A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define o que empresas e órgãos públicos podem fazer com dados pessoais e quais direitos você tem sobre eles. As sanções administrativas valem desde agosto de 2021, e a autoridade que as aplica mudou de status em 2026: a Lei nº 15.352, de 25 de fevereiro de 2026, converteu a Medida Provisória 1.317/2025 e transformou a ANPD em Agência Nacional de Proteção de Dados, uma agência reguladora com a mesma sigla.

Este texto é informativo e não substitui orientação jurídica. As regras foram conferidas em outubro de 2026 no texto da lei, no Planalto, e nas páginas da ANPD.

O básico em quatro termos

  • Dado pessoal: qualquer informação ligada a uma pessoa natural identificada ou identificável, como nome, CPF, endereço, IP e histórico de compras.
  • Dado sensível: origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico. Tem regras mais restritas.
  • Controlador: quem decide por que e como os dados são usados, como a loja, o banco ou o aplicativo. É a ele que você faz pedidos.
  • Encarregado: a pessoa ou equipe indicada pelo controlador para ser o canal com os titulares e com a ANPD. O contato deve estar publicado, em geral na política de privacidade.

Oito mitos sobre a LGPD, e o que diz a lei

Mito 1: "Toda empresa precisa do meu consentimento"

Fato: o consentimento é só uma das dez bases legais previstas na lei. Também permitem o tratamento, entre outras, o cumprimento de obrigação legal, a execução de contrato, o exercício de direitos em processo, a proteção do crédito e o legítimo interesse do controlador. Por isso o banco pode consultar o seu CPF em um pedido de empréstimo sem pedir autorização à parte.

O que a lei exige é que exista uma base válida e que a finalidade seja informada. Quando a base é o consentimento, ele precisa ser livre, informado e para finalidade determinada, e pode ser revogado.

Mito 2: "Se a empresa tem uma base legal, pode compartilhar os dados à vontade"

Fato: os princípios de finalidade e necessidade continuam valendo. Em junho de 2026, a ANPD abriu processo sancionador contra a Claro por indícios de compartilhamento excessivo de dados de clientes com a Serasa, para o desenvolvimento de metodologias de análise de crédito, além de falta de transparência e de dificuldade de acesso ao encarregado. A Serasa passou a ser alvo de nova fiscalização sobre transparência.

Segundo a própria ANPD, a Serasa foi a empresa com mais denúncias recebidas pela autoridade e a segunda em petições de titulares entre o segundo semestre de 2023 e o primeiro de 2025.

Mito 3: "A LGPD só pega empresa grande"

Fato: a primeira sanção da ANPD, em julho de 2023, foi aplicada a uma microempresa, a Telekall Infoservice, que oferecia listas de contatos de WhatsApp de eleitores para campanha na eleição municipal de 2020 em Ubatuba (SP). A empresa recebeu advertência por não ter encarregado e duas multas de R$ 7.200, uma por tratar dados sem base legal e outra por não atender às requisições da fiscalização, num total de R$ 14.400.

Por ser microempresa, cada multa ficou limitada a 2% do faturamento bruto, conforme o artigo 52 da lei. A ANPD prevê regras simplificadas para agentes de pequeno porte, mas não isenção.

Mito 4: "Órgão público não pode ser punido"

Fato: pode, embora sem multa em dinheiro. A lista de decisões da ANPD inclui processos encerrados contra o INSS, o Ministério da Saúde, secretarias estaduais de Saúde de Santa Catarina, de Educação do Distrito Federal e de Assistência Social de Pernambuco, entre outros. As sanções possíveis para o poder público incluem advertência, publicização da infração e bloqueio ou eliminação dos dados.

Mito 5: "As multas da LGPD são simbólicas"

Fato: a lei limita a multa simples a 2% do faturamento no Brasil, até R$ 50 milhões por infração, e o cálculo segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4, de fevereiro de 2023). Em 25 de agosto de 2026, a ANPD multou a ByteDance, dona do TikTok, em R$ 153,7 milhões por cinco infrações ligadas ao tratamento de dados de crianças e adolescentes sem base legal válida, no uso do aplicativo com e sem cadastro.

Além da multa, a decisão determinou a eliminação dos dados coletados irregularmente e um plano de conformidade, com configurações de privacidade mais restritivas por padrão para menores de 16 anos. A ByteDance podia recorrer ao Conselho Diretor em até dez dias úteis.

Mito 6: "Vazamento é azar da empresa, não infração"

Fato: a lei exige medidas de segurança e comunicação de incidentes. Pelo Regulamento de Comunicação de Incidente (Resolução CD/ANPD nº 15, de abril de 2024), o controlador tem três dias úteis, contados de quando soube que o incidente atingiu dados pessoais, para avisar a ANPD e os titulares, quando houver risco ou dano relevante. Se não for possível avisar cada titular, a comunicação deve ficar em canais públicos, como o site, por pelo menos três meses.

Em julho de 2026, a ANPD abriu processo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que administra unidades públicas de saúde, após um ataque de ransomware que, segundo a própria entidade, atingiu cerca de 500 mil registros de pacientes. A ANPD apontou falta de medidas de segurança adequadas e um aviso no site que não informava a data do incidente, os dados afetados nem as medidas adotadas.

Mito 7: "Dado público pode ser usado para qualquer coisa"

Fato: a lei permite tratar dados de acesso público, mas considerando a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. Um dado publicado em diário oficial não vira automaticamente matéria-prima para listas de marketing.

