A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, estabelece regras para o uso de dados pessoais no Brasil. Em vigor desde 2020, a norma protege a privacidade dos cidadãos e determina como empresas, órgãos públicos e outras organizações podem coletar, armazenar, compartilhar e eliminar informações pessoais.
Em 2026, a LGPD foi atualizada pela Lei nº 15.352, que transformou a ANPD em agência reguladora. Outra atualização importante no campo da proteção de dados foi a entrada em cena do ECA Digital (Lei nº 15.211/2025), que reforçou a proteção de crianças e adolescentes em ambientes digitais.
O que significa LGPD?
A Lei Geral de Proteção de Dados Pessoais (LGPD), instituída pela Lei nº 13.709, de 14 de agosto de 2018, estabelece normas para o tratamento de dados pessoais no Brasil, visando garantir a privacidade e a proteção das informações dos cidadãos. A denominação oficial da legislação, incluindo a sigla LGPD, foi estabelecida pela Lei nº 13.853, de 8 de julho de 2019, que alterou a ementa da norma original.
Índice
O que é LGPD e para que serve?
Entre no nosso grupo de preparação para as próximas oportunidades de concursos públicos 2026/2027.
O artigo 7º da legislação prevê dez hipóteses que permitem o tratamento de dados pessoais, incluindo o consentimento do titular, o cumprimento de obrigações legais, a execução de políticas públicas e contratos, a realização de pesquisas, o exercício de direitos, a proteção da vida e da saúde, o legítimo interesse e a proteção do crédito.
Dessa forma, a LGPD busca assegurar que os dados pessoais sejam utilizados de maneira responsável, respeitando os direitos dos titulares e as condições estabelecidas pela legislação.
Resumo da LGPD
| Aplicação da LGPD | Art. 3º | Define quando a lei se aplica ao tratamento de dados pessoais, inclusive por organizações sediadas no exterior. |
| Exceções | Art. 4º | Estabelece situações em que a LGPD não se aplica, como determinados usos pessoais, jornalísticos e de segurança pública. |
| Conceitos fundamentais | Art. 5º | Explica termos como dado pessoal, dado sensível, titular, controlador, operador e consentimento. |
| Princípios | Art. 6º | Determina dez princípios para o tratamento de dados, incluindo finalidade, necessidade, transparência e segurança. |
| Bases legais | Arts. 7º e 11 | Define as hipóteses que permitem o tratamento de dados pessoais e de dados pessoais sensíveis. |
| Crianças e adolescentes | Art. 14 | Estabelece regras específicas para o tratamento de dados de crianças e adolescentes, priorizando seu melhor interesse. |
| Direitos dos titulares | Art. 18 | Garante direitos como acesso, correção, portabilidade e eliminação de dados, conforme as condições legais. |
| Poder público | Arts. 23 a 32 | Estabelece regras para o tratamento e o compartilhamento de dados pessoais por órgãos e entidades públicas. |
| Transferência internacional | Art. 33 | Define as condições que autorizam a transferência de dados pessoais para outros países ou organismos internacionais. |
| Agentes de tratamento | Arts. 37 a 41 | Estabelece obrigações do controlador, do operador e regras relacionadas à atuação do encarregado de dados. |
| Incidentes de segurança | Art. 48 | Determina a comunicação de incidentes que possam causar risco ou dano relevante aos titulares. |
| Sanções administrativas | Art. 52 | Prevê penalidades pelo descumprimento da LGPD, incluindo advertências, multas e outras medidas. |
| Agência Nacional de Proteção de Dados (ANPD) | Art. 55-A | Estabelece a ANPD como autarquia de natureza especial, com autonomia para atuar na proteção de dados pessoais. |
A quem a LGPD se aplica
A Lei Geral de Proteção de Dados Pessoais (LGPD) aplica-se às operações de tratamento de dados que atendam a pelo menos uma das condições previstas no artigo 3º: quando realizadas em território nacional, quando destinadas à oferta ou ao fornecimento de bens e serviços ou ao tratamento de dados de pessoas localizadas no Brasil, ou quando os dados pessoais tenham sido coletados no país.
No entanto, o artigo 4º estabelece exceções à aplicação da LGPD. Entre elas, estão o tratamento de dados realizado por pessoas físicas para fins exclusivamente particulares e sem finalidade econômica, para fins exclusivamente jornalísticos e artísticos, e para fins acadêmicos, observadas as disposições dos artigos 7º e 11.
