direitos dos titulares•

18 de setembro de 2026

•

Together Team

O que é LGPD? Entenda a lei e aplique na sua empresa

A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018, disciplina o tratamento de dados pessoais, inclusive nos meios digitais, por pessoas naturais e por organizações públicas ou privadas. Seu objetivo é proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade, como estabelece o artigo 1º da LGPD.

Entender o que é LGPD começa por uma ideia simples: dados pessoais pertencem à vida das pessoas, e seu uso precisa ter finalidade, justificativa, transparência e proteção. Para a empresa, isso não se resume a publicar uma política de privacidade. Significa saber quais dados entram na operação, por que são utilizados, quem decide sobre eles, quais fornecedores participam e como atender o titular com consistência.

Este guia traduz a lei para decisões empresariais. Ele ajuda a reconhecer conceitos, responsabilidades e prioridades, mas não substitui a análise jurídica e técnica de uma operação específica.

O que é LGPD e por que ela importa para empresas?

A resposta direta para o que é LGPD é: trata-se da lei brasileira que estabelece regras para o uso de dados pessoais e cria direitos para as pessoas a quem esses dados se referem. A norma alcança operações em papel e em sistemas digitais, desde que estejam dentro de suas hipóteses de aplicação.

Na prática, compreender o que é LGPD exige olhar além da pergunta sobre a empresa “ter um banco de dados”. Um cadastro de cliente, uma planilha de candidatos, os registros de acesso de uma plataforma, uma lista de leads, gravações de atendimento e informações enviadas a um fornecedor podem envolver tratamento de dados pessoais. A própria lei define tratamento de modo amplo, abrangendo ações como coleta, acesso, uso, armazenamento, compartilhamento, modificação e eliminação.

Para quem procura o que é LGPD pensando no negócio, vale trocar uma visão puramente documental por uma visão de processo. A conformidade depende de decisões distribuídas entre áreas como comercial, marketing, RH, produto, tecnologia, atendimento, compras e jurídico. Cada área pode criar uma nova finalidade, contratar um operador, ampliar um acesso ou alterar o tempo de retenção.

A LGPD também não proíbe o uso de dados pessoais. Ela exige que esse uso esteja apoiado em uma hipótese legal aplicável e observe princípios, direitos dos titulares e medidas de segurança. A ANPD explica que a lei define situações em que os dados podem ser legitimamente utilizados e estabelece mecanismos de proteção contra usos inadequados.

Os conceitos que organizam a LGPD

Compreender o que é LGPD fica mais fácil quando os termos jurídicos são ligados ao fluxo real da empresa.

Dado pessoal e dado pessoal sensível

Na explicação sobre o que é LGPD, dado pessoal é a informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF e endereço são exemplos evidentes, mas identificadores online, hábitos de consumo e informações de uso também podem ser pessoais quando se relacionam a alguém identificável.

A lei atribui proteção específica aos dados pessoais sensíveis. Essa categoria inclui informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa. As definições estão no artigo 5º da LGPD.

Nem todo dado importante para o negócio é automaticamente um dado pessoal sensível. A classificação deve seguir a lei e considerar o contexto. O primeiro passo é verificar se a informação se relaciona a uma pessoa natural e, depois, se pertence à categoria sensível definida pela norma.

Titular, controlador e operador

Quando se traduz o que é LGPD para papéis concretos, o titular é a pessoa natural a quem os dados se referem. Pode ser cliente, colaborador, candidato, usuário, visitante, fornecedor pessoa física ou contato de uma empresa parceira.

O controlador é quem toma as decisões referentes ao tratamento. O operador trata dados em nome do controlador e deve seguir suas instruções lícitas. Controlador e operador são chamados de agentes de tratamento. Esses papéis não devem ser atribuídos apenas pelo nome do contrato. É preciso observar quem realmente define as finalidades e os elementos essenciais da operação.

Uma mesma empresa pode ocupar posições diferentes em processos distintos. Ao administrar dados de seus empregados, tende a decidir sobre finalidades e meios daquele tratamento. Ao prestar um serviço que processa dados segundo instruções documentadas de um cliente, pode atuar como operadora naquele fluxo. Avaliar cada atividade evita generalizações.

