LGPD: o que é, em português claro (Lei 13.709/2018)

O que é a LGPD

A LGPD (Lei Geral de Proteção de Dados, a Lei 13.709/2018) é a lei que regula como empresas e órgãos públicos podem coletar, usar, guardar e compartilhar dados pessoais no Brasil. Ela vale para qualquer tratamento de dado de pessoa que esteja no país, do cadastro de e-commerce ao crachá do RH.

Em uma frase: é a lei que devolve para o cidadão um pouco de controle sobre quem sabe o quê a seu respeito, e cobra responsabilidade de quem usa esse dado.

Um exemplo simples: você compra um tênis num site. A loja precisa do seu endereço para entregar. Sob a LGPD, ela pode usar esse endereço pra mandar o pacote, mas não pode vender a sua lista pra uma financeira fazer telemarketing sem você saber. Foi pra isso que a lei veio: separar o uso combinado do uso esperto.

O que conta como dado pessoal

Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa. Nome, CPF, e-mail, telefone, foto, IP, geolocalização, histórico de compras. Se dá pra chegar em você, é dado pessoal.

A lei cria ainda uma categoria mais sensível, o dado pessoal sensível: origem racial, opinião política, religião, saúde, vida sexual, biometria. Esse grupo tem proteção reforçada porque vazamento ali machuca de verdade. O exame de sangue de um candidato não é igual ao e-mail dele, e a lei trata isso com pesos diferentes.

Repare que CNPJ não é dado pessoal: empresa não tem privacidade no mesmo sentido que gente. Mas o nome do sócio que aparece no quadro societário é dado pessoal, e é por isso que a fronteira entre dado de empresa e dado de pessoa exige cuidado (voltamos nisso lá embaixo).

Quem precisa cumprir a LGPD

Praticamente todo mundo que trata dado pessoal, do MEI que guarda o WhatsApp do cliente à multinacional. Não existe porte mínimo que te isente: a padaria que anota o aniversário do freguês pra mandar promoção já está tratando dado.

A lei separa dois papéis. O controlador é quem decide o que fazer com o dado (a loja que define que vai usar seu e-mail pra newsletter). O operador é quem trata o dado em nome do controlador (a empresa de e-mail marketing que dispara as mensagens por ela). Os dois respondem, cada um na sua medida.

Por que isso importa numa relação comercial: se você contrata um fornecedor que vai manusear dado dos seus clientes, ele vira seu operador, e a sua exposição passa a depender da postura dele, o que faz da checagem dele (KYC e due diligence) parte do seu próprio risco. Um vazamento na casa do parceiro pode bater na sua porta.

As bases legais: o cartão de entrada pra usar o dado

Sob a LGPD, a empresa não pode tratar dado só porque quer. Ela precisa de uma base legal, que é a justificativa que autoriza aquele uso. O consentimento é a mais famosa, mas está longe de ser a única.

As principais são: consentimento (você autorizou), cumprimento de obrigação legal (a empresa é obrigada por outra lei a guardar aquilo), execução de contrato (sem o dado não dá pra entregar o que foi comprado), legítimo interesse (uso esperado e proporcional, como prevenção a fraude), entre outras previstas na lei.

Exemplo do dia a dia: o banco não precisa do seu consentimento pra reportar movimentação suspeita às regras de PLD do Banco Central, porque ali a base é obrigação legal. Já a newsletter de ofertas costuma depender de consentimento. Mesma empresa, dados diferentes, bases diferentes. Sem base, não pode tratar, ponto.

Os direitos do titular

O titular (a pessoa dona do dado) ganhou um menu de direitos que a empresa é obrigada a atender. Você pode pedir acesso (o que vocês têm sobre mim?), correção (errei a data de nascimento, conserta), exclusão, portabilidade e informação sobre com quem o dado foi compartilhado.

Na prática, isso virou pedido real: o cliente manda um e-mail pedindo pra ser esquecido, e a empresa tem que ter um processo pra responder, não pode varrer pra debaixo do tapete. Quem não tem fluxo pra isso descobre tarde, e geralmente já com a ANPD batendo na porta.

Esses direitos têm limite. Você pode pedir exclusão, mas a empresa pode (e às vezes deve) reter o dado que outra lei manda guardar, como nota fiscal. Direito do titular não apaga obrigação legal: os dois convivem.

A ANPD, as multas e os prazos

Quem fiscaliza é a ANPD (Autoridade Nacional de Proteção de Dados). As sanções vão da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de bloqueio dos dados e exposição pública do problema.

E tem o prazo que pega muita gente de surpresa: diante de um incidente de segurança relevante (um vazamento que pode causar risco aos titulares), a empresa precisa comunicar a ANPD e os afetados em prazo razoável. Esconder vazamento não é estratégia, é agravante.

O custo de ignorar a LGPD raramente é só financeiro. A manchete vem junto. Uma loja que vaza a base de clientes paga a multa e ainda perde o que não tem preço, que é a confiança de quem confiou o CPF a ela. Por isso virou item de due diligence e de compliance de fornecedores: ninguém quer comprar ou contratar quem está sentado num passivo de dados.

Como adequar a empresa à LGPD, passo a passo

Adequação não é um documento, é um processo. A espinha dorsal:

1. 1Mapeie os dados: quais dados pessoais entram, onde ficam, quem acessa e para onde vão (o data mapping).
2. 2Defina a base legal de cada tratamento: sem base, o tratamento é irregular por definição.
3. 3Nomeie o encarregado (DPO) e publique o canal de contato do titular.
4. 4Implemente segurança proporcional e um plano de resposta a incidente, com comunicação à ANPD quando exigido.
5. 5Atenda os direitos do titular (acesso, correção, eliminação, portabilidade) com prazo e processo definidos.
6. 6Estenda o dever à cadeia: contrato e diligência sobre operadores e fornecedores que tratam dados por você.

LGPD e dados públicos de empresa

Aqui mora a confusão mais comum. Dado público de CNPJ (razão social, quadro de sócios, situação cadastral, sanções) tem regime próprio e pode ser tratado para finalidades legítimas, como análise de risco e prevenção à fraude. A LGPD não proíbe checar com quem você vai fazer negócio.

Pense na empresa aberta semana passada que já está disputando um contrato milionário. Saber quem são os sócios, se há sanção ativa e se a situação cadastral está regular é interesse legítimo de quem vai pagar essa nota fiscal. A LGPD foi feita pra proteger o cidadão, não pra blindar quem quer esconder o próprio histórico público.

Ainda assim, a LGPD se aplica: por isso o Sentinela trabalha só com bases públicas oficiais, mascara dado pessoal sensível no conteúdo público, não infere nada por homônimo de nome e atende a pedidos de correção e remoção. Transparência de empresa não é vale-tudo com dado de pessoa.

Como o Sentinela trata o tema na prática

O Sentinela consolida o histórico público de cada CNPJ (cadastro, sócios, sanções, dívidas, contratos com o governo) sempre a partir de fontes oficiais, e desenhado para respeitar a fronteira entre dado de empresa e dado de pessoa.

Isso aparece em três decisões concretas. Primeiro, nada de inferência por nome: só dado confirmado por CNPJ entra na análise, pra não acusar ninguém por homonímia. Segundo, o conteúdo público mascara o que é dado pessoal sensível. Terceiro, há um caminho real para pedidos de correção e remoção.

E como risco não é foto, é filme, o monitoramento contínuo acompanha o CNPJ ao longo do tempo: se surge uma sanção nova ou muda a situação cadastral, você é avisado, sem precisar refazer a pesquisa toda semana. Inteligência sobre empresa, com a régua da LGPD respeitada por construção.