A legislação também prevê exceções para o tratamento de dados destinado exclusivamente à segurança pública, à defesa nacional, à segurança do Estado e às atividades de investigação e repressão de infrações penais. Além disso, contempla determinadas situações envolvendo dados provenientes do exterior, desde que atendidas as condições específicas previstas na lei.
Principais conceitos da LGPD (art. 5º)
O artigo 5º da Lei Geral de Proteção de Dados Pessoais (LGPD) apresenta os conceitos fundamentais para compreender como funciona a proteção de dados no Brasil. Entre eles, estão os tipos de informações protegidas, os direitos de seus titulares e os responsáveis pelo tratamento dos dados.
A tabela abaixo reúne oito dos principais conceitos previstos na legislação, com definições simplificadas para facilitar a compreensão.
| Dado pessoal | Informação que identifica ou permite identificar uma pessoa, como nome, CPF e endereço. |
| Dado pessoal sensível | Informação sobre saúde, religião, origem racial ou étnica, opinião política, vida sexual ou dados genéticos e biométricos, entre outras categorias legais. |
| Dado anonimizado | Informação que não permite identificar seu titular, considerando os meios técnicos razoáveis e disponíveis. |
| Titular | Pessoa física a quem os dados pessoais se referem |
| Tratamento | Qualquer operação realizada com dados pessoais, como coleta, utilização, armazenamento, compartilhamento ou exclusão. |
| Controlador | Pessoa física ou jurídica responsável pelas decisões sobre o tratamento de dados pessoais. |
| Operador | Pessoa física ou jurídica que realiza o tratamento de dados em nome do controlador. |
| Encarregado | Pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. |
Os 10 princípios da LGPD (art. 6º)
O artigo 6º da Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece dez princípios que devem orientar a coleta, o uso, o armazenamento e o compartilhamento de dados pessoais. Essas diretrizes buscam garantir que as informações sejam tratadas de forma adequada, transparente e segura, respeitando os direitos dos titulares.
| Finalidade | Utilizar os dados para objetivos legítimos, específicos e informados ao titular. |
| Adequação | Garantir que o uso dos dados seja compatível com a finalidade informada. |
| Necessidade | Coletar e utilizar apenas os dados necessários para atingir o objetivo pretendido. |
| Livre acesso | Permitir que o titular consulte gratuitamente como seus dados são tratados. |
| Qualidade dos dados | Manter as informações corretas, claras, relevantes e atualizadas. |
| Transparência | Informar de maneira clara como os dados são utilizados e quem é responsável por eles. |
| Segurança | Adotar medidas para proteger os dados contra acessos indevidos, perdas e vazamentos. |
| Prevenção | Implementar ações para evitar danos decorrentes do tratamento de dados. |
| Não discriminação | Impedir o uso de dados para práticas discriminatórias ilícitas ou abusivas. |
| Responsabilização e prestação de contas | Demonstrar que as medidas de proteção são adotadas e cumprem a legislação. |
O artigo 6º determina que essas atividades sejam realizadas com boa-fé, reforçando a responsabilidade no uso das informações.
Confira um exemplo prático: Se uma empresa pede CPF, endereço, telefone, renda, estado civil e nome da mãe apenas para enviar uma newsletter, pode estar desrespeitando o princípio da necessidade, já que boa parte desses dados não é necessária para essa finalidade.
Bases legais da LGPD: quando o tratamento é permitido?
A LGPD estabelece as situações em que o tratamento de dados pessoais é permitido. Essas condições, chamadas de bases legais, estão previstas principalmente nos artigos 7º e 11 da Lei nº 13.709/2018.
As 10 bases legais do art. 7º
O artigo 7º apresenta dez hipóteses que permitem o tratamento de dados pessoais: consentimento do titular, cumprimento de obrigação legal ou regulatória, execução de políticas públicas, realização de estudos por órgãos de pesquisa, execução de contratos, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito.
Dados sensíveis: as bases do art. 11
O artigo 11 estabelece regras específicas para dados sensíveis, como informações sobre saúde, religião, origem racial ou étnica e dados biométricos. Seu tratamento exige consentimento específico e destacado ou deve se enquadrar nas hipóteses legais que permitem o uso sem autorização, como cumprimento de obrigações legais, proteção da vida, tutela da saúde e prevenção à fraude em processos de identificação e autenticação.
Consentimento é obrigatório?
O consentimento não é obrigatório, é apenas uma das dez bases legais do artigo 7º, sem hierarquia entre elas. Portanto, o tratamento de dados pode ocorrer sem autorização do titular quando houver outra hipótese legal aplicável.