O que significa tratamento de dados?

Tratamento é qualquer operação realizada com dados pessoais. Isso inclui coletar, receber, classificar, acessar, utilizar, reproduzir, transmitir, distribuir, processar, arquivar, armazenar, eliminar, avaliar, controlar, modificar, comunicar, transferir, difundir ou extrair dados, conforme a definição legal.

Por isso, entender o que é LGPD exige olhar o ciclo completo, não apenas a coleta. A empresa precisa considerar de onde o dado vem, onde fica, quem acessa, com quem é compartilhado, por quanto tempo é mantido e como é eliminado ou anonimizado ao final da necessidade legítima de uso.

Princípios: os critérios para decidir melhor

Entender o que é LGPD também envolve usar os princípios como critérios permanentes para desenhar e revisar tratamentos. A LGPD lista finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Em termos operacionais, eles ajudam a formular perguntas úteis:

Finalidade: para qual objetivo legítimo, específico e informado este dado é usado?
Adequação: o uso é compatível com o contexto comunicado ao titular?
Necessidade: é possível alcançar o objetivo com menos dados ou menor retenção?
Transparência e livre acesso: a pessoa consegue compreender o tratamento e exercer seus direitos?
Qualidade: os dados estão corretos, relevantes e atualizados para a finalidade?
Segurança e prevenção: quais controles reduzem acessos indevidos, perdas e usos inadequados?
Não discriminação: o tratamento pode produzir discriminação ilícita ou abusiva?
Responsabilização e prestação de contas: a empresa consegue demonstrar medidas eficazes, e não apenas declarar conformidade?

Quem pesquisa o que é LGPD costuma buscar uma regra única para aprovar ou reprovar um projeto. Na prática, a análise combina hipótese legal, princípios, contexto, risco, transparência e salvaguardas. Uma base legal não elimina as demais obrigações.

Bases legais: consentimento não é a única opção

Para compreender o que é LGPD, base legal deve ser entendida como a hipótese prevista em lei que autoriza determinado tratamento. Para dados pessoais em geral, o artigo 7º apresenta categorias como consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato do qual o titular seja parte ou de procedimentos preliminares relacionados a esse contrato, a pedido do titular, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito, além de hipóteses específicas para poder público e órgãos de pesquisa.

Dados pessoais sensíveis seguem as hipóteses próprias do artigo 11. Transferências internacionais também exigem o enquadramento nos mecanismos previstos na lei. A ANPD resume as categorias aplicáveis a dados pessoais e diferencia o tratamento de dados sensíveis.

Consentimento, portanto, não deve ser escolhido por reflexo. Quando ele for a base adequada, precisa ser livre, informado, inequívoco e relacionado a finalidades determinadas. Em outros contextos, outra hipótese pode refletir melhor a operação. A escolha deve ser feita por atividade e documentada com sua justificativa.

Para aplicar o que é LGPD no cotidiano, evite manter uma coluna genérica chamada “base legal da empresa”. Um processo de recrutamento, uma folha de pagamento, uma campanha e o suporte ao cliente têm finalidades, dados, riscos e relações diferentes. A análise precisa acompanhar essa granularidade.

Quais são os direitos dos titulares?

Ao estudar o que é LGPD, é essencial conhecer os direitos relacionados ao uso dos dados. Entre eles estão confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade conforme regulamentação, informações sobre compartilhamento, revogação do consentimento e revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. A lista e suas condições podem ser consultadas nos artigos 18 a 20 da LGPD.

Esses direitos não significam que todo pedido de eliminação resulte na exclusão imediata de todos os registros. A própria lei prevê situações de conservação, por exemplo para cumprimento de obrigação legal ou regulatória. A empresa deve autenticar o solicitante de forma proporcional, localizar os dados, avaliar o pedido, responder de modo claro e registrar a decisão.

Nesse ponto, saber o que é LGPD precisa virar um fluxo de atendimento. Um canal sem responsáveis, critérios e acesso aos sistemas apenas transfere o problema. Atendimento, privacidade, jurídico, tecnologia e donos das bases devem conhecer suas etapas e escalonamentos.

