Fundamentos da LGPD: entenda a Lei Geral de Proteção de Dados

A Lei Geral de Proteção de Dados Pessoais (LGPD) é a Lei nº 13.709, de 14 de agosto de 2018. Ela regula o tratamento de dados pessoais feito por pessoas físicas, empresas e órgãos públicos, em meio digital ou físico. Seu objetivo, nos termos do art. 1º, é proteger os direitos fundamentais de liberdade, de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Neste guia, você encontra os fundamentos da lei de proteção de dados de forma organizada: conceitos, princípios, bases legais, direitos dos titulares, agentes de tratamento, aplicação no setor público, sanções, comparação com o GDPR europeu e os pontos que mais caem em concursos públicos.

O que é a LGPD e qual a sua finalidade

A LGPD é a norma central do sistema brasileiro de proteção de dados. Ela estabelece regras sobre coleta, uso, armazenamento, compartilhamento e eliminação de informações que identificam ou podem identificar uma pessoa. A lei entrou em vigor em 18 de setembro de 2020, e as sanções administrativas passaram a valer em 1º de agosto de 2021.

O art. 2º lista os fundamentos da disciplina de proteção de dados: o respeito à privacidade, a autodeterminação informativa, a liberdade de expressão, de informação, de comunicação e de opinião, a inviolabilidade da intimidade, da honra e da imagem, o desenvolvimento econômico e tecnológico e a inovação, a livre iniciativa, a livre concorrência e a defesa do consumidor, e os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania. A autodeterminação informativa merece destaque: é o poder de cada pessoa decidir sobre o destino das informações que lhe dizem respeito.

Em 2022, a Emenda Constitucional nº 115 elevou a proteção de dados pessoais, inclusive nos meios digitais, à categoria de direito fundamental autônomo (art. 5º, LXXIX, da Constituição). A mesma emenda atribuiu à União a competência privativa para legislar sobre o tema.

A quem a LGPD se aplica

A LGPD alcança qualquer operação de tratamento realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde os dados estejam localizados. Basta uma das hipóteses do art. 3º: o tratamento ocorrer no Brasil, ter por objetivo a oferta de bens ou serviços a pessoas no Brasil, ou envolver dados coletados no território nacional. Por isso, uma plataforma estrangeira que vende para brasileiros também se submete à lei.

O art. 4º traz as exceções. A lei não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, como a agenda de contatos do seu celular. Também ficam de fora os tratamentos para fins exclusivamente jornalísticos, artísticos ou acadêmicos (neste último caso, com aplicação dos arts. 7º e 11), e os realizados para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, que dependem de legislação específica (art. 4º, III, e § 1º). Também fica fora o tratamento de dados provenientes do exterior que não sejam objeto de comunicação ou uso compartilhado com agentes brasileiros, nem de transferência internacional a outro país que não o de origem, desde que o país de origem ofereça grau de proteção adequado (art. 4º, IV).

Conceitos essenciais da LGPD

O art. 5º da LGPD funciona como um glossário. Dominar essas definições é o primeiro passo para entender a lei e para acertar questões de prova.

Três observações ajudam a fixar esses conceitos. A LGPD protege apenas a pessoa natural, de modo que dados de pessoa jurídica, como CNPJ e razão social, ficam fora do seu alcance. O rol de dados sensíveis é tratado pela doutrina e pelas bancas como taxativo, e a sua marca é o potencial discriminatório. O dado anonimizado deixa de ser dado pessoal (art. 12), salvo quando o processo de anonimização for revertido, utilizando exclusivamente meios próprios, ou quando puder ser revertido com esforços razoáveis.

O conceito de tratamento é propositalmente amplo. Consultar um processo eletrônico, baixar uma peça com dados de saúde ou simplesmente armazenar uma planilha de clientes já configura tratamento de dados pessoais. No Processo Judicial eletrônico (PJe), por exemplo, o cadastro de partes reúne documentos de identificação, endereços, meios de contato e características pessoais, o que transforma os autos digitais em uma fonte informacional de grande porte e exige boas práticas contra acessos indevidos.

Princípios da LGPD

O art. 6º determina que todo tratamento de dados pessoais observe a boa-fé e dez princípios. Eles orientam a interpretação de toda a lei e aparecem com frequência em questões que trocam a definição de um princípio pela de outro.

Uma forma prática de memorizar é agrupar os princípios por momento. Finalidade, adequação e necessidade definem por que e quanto coletar. Livre acesso, qualidade e transparência garantem a relação com o titular. Segurança e prevenção cuidam da proteção da base. Não discriminação e responsabilização fecham o ciclo com limites éticos e dever de prova.