Quando utilizado, o consentimento deve seguir as regras do artigo 8º, tais quais, ser fornecido por escrito ou por outro meio que demonstre a vontade do titular, aparecer em cláusula destacada quando escrito e permitir a revogação a qualquer momento, de forma gratuita e facilitada. Cabe ao controlador comprovar que a autorização foi obtida conforme a legislação.
Direitos do titular (arts. 18 a 20)
A Lei Geral de Proteção de Dados Pessoais (LGPD) garante aos cidadãos o direito de acessar, corrigir e controlar o uso de suas informações pessoais. O artigo 18 estabelece nove direitos que podem ser exercidos pelo titular perante o responsável pelo tratamento dos dados:
| Direito | Na prática |
|---|---|
| Acesso | Saber quais dados uma organização possui |
| Correção | Atualizar informações incorretas |
| Eliminação | Pedir exclusão quando cabível |
| Portabilidade | Solicitar transferência conforme regras aplicáveis |
| Revogação | Retirar o consentimento |
Segundo o artigo 19, inciso II, o controlador deve fornecer uma declaração completa sobre a existência ou o acesso aos dados pessoais em até 15 dias, contados da solicitação do titular. Já a resposta em formato simplificado deve ser disponibilizada imediatamente, conforme o inciso I.
Esse prazo de 15 dias não se aplica automaticamente a todas as solicitações previstas na LGPD.
Já o artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas exclusivamente por sistemas automatizados que afetem seus interesses, como análises de crédito e avaliações de perfil profissional.
O titular também pode solicitar informações sobre os critérios utilizados nessas decisões, respeitados os segredos comercial e industrial.
Controlador, operador e encarregado: qual é a diferença?
A LGPD estabelece diferentes responsabilidades para quem participa do tratamento de dados pessoais.
| Agente | O que faz | Exemplo |
|---|---|---|
| Controlador | Decide como e por que os dados serão tratados | Empresa que coleta dados dos clientes |
| Operador | Trata os dados seguindo as instruções | Empresa contratada para processar a folha |
| Encarregado | Faz a comunicação entre agentes, titulares e ANPD | Canal de proteção de dados |
Incidentes de segurança e sanções
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece medidas para proteger as informações pessoais e prevê penalidades para organizações que descumprirem suas regras.
O art. 48 determina que o controlador deve comunicar à Agência Nacional de Proteção de Dados (ANPD) e aos titulares a ocorrência de incidentes de segurança que possam causar risco ou dano relevante, como vazamentos de dados pessoais.
Já o art. 52 estabelece penalidades administrativas que podem ser aplicadas em caso de descumprimento da legislação, incluindo:
- Advertência;
- Multa simples;
- Multa diária;
- Publicização da infração;
- Bloqueio ou eliminação dos dados pessoais;
- Suspensão do banco de dados ou do tratamento;
- Proibição do tratamento.
Destaca-se, ainda, que os órgãos e entidades públicas não estão sujeitos às multas administrativas previstas na LGPD. Entretanto, podem receber outras sanções, conforme o artigo 52, § 3º da mencionada Lei.
Exemplo prático: Um vazamento de cadastro contendo CPF, endereço e dados financeiros pode exigir comunicação à ANPD e aos titulares quando puder gerar risco ou dano relevante.
Como a LGPD protege crianças e adolescentes?
A Lei Geral de Proteção de Dados (LGPD) garante uma proteção especial aos dados pessoais de crianças e adolescentes. O artigo 14 determina que o uso desses dados deve sempre respeitar o melhor interesse da criança e do adolescente, ou seja, priorizar sua segurança, privacidade e bem-estar. Por isso, empresas e organizações devem ter cuidados extras ao coletar e utilizar essas informações, garantindo transparência, segurança e respeito aos seus direitos.
Essa proteção é reforçada pelo ECA Digital (Lei nº 15.211/2025), que estabelece regras para tornar a internet e os serviços digitais mais seguros para crianças e adolescentes. A lei prevê medidas para proteger seus dados, evitar situações de risco e garantir maior segurança no uso de aplicativos, redes sociais e outras plataformas digitais.
Diante disso, a Agência Nacional de Proteção de Dados (ANPD) é responsável por acompanhar e fiscalizar o cumprimento dessas regras. Conforme informado em seu site institucional, a ANPD atua tanto na proteção de dados prevista na LGPD quanto na aplicação do ECA Digital, ajudando a garantir que os direitos de crianças e adolescentes sejam respeitados no ambiente digital.