O que muda na responsabilidade da empresa?

Aplicar o que é LGPD exige que a empresa conheça e governe as operações pelas quais é responsável. A ANPD aponta como providências de adequação o mapeamento e o registro dos tratamentos, a identificação de bases legais e finalidades, a adoção de medidas técnicas e administrativas, a criação de processos e políticas internas e um canal de contato com titulares.

Isso se traduz em um programa contínuo, com prioridades proporcionais ao porte, à complexidade e ao risco. Para transformar o que é LGPD em execução, a organização deve conectar pelo menos seis frentes:

inventário de dados, sistemas, finalidades e compartilhamentos;
definição de papéis entre controlador, operador e fornecedores;
transparência para titulares em avisos e interações relevantes;
processo de resposta a direitos e incidentes;
segurança da informação e gestão de acessos;
evidências de decisões, revisões, contratos, treinamentos e controles.

Um documento isolado não comprova que essas rotinas funcionam. A prestação de contas depende da coerência entre o que a empresa informa, o que os sistemas executam e o que as equipes conseguem demonstrar.

Segurança e governança devem acompanhar o risco

A lei determina que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. Também prevê que essas medidas sejam consideradas desde a concepção do produto ou serviço, conforme o artigo 46 da LGPD.

Não existe um único pacote de controles adequado a todas as empresas. A seleção pode considerar natureza e volume dos dados, criticidade dos sistemas, perfis de acesso, fornecedores, trabalho remoto e impactos possíveis para os titulares. Inventário de ativos, gestão de identidades, revisão de permissões, backups, criptografia quando adequada, registros de eventos, gestão de vulnerabilidades e plano de resposta são exemplos de frentes a avaliar.

Governança é o que mantém essas medidas vivas. Políticas precisam ter responsáveis, revisões e evidências. Novos produtos, campanhas e fornecedores devem passar por critérios de privacidade antes de entrar em produção. Assim, o que é LGPD deixa de ser um projeto pontual e se torna parte da forma como a organização toma decisões.

Encarregado de dados: qual é o papel do DPO?

A explicação sobre o que é LGPD também passa pelo encarregado, que atua como canal de comunicação entre o controlador, os titulares e a ANPD. Entre suas atividades legais estão aceitar comunicações, prestar esclarecimentos, receber comunicações da autoridade e orientar funcionários e contratados sobre práticas de proteção de dados. A identidade e o contato devem ser divulgados quando a indicação for aplicável, como dispõe o artigo 41 da LGPD. A indicação pelo operador é facultativa e pode integrar suas boas práticas de governança.

O papel não deve ser reduzido a uma caixa de e-mail. O encarregado precisa de acesso às áreas, fluxos de escalonamento, recursos compatíveis e condições para acompanhar decisões relevantes. Há tratamento regulatório diferenciado e hipóteses de dispensa para determinados agentes de pequeno porte, mas a ANPD ressalta que, nessa situação, deve existir canal de comunicação com o titular.

Se a sua empresa está definindo o modelo, veja também funções, regras e atuação do encarregado ou DPO. A decisão entre estrutura interna, externa ou híbrida deve considerar complexidade, conflitos, disponibilidade e continuidade.

Primeiros passos: matriz prática de responsabilidades

Depois de entender o que é LGPD, o melhor começo é criar uma visão compartilhada do trabalho. A matriz abaixo não substitui a definição formal de responsabilidades, mas ajuda a organizar uma primeira rodada de decisões.

