LGPD na prática: o que é e quais são os direitos do titular de dados

Toda vez que você informa o CPF em uma loja, aceita os "termos de uso" de um aplicativo ou recebe uma oferta que parece conhecer seus gostos, dados pessoais estão sendo tratados. A Lei Geral de Proteção de Dados (LGPD) é a lei brasileira que define as regras desse tratamento e os direitos de quem é dono dos dados.

Este guia explica a LGPD em linguagem direta: o que ela protege, quem precisa cumpri-la, quais direitos você tem e como exercê-los. É um texto informativo e não substitui orientação jurídica. As informações foram conferidas em setembro de 2026 no texto da lei e nas páginas da ANPD, e as regulamentações mudam, por isso consulte as fontes oficiais.

O que é a LGPD

A LGPD é a Lei nº 13.709, de 2018. Ela regula o tratamento de dados pessoais, inclusive nos meios digitais, por pessoas físicas ou jurídicas, de direito público ou privado, com o objetivo de proteger os direitos de liberdade e de privacidade e o livre desenvolvimento da personalidade.

A maior parte da lei passou a valer em setembro de 2020, e as sanções administrativas, a partir de agosto de 2021.

A quem se aplica

A lei vale para qualquer operação de tratamento de dados pessoais realizada por pessoa ou organização, em meio físico ou digital, quando, entre outras hipóteses, o tratamento ocorre no Brasil, tem como objetivo oferecer bens ou serviços a pessoas no Brasil ou envolve dados coletados no Brasil.

Há exceções, como o tratamento feito por uma pessoa natural para fins exclusivamente particulares e não econômicos, e algumas situações jornalísticas, artísticas, acadêmicas e de segurança pública, que têm regras próprias.

Conceitos essenciais

A ANPD, autoridade responsável pela lei, define os principais termos:

• Dado pessoal: qualquer informação relacionada a uma pessoa natural identificada ou identificável. Inclui nome, CPF, RG, endereço, e também dados de comportamento e hábitos.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico ligado a uma pessoa. Tem proteção reforçada.
• Titular: a pessoa a quem os dados se referem. Você.
• Controlador: quem decide por que e como os dados serão tratados.
• Operador: quem trata os dados em nome do controlador.
• Encarregado (DPO): pessoa indicada pelo controlador para ser o canal de comunicação com os titulares e com a ANPD.
• Tratamento: qualquer operação com dados, como coletar, armazenar, usar, compartilhar ou eliminar.

Os princípios da lei

A LGPD estabelece que o tratamento deve seguir, entre outros, estes princípios:

1. Finalidade: para propósitos legítimos, específicos e informados.
2. Adequação: compatível com as finalidades informadas.
3. Necessidade: limitado ao mínimo necessário.
4. Livre acesso: o titular pode consultar seus dados de forma simples e gratuita.
5. Qualidade dos dados: exatos, claros e atualizados.
6. Transparência: informações claras sobre o tratamento.
7. Segurança: medidas técnicas e administrativas de proteção.
8. Prevenção: evitar danos.
9. Não discriminação: sem fins discriminatórios ou abusivos.
10. Responsabilização e prestação de contas: demonstrar o cumprimento da lei.

Em que situações se pode tratar dados: as bases legais

Um erro comum é achar que sempre é preciso pedir consentimento. A LGPD prevê várias bases legais. Segundo a ANPD, o tratamento pode ocorrer, por exemplo, quando há:

• consentimento do titular;
• cumprimento de obrigação legal ou regulatória;
• execução de política pública pela administração;
• realização de estudos por órgão de pesquisa;
• execução de contrato ou de procedimentos preliminares a pedido do titular;
• exercício regular de direitos em processos judiciais, administrativos ou arbitrais;
• proteção da vida ou da integridade física;
• tutela da saúde, por profissionais e serviços de saúde;
• legítimo interesse do controlador ou de terceiro, respeitados os direitos do titular;
• proteção do crédito.

Para dados sensíveis, as hipóteses são mais restritas. E quando a base é o consentimento, ele precisa ser livre, informado e inequívoco, para finalidades determinadas.

Seus direitos como titular

Você pode pedir ao controlador, a qualquer momento:

1. Confirmação de que existe tratamento dos seus dados.
2. Acesso aos dados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
5. Portabilidade dos dados a outro fornecedor, conforme a regulamentação.
6. Eliminação dos dados tratados com base no consentimento.
7. Informação sobre com quem os dados foram compartilhados.
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências.
9. Revogação do consentimento.
10. Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados que afetem os seus interesses, como perfis de crédito. Esse tema aparece também nos debates sobre regulação da IA.

Você também pode peticionar à ANPD contra o controlador, e se opor ao tratamento em situações em que ele ocorra sem consentimento, caso haja descumprimento da lei.