Mito 8: "Posso mandar apagar qualquer dado meu"

Fato: o direito de eliminação vale para dados tratados com base no consentimento e para dados desnecessários, excessivos ou tratados em desconformidade com a lei. A empresa pode manter dados exigidos por obrigação legal, como registros fiscais, ou necessários para se defender em processo. Nesse caso, precisa explicar por quê.

Seus direitos, em uma tabela

O artigo 18 da LGPD lista o que você pode pedir ao controlador, a qualquer momento e de graça:

DireitoExemplo de uso
Confirmação e acessoDescobrir que dados uma loja guarda sobre você
CorreçãoAtualizar endereço ou nome errado em um cadastro
Anonimização, bloqueio ou eliminaçãoExcluir dados de um serviço que pede mais do que precisa
PortabilidadeLevar seus dados para outro fornecedor, conforme regulamentação da ANPD
Eliminação de dados do consentimentoApagar o cadastro de uma newsletter que você assinou
Informação sobre compartilhamentoSaber com quais empresas seus dados foram divididos
Revogação do consentimentoRetirar uma autorização dada antes
Revisão de decisão automatizadaPedir revisão de um score ou perfil feito só por algoritmo (artigo 20)

A revisão de decisões automatizadas ganhou peso com o uso de inteligência artificial em crédito e seleção. O tema é tratado em regulação da inteligência artificial.

Roteiro: como pedir acesso ou exclusão e o que fazer se ignorarem

  1. Ache o canal do encarregado na política de privacidade do site ou aplicativo. Se não houver nenhum, isso por si só é um indício de irregularidade: a falta de informação sobre o encarregado aparece nos casos Isac e Claro.
  2. Faça o pedido por escrito, identificando-se e dizendo exatamente o que quer: "solicito confirmação e cópia completa dos dados pessoais que vocês tratam a meu respeito, com a finalidade e a base legal de cada tratamento".
  3. Guarde a prova: protocolo, e-mail enviado, print do formulário, data.
  4. Aguarde a resposta. Para confirmação e acesso, a lei prevê resposta imediata em formato simplificado ou declaração completa em até 15 dias.
  5. Se não houver solução, abra uma petição de titular na ANPD, pelo canal do cidadão no site da autoridade (gov.br/anpd). A Resolução CD/ANPD nº 1/2021 exige comprovar que o pedido foi feito antes ao controlador e não foi resolvido no prazo; quando não houver outra prova, aceita-se a autodeclaração.
  6. Para prejuízo concreto, a LGPD não impede a busca de reparação na Justiça ou em órgãos de defesa do consumidor.

Se o problema não é um pedido seu, mas uma irregularidade que você percebeu (um site expondo dados, por exemplo), o caminho é a denúncia, um canal separado da petição no mesmo site.

O que mudou em 2025 e 2026

  • ANPD virou agência reguladora (Lei nº 15.352/2026), com carreira própria de Regulação e Fiscalização de Proteção de Dados.
  • ECA Digital em vigor desde 17 de março de 2026 (Lei nº 15.211/2025), com a ANPD encarregada de fiscalizar a proteção de crianças e adolescentes em ambientes digitais. Em 12 de agosto de 2026, a autoridade mandou o Discord suspender as transmissões ao vivo no Brasil como medida preventiva, e a suspensão foi mantida após recurso.
  • Monitoramento de encarregados: em 2026, a ANPD concluiu a primeira fase de uma verificação de 56 empresas e órgãos; 21 não responderam e foram encaminhados à área de sanção.
  • Regras de fiscalização em revisão: a atualização do Regulamento de Fiscalização e do Processo Administrativo Sancionador ficou em consulta pública até 26 de outubro de 2026.

O que fazer com os seus dados já espalhados

Golpistas usam dados vazados para parecer legítimos, citando seu nome completo, seu banco e parte do CPF. Por isso a LGPD e a segurança pessoal andam juntas: peça a exclusão de cadastros que você não usa, forneça só o necessário e desconfie de mensagens que "sabem demais". Os sinais desse tipo de golpe estão em como identificar phishing, e as defesas para as suas contas, no plano de segurança digital.

Perguntas frequentes

Uma loja pode exigir meu CPF para dar desconto?

Pode pedir, desde que informe a finalidade, como programa de fidelidade ou análise de crédito, e use o dado só para isso. Se a finalidade não for explicada, peça a informação ao encarregado. Você pode recusar e abrir mão do desconto, e pode revogar depois o consentimento dado para fins de marketing.

Recebi aviso de que meus dados vazaram. Tenho direito a quê?

A empresa deve informar, em linguagem clara, a natureza dos dados afetados, os riscos e as medidas adotadas, conforme o regulamento de incidentes. Você pode pedir acesso aos dados que ela guarda sobre você e, se a comunicação não vier ou for vaga, registrar denúncia na ANPD.

Uma pequena empresa precisa de encarregado?

Em regra, sim. A ANPD prevê dispensa para agentes de pequeno porte, que precisam manter um canal de comunicação com os titulares. No caso Telekall, a microempresa foi advertida por não ter encarregado e por não comprovar que não fazia tratamento de alto risco, condição para a dispensa.

A ANPD resolve o meu caso individual?

A petição pode levar a ANPD a atuar junto à empresa, mas a autoridade não indeniza nem condena a pagar danos ao titular. Para reparação financeira, o caminho é a Justiça ou o Procon.

Fontes