Passo	Pergunta de decisão	Responsável de negócio	Apoio necessário	Evidência esperada
Priorizar processos	Onde há maior volume, sensibilidade, compartilhamento ou impacto para pessoas?	Direção e donos de processo	Privacidade, jurídico e segurança	Lista priorizada com critérios
Mapear tratamentos	Quais dados entram, para quê, de onde vêm, onde ficam e para quem seguem?	Dono de cada processo	TI, dados e fornecedores	Inventário ou registro de operações
Definir papéis	Quem decide a finalidade e quem processa em nome de quem?	Negócio e compras	Jurídico e privacidade	Papéis registrados e contratos coerentes
Validar fundamento	Qual hipótese legal sustenta cada finalidade e quais condições se aplicam?	Dono do processo	Jurídico e privacidade	Justificativa documentada por atividade
Ajustar transparência	O titular entende finalidade, compartilhamentos, contato e direitos?	Produto, marketing, RH ou atendimento	Jurídico e comunicação	Avisos e jornadas revisados
Tratar riscos	Quais controles reduzem acessos indevidos, excesso de coleta e retenção?	TI e segurança	Negócio, privacidade e fornecedores	Plano de ação com prioridades e responsáveis
Atender titulares	Como receber, autenticar, localizar, decidir, responder e registrar pedidos?	Atendimento e privacidade	TI, jurídico e donos de base	Procedimento testado e histórico de solicitações
Sustentar governança	Quando contratos, inventário, acessos, treinamentos e riscos serão revistos?	Patrocínio executivo	Todas as áreas envolvidas	Calendário, indicadores e registros de revisão

Para aprofundar essa sequência, consulte o plano de adequação à LGPD. O objetivo não é resolver tudo ao mesmo tempo, mas criar um ciclo em que os riscos mais relevantes recebam responsáveis, prazo e comprovação.

Checklist de decisão para novos projetos

Use estas perguntas antes de aprovar uma ferramenta, campanha, integração ou novo processo. Elas ajudam a transformar o que é LGPD em uma rotina de prevenção:

A finalidade está definida e pode ser explicada em linguagem clara?
Todos os dados solicitados são necessários para essa finalidade?
A hipótese legal e suas condições foram avaliadas para este contexto?
Existem dados sensíveis, dados de crianças e adolescentes ou grande escala de tratamento?
O titular recebe informações adequadas no momento relevante?
Quem atuará como controlador e operador está claro?
O contrato descreve instruções, segurança, subcontratação, apoio a direitos e resposta a incidentes?
Os acessos são limitados por função e revistos periodicamente?
Há critério de retenção, eliminação ou anonimização?
A equipe consegue localizar os dados se o titular fizer uma solicitação?
O projeto altera riscos já avaliados ou exige análise de impacto mais aprofundada?
Existe um responsável por acompanhar pendências depois do lançamento?

Se várias respostas forem “não”, “não sabemos” ou “depende do fornecedor”, o projeto ainda precisa de trabalho. A saída não é necessariamente cancelar a iniciativa. Pode ser reduzir a coleta, mudar o desenho, negociar cláusulas, limitar acessos, reforçar transparência ou implementar controles antes da operação.

Como a TOGETHER pode apoiar

Entender o que é LGPD é o ponto de partida. O avanço real acontece quando a empresa converte conceitos em responsáveis, processos e evidências compatíveis com sua operação.

A TOGETHER pode apoiar com consultoria em LGPD para mapear tratamentos, priorizar riscos, revisar fluxos, contratos e fornecedores, estruturar o atendimento a titulares e construir um plano executável. Quando a organização precisa de acompanhamento contínuo, o modelo de DPO as a Service pode oferecer orientação recorrente, canal estruturado, apoio às áreas e monitoramento da governança.

O escopo deve partir da realidade do negócio. Uma conversa inicial pode identificar processos críticos, lacunas de decisão e entregas que gerem redução de risco sem paralisar a operação.

Conclusão

A melhor síntese de o que é LGPD não cabe apenas em uma definição legal. É um sistema de regras e princípios para que dados pessoais sejam usados com propósito legítimo, transparência, segurança e respeito aos direitos das pessoas.

Para a empresa, aplicar a lei significa conhecer seus fluxos, justificar tratamentos, reduzir excessos, organizar fornecedores, proteger informações, atender titulares e demonstrar decisões. Comece pelos processos de maior risco, atribua responsáveis e transforme o diagnóstico em um ciclo de melhoria.

Referências e critérios de revisão

Este conteúdo usa como fontes primárias o texto compilado da Lei nº 13.709/2018 e as orientações públicas da ANPD. Por tratar de uma norma sujeita a regulamentação e atualização, recomenda-se revisão anual e também quando houver mudança legal, regulatória ou operacional relevante.