Como exercer seus direitos, passo a passo

1. Localize o canal do titular na política de privacidade do serviço. Costuma haver um e-mail ou formulário do encarregado.
2. Faça o pedido por escrito, identificando-se e indicando claramente o que deseja (acesso, correção, exclusão).
3. Guarde o protocolo e a data.
4. Aguarde a resposta. A lei prevê que a confirmação e o acesso sejam atendidos imediatamente, em formato simplificado, ou em até 15 dias, por declaração completa.
5. Se não for atendido, registre uma petição de titular junto à ANPD, comprovando que tentou primeiro o contato com o controlador. A ANPD disponibiliza um sistema online para isso.

O papel da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) regulamenta, orienta e fiscaliza o cumprimento da LGPD. Entre suas atribuições estão apurar infrações, aplicar sanções e publicar guias orientativos. O site da autoridade oferece serviços como a denúncia de descumprimento da lei e a comunicação de incidentes de segurança.

Incidentes de segurança e vazamentos

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Se a sua empresa ou um serviço que você usa sofrer um vazamento, você tem direito a ser informado.

Do lado do usuário, vale reforçar as práticas de segurança digital: trocar senhas afetadas, ativar a autenticação em dois fatores e desconfiar de mensagens que citam dados verdadeiros seus. Golpes costumam explorar dados vazados, como explicamos em como identificar phishing.

Sanções previstas

A LGPD prevê, para quem descumpre, sanções administrativas aplicadas pela ANPD. Entre elas:

• advertência, com prazo para medidas corretivas;
• multa simples de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração;
• multa diária, respeitado o mesmo limite;
• publicização da infração;
• bloqueio ou eliminação dos dados;
• suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento, por até seis meses.

Além das sanções administrativas, os titulares podem buscar reparação por danos na Justiça.

O que muda na prática

Para você, como titular

• Leia, ao menos por alto, a política de privacidade de serviços que pedem muitos dados.
• Forneça apenas o necessário, e desconfie de cadastros que pedem mais do que a finalidade justifica.
• Use os canais de titular para acessar, corrigir e apagar dados.
• Dados de crianças e adolescentes têm proteção específica, e exigem o consentimento de um dos pais ou responsável, em regra.

Para pequenas empresas e profissionais

A lei vale também para negócios pequenos. Um caminho inicial:

1. Mapeie quais dados pessoais você coleta, para que e onde ficam.
2. Defina a base legal de cada tratamento.
3. Colete o mínimo necessário e guarde apenas pelo tempo preciso.
4. Escreva uma política de privacidade clara e mantenha um canal para os titulares.
5. Proteja os dados com medidas técnicas, como senhas fortes, autenticação em dois fatores e backups.
6. Revise contratos com fornecedores que tratam dados em seu nome.
7. Tenha um plano para incidentes.

A ANPD prevê regras simplificadas para agentes de tratamento de pequeno porte, e publica guias orientativos, inclusive sobre cookies em sites. Consulte a autoridade e, quando necessário, um profissional especializado.

Mitos comuns

• "A LGPD só vale para grandes empresas." Vale para qualquer organização que trate dados pessoais.
• "Sempre é preciso consentimento." Existem várias bases legais, e o consentimento é apenas uma delas.
• "Dado público pode ser usado como quiser." O uso continua sujeito à finalidade, à boa-fé e ao interesse público que justificaram a disponibilização.
• "Basta ter um aviso de cookies." O aviso é uma parte, mas o tratamento inteiro precisa de finalidade, base legal e segurança.

Perguntas frequentes

A LGPD vale para dados de empresas?

A lei protege dados de pessoas naturais. Dados de pessoas jurídicas, como o CNPJ, não são pessoais, embora dados de sócios ou de contatos dentro da empresa possam ser.

Posso pedir que apaguem todos os meus dados?

Você pode pedir a eliminação de dados tratados com base no consentimento e de dados desnecessários ou tratados em desconformidade. Em alguns casos, o controlador pode ter que manter certos dados por obrigação legal ou para defesa em processos, e deve explicar isso.

O que faço se o pedido for ignorado?

Registre uma petição de titular na ANPD, com os comprovantes do pedido feito ao controlador. Para prejuízos, também é possível buscar a Justiça ou órgãos de defesa do consumidor.

Preciso de um encarregado (DPO) na minha empresa?

Em regra, o controlador deve indicar um encarregado. A ANPD estabelece dispensas para agentes de pequeno porte, com a obrigação de manter um canal de comunicação com os titulares. Verifique a regulamentação vigente.

Conclusão

A LGPD dá às pessoas controle sobre seus dados e impõe deveres a quem os trata: finalidade, necessidade, transparência e segurança. Você pode acessar, corrigir e eliminar dados, revogar consentimentos e recorrer à ANPD quando os pedidos são ignorados.

Conhecer esses direitos ajuda a usar serviços digitais com mais consciência. Este texto foi revisado em setembro de 2026 e é informativo: para decisões jurídicas, consulte a lei, a ANPD e um profissional habilitado.

Fontes

• Presidência da República. Lei nº 13.709/2018 (LGPD).
• ANPD. Perguntas frequentes.
• ANPD. Autoridade Nacional de Proteção de Dados.
• ANPD. Notícias e serviços.