definida pela finalidade concreta do tratamento, não pelo nome do órgão.

Exemplo hipotético: um banco de dados usado exclusivamente em investigação criminal entra na hipótese especial do artigo 4º, inciso III. Já uma rotina administrativa de gestão de pessoal, pagamento ou atendimento ao cidadão dentro de uma instituição policial não se torna automaticamente “investigação criminal” só porque é realizada por uma polícia.

A própria lei impede a leitura de “zona sem proteção”. Para os tratamentos do inciso III, ela exige legislação específica com medidas proporcionais e estritamente necessárias ao interesse público, observância do devido processo legal, dos princípios gerais de proteção e dos direitos do titular. A lei também restringe o tratamento por pessoas jurídicas de direito privado e atribui à autoridade nacional funções de orientação e de requisição de relatório de impacto.

Pegadinha: “atividade policial” não equivale a “todo tratamento feito por órgão policial está fora da LGPD”.

2. O vocabulário mínimo: dado, titular e tratamento

2.1 Dado pessoal

Dado pessoal é informação relacionada a pessoa natural identificada ou identificável. Não precisa conter nome ou número de documento. Se o conjunto de informações permite razoavelmente chegar à pessoa, há dado pessoal.

A lei também considera relevante o dado usado para formar perfil comportamental de pessoa natural quando ela é identificada.

2.2 Dado pessoal sensível

Dado pessoal sensível recebe proteção reforçada porque pode expor dimensões especialmente delicadas da pessoa. O rol legal abrange:

• origem racial ou étnica;
• convicção religiosa;
• opinião política;
• filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
• dado referente à saúde ou à vida sexual;
• dado genético ou biométrico, quando vinculado a uma pessoa natural.

Renda, telefone e endereço podem ser dados pessoais, mas não se tornam sensíveis por si sós. A classificação depende do rol legal, não apenas de a informação parecer “privada”.

2.3 Dado anonimizado e pseudonimização

Um dado anonimizado é aquele em que o titular não pode ser identificado, considerados os meios técnicos razoáveis e disponíveis no momento do tratamento. Em regra, dado efetivamente anonimizado não é considerado dado pessoal para os fins da lei, salvo quando o processo puder ser revertido com meios próprios ou com esforços razoáveis.

Pseudonimização é diferente: o dado deixa de poder ser associado diretamente ao titular sem informação adicional, mas essa informação adicional é mantida separadamente, em ambiente controlado e seguro. Como a reassociação ainda é possível, o dado continua sendo pessoal.

Em prova:

anonimização efetiva → perde a associação razoável com a pessoa;
pseudonimização → reduz a associação direta, mas preserva uma chave de reassociação.

2.4 Titular e tratamento

Titular é a pessoa natural a quem os dados se referem.

Tratamento é conceito amplo. Inclui coleta, produção, recepção, classificação, uso, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão e extração.

Logo, “só armazenar” já pode ser tratamento. “Só consultar” também.

3. Quem faz o quê: controlador, operador e encarregado

A lei chama agentes de tratamento o controlador e o operador.

O rótulo contratual não resolve tudo. Se uma organização chamada “operadora” passa a decidir autonomamente a finalidade e os elementos essenciais de determinada operação, a análise deve considerar o que ela efetivamente faz.

A Lei 15.352/2026, anterior ao corte deste concurso, transformou a antiga Autoridade em Agência Nacional de Proteção de Dados, mantendo a sigla ANPD. A ANPD é a entidade responsável por zelar, implementar e fiscalizar o cumprimento da lei em todo o território nacional.

4. Os dez princípios: pense no problema que cada um impede

O artigo 6º exige boa-fé e dez princípios. Em vez de memorizar uma fila de nomes, associe cada princípio à pergunta que ele responde.

Dois contrastes caem muito:

• segurança olha para a proteção contra acessos e eventos indevidos;
• prevenção olha para a atuação antecipada para evitar danos.

E outro par:

• finalidade pergunta “para quê?”;
• necessidade pergunta “quanto dado é realmente necessário para esse fim?”.

5. Base legal: consentimento é uma possibilidade, não a regra universal

Para dados pessoais comuns, o artigo 7º prevê dez hipóteses. Em linguagem de prova:

1. consentimento;
2. cumprimento de obrigação legal ou regulatória;
3. tratamento e uso compartilhado necessários à execução de políticas públicas pela administração pública;
4. estudos por órgão de pesquisa, com anonimização sempre que possível;
5. execução de contrato ou de procedimentos preliminares a pedido do titular;
6. exercício regular de direitos em processo judicial, administrativo ou arbitral;
7. proteção da vida ou da incolumidade física do titular ou de terceiro;
8. tutela da saúde, nas condições legais;
9. legítimo interesse do controlador ou de terceiro, respeitados os direitos e liberdades fundamentais do titular;
10. proteção do crédito.

A consequência é direta: tratamento sem consentimento não é automaticamente ilegal. Ele pode estar fundado em outra hipótese do artigo 7º.