LGPD atualizada: o que mudou desde 2018?
Desde sua publicação, em 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD) passou por mudanças que ampliaram a proteção das informações pessoais e fortaleceram a atuação da Agência Nacional de Proteção de Dados (ANPD).
Confira a linha do tempo com as principais atualizações da LGPD até 2026:
| Ano | Norma | Mudanças |
| 2018 | Lei nº 13.709/2018 | Publicação da LGPD, que estabelece regras para o tratamento de dados pessoais no Brasil. |
| 2019 | Lei nº 13.853/2019 | Confirma a criação da ANPD, inicialmente estruturada como órgão da Presidência da República. |
| 2020 | Entrada em vigor da LGPD | Em 18 de setembro, entram em vigor as principais regras da legislação. |
| 2021 | Arts. 52 a 54 da LGPD | Em 1º de agosto, entram em vigor as sanções administrativas previstas na lei. |
| 2022 | Emenda Constitucional nº 115/2022 | Inclui a proteção de dados pessoais entre os direitos fundamentais da Constituição (art. 5º, LXXIX). |
| 2022 | Lei nº 14.460/2022 | Transforma a ANPD em autarquia de natureza especial, com autonomia técnica e decisória. |
| 2025 | Medida Provisória nº 1.317/2025 | Propõe a transformação da ANPD em agência reguladora e a criação de uma carreira específica de fiscalização. |
| 2026 | Lei nº 15.352/2026 | Transforma a ANPD em agência reguladora e promove alterações na estrutura e na legislação de proteção de dados. |
O que é a ANPD e qual é sua função?
A Agência Nacional de Proteção de Dados (ANPD) é a agência reguladora responsável por zelar pela proteção de dados pessoais e fiscalizar o cumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD).
Conforme o artigo 55-A, atualizado pela Lei nº 15.352/2026, a ANPD é uma autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública (MJSP), com autonomia administrativa, técnica e financeira.
Entre suas principais competências, previstas no artigo 55-J, estão a proteção dos dados pessoais, a fiscalização do cumprimento da LGPD, a elaboração de normas e a análise de reclamações dos titulares. Além disso, o artigo 55-K estabelece que a aplicação das sanções administrativas previstas na LGPD é competência exclusiva da ANPD, sem impedir a atuação de outros órgãos conforme suas atribuições legais.
LGPD para concursos
A LGPD é um tema recorrente em concursos públicos, com destaque para questões sobre a proteção de dados de pessoas naturais, a classificação dos dados sensíveis, as exceções do artigo 4º, as bases legais e a ausência de hierarquia entre elas, além das funções dos agentes de tratamento.
Também merecem atenção a inaplicabilidade do legítimo interesse e da proteção do crédito como bases legais para dados sensíveis, o limite de R$ 50 milhões por infração para multas administrativas e a nova denominação da Agência Nacional de Proteção de Dados (ANPD), anteriormente chamada de Autoridade Nacional de Proteção de Dados.
Em quais concursos a LGPD cai?
Sendo um tema recorrente em concursos públicos e pode ser cobrada em diferentes disciplinas, como Noções de Informática, Ética e Compliance, Conhecimentos Bancários e Direito Digital.
No concurso da PM de Santa Catarina 2026 (Instituto AOCP), a LGPD foi cobrada dentro das questões de informática. Já no concurso Banestes 2026 (FCC), o conteúdo da LGPD está presente nas questões de Ética, Compliance e ESG e em Informática, inclusive aplicada ao setor bancário.
Perguntas frequentes:
O que significa LGPD?
A sigla significa Lei Geral de Proteção de Dados Pessoais.
A LGPD vale para pessoa jurídica?
A LGPD pode ser aplicada a pessoas físicas e jurídicas que tratam dados, mas a proteção dos dados pessoais é destinada às pessoas naturais.
Quem fiscaliza a LGPD?
A Agência Nacional de Proteção de Dados (ANPD) é a responsável por fiscalizar o cumprimento da LGPD no Brasil.
Qual a multa da LGPD?
Conforme o artigo 52 da Lei nº 13.709/2018 (LGPD), a multa por descumprimento da legislação pode chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, referente ao último exercício, excluídos os tributos, com limite de R$ 50 milhões por infração.
A ANPD mudou de nome?
Em 2026, a Autoridade Nacional de Proteção de Dados (ANPD) passou a ser denominada Agência Nacional de Proteção de Dados, conforme estabelecido pela Lei nº 15.352/2026.