5.1 Dados sensíveis têm regime próprio

O artigo 11 separa as hipóteses para dados pessoais sensíveis. Há consentimento específico e destacado para finalidades específicas, mas a lei também admite tratamento sem consentimento em hipóteses taxativas, como obrigação legal ou regulatória, políticas públicas, estudos por órgão de pesquisa com anonimização sempre que possível, exercício regular de direitos, proteção da vida ou da incolumidade física, tutela da saúde e prevenção à fraude e segurança do titular nos processos de identificação e autenticação de cadastro eletrônico, nos limites legais.

Atenção: legítimo interesse não aparece como base autônoma do artigo 11 para dado sensível.

5.2 Consentimento válido não é “aceitei qualquer coisa”

Quando o consentimento for a base escolhida, ele deve representar manifestação livre, informada e inequívoca para finalidade determinada. Autorizações genéricas são nulas.

O controlador deve conseguir provar que o consentimento foi obtido em conformidade com a lei. O titular pode revogá-lo por procedimento gratuito e facilitado. Essa revogação não transforma automaticamente em ilícitos os tratamentos anteriores que estavam amparados pelo consentimento.

6. Direitos do titular: não confunda direito com apagamento absoluto

O artigo 18 dá ao titular, mediante requisição e nas condições legais, direitos como:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, conforme regulamentação e respeitados segredos comercial e industrial;
• eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;
• informação sobre entidades públicas e privadas com as quais houve uso compartilhado;
• informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• revogação do consentimento;
• oposição a tratamento fundado em hipótese de dispensa de consentimento, quando houver descumprimento da lei.

A lei também assegura revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem interesses do titular, inclusive decisões destinadas a definir perfis, além de informações claras sobre critérios e procedimentos utilizados, preservados os segredos protegidos pela lei.

Pegadinha: o titular não possui um poder irrestrito de mandar apagar qualquer dado em qualquer situação. A própria lei prevê hipóteses de conservação e diferentes fundamentos de tratamento.

7. Segurança, incidente e prestação de contas

Controlador e operador devem manter registro das operações de tratamento, especialmente nos casos indicados pela lei.

O operador trata segundo as instruções do controlador. O controlador, por sua vez, deve verificar a observância das próprias instruções e das normas aplicáveis.

Os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. A proteção deve ser pensada desde a concepção do produto ou serviço até sua execução.

Quando um incidente de segurança puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e ao titular, nos termos da lei e da regulamentação aplicável. Não transforme essa regra em “todo incidente, sem análise de risco, exige a mesma comunicação”.

O RIPD é documentação do controlador que descreve processos de tratamento capazes de gerar riscos às liberdades civis e aos direitos fundamentais e as medidas, salvaguardas e mecanismos de mitigação. No recorte especial de segurança pública e investigação do artigo 4º, a autoridade nacional deve solicitar esse relatório aos responsáveis.

8. Fiscalização: noções suficientes para não cair em pegadinha

A ANPD pode aplicar sanções administrativas após procedimento que assegure ampla defesa, observando critérios como gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação, mecanismos internos de segurança, boas práticas, medidas corretivas e proporcionalidade.

Entre as sanções estão advertência, publicização da infração, bloqueio ou eliminação dos dados ligados à infração, suspensão e proibição de atividades de tratamento nas hipóteses legais. Para pessoa jurídica de direito privado, a multa simples pode alcançar até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

Não generalize esse cálculo de multa para órgão público: o próprio dispositivo da multa simples se refere à pessoa jurídica de direito privado.

9. Método de resolução em 40 segundos

Diante de uma questão, siga esta sequência:

1. Classifique o objeto. É dado pessoal, sensível, anonimizado ou ainda pessoal após pseudonimização?

2. Classifique a operação. Há tratamento? Quem decide (controlador) e quem executa em nome dele (operador)?

3. Teste o alcance. A LGPD se aplica? Se houver segurança pública ou investigação, a finalidade é realmente exclusiva?

4. Procure a base legal. Consentimento é apenas uma das hipóteses. Se o dado for sensível, vá ao regime próprio do artigo 11.

5. Passe pelos princípios. Finalidade, adequação e necessidade normalmente desmontam alternativas que propõem coleta “por precaução”. Segurança e prevenção desmontam alternativas que tratam proteção como providência apenas posterior ao incidente.

6. Proteja os direitos. Mesmo quando não há consentimento, princípios, transparência, segurança e direitos não desaparecem por mágica.

Mapa final

• Dado pessoal → pessoa natural identificada ou identificável.
• Dado sensível → rol legal reforçado; biometria vinculada à pessoa está nele.
• Anonimizado → sem identificação razoável; em regra, sai do conceito de dado pessoal enquanto essa condição persistir.
• Pseudonimizado → ainda pode ser reassociado com informação adicional; continua pessoal.
• Controlador decide; operador trata em nome dele.
• Consentimento é uma base, não a base universal.
• Segurança pública/investigação → exclusão somente para finalidade exclusiva, com salvaguardas legais.
• ANPD → agência nacional responsável por zelar, implementar e fiscalizar a lei.