Bases legais para o tratamento de dados

Nenhum tratamento de dados pessoais é lícito sem uma base legal. O art. 7º prevê dez hipóteses para dados pessoais comuns, e o art. 11 traz um rol próprio, mais restrito, para dados sensíveis. Entre as bases não há hierarquia: o consentimento é apenas uma delas.

O quadro revela o ponto mais cobrado sobre o tema: legítimo interesse e proteção do crédito autorizam o tratamento de dados comuns e não alcançam dados sensíveis. A prevenção à fraude em sistemas de autenticação, por sua vez, aparece de forma expressa apenas no art. 11, o que explica, por exemplo, o uso de biometria em aplicativos bancários.

O consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para uma finalidade determinada (art. 5º, XII), e o art. 8º lhe dá regras próprias. Ele deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade; quando escrito, deve constar de cláusula destacada das demais cláusulas contratuais. Cabe ao controlador o ônus de provar que o obteve, é vedado o tratamento mediante vício de consentimento, autorizações genéricas são nulas e o titular pode revogá-lo a qualquer momento, por procedimento gratuito e facilitado. Se a finalidade ou outras informações essenciais mudarem, o controlador deve informar o titular, que pode revogar o consentimento caso discorde. Para dados de crianças, o art. 14 exige atenção ao melhor interesse e, como regra, consentimento específico de ao menos um dos pais ou do responsável legal.

Direitos dos titulares

O titular é o centro da LGPD. O art. 17 assegura a toda pessoa natural a titularidade de seus dados pessoais, e o art. 18 lista os direitos que podem ser exercidos perante o controlador, mediante requisição expressa e sem custos:

1. Confirmação da existência de tratamento.
2. Acesso aos dados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
5. Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial.
6. Eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação do art. 16.
7. Informação sobre as entidades públicas e privadas com as quais o controlador compartilhou dados.
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
9. Revogação do consentimento.

Somam-se a essa lista o direito de peticionar à ANPD e aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º) e o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como perfis de crédito ou de consumo (art. 20). Esse último direito ganhou relevância com o avanço da inteligência artificial.

Quanto ao prazo, o acesso pode ser fornecido de imediato, em formato simplificado, ou por declaração clara e completa em até 15 dias, contados do requerimento (art. 19).

Agentes de tratamento: controlador, operador e encarregado

A LGPD chama de agentes de tratamento o controlador e o operador (art. 5º, IX). O encarregado completa o quadro de atores, com função de comunicação, e não integra o conceito legal de agente de tratamento, detalhe que as bancas exploram com frequência.

O controlador e o operador devem manter registro das operações de tratamento (art. 37). Pelo art. 42, quem causar dano patrimonial, moral, individual ou coletivo em violação à lei responde pela reparação. O operador responde solidariamente quando descumprir a lei ou as instruções lícitas do controlador, e controladores diretamente envolvidos no tratamento também respondem de forma solidária.

A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara, preferencialmente no sítio eletrônico do controlador (art. 41, § 1º). O dever de indicar o encarregado recai sobre o controlador (art. 41, caput), e a lei autoriza a ANPD a estabelecer normas complementares e hipóteses de dispensa conforme a natureza, o porte da entidade ou o volume de operações (art. 41, § 3º). Com esse fundamento, a ANPD regulamentou a função na Resolução CD/ANPD nº 18/2024 e dispensou os agentes de pequeno porte da indicação obrigatória, desde que mantenham um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022).

Como a LGPD se aplica aos órgãos públicos

O poder público tem um capítulo próprio na LGPD (arts. 23 a 32). O tratamento feito pelas pessoas jurídicas de direito público referidas na Lei de Acesso à Informação (Lei nº 12.527/2011) deve atender à sua finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições do serviço público (art. 23).

Para isso, o órgão deve informar, em veículos de fácil acesso e preferencialmente em seus sítios eletrônicos, as hipóteses em que trata dados pessoais, com a previsão legal, a finalidade, os procedimentos e as práticas utilizadas. Também deve indicar um encarregado. Os serviços notariais e de registro recebem o mesmo tratamento dispensado aos órgãos públicos (art. 23, § 4º). As empresas públicas e sociedades de economia mista que atuam em regime de concorrência seguem as regras aplicáveis às pessoas jurídicas de direito privado, salvo quando estiverem operacionalizando políticas públicas, hipótese em que recebem o tratamento dado ao Poder Público (art. 24, caput e parágrafo único). Os prazos e procedimentos para o exercício dos direitos do titular perante o Poder Público observam a legislação específica, como a Lei do Habeas Data, a Lei do Processo Administrativo e a Lei de Acesso à Informação (art. 23, § 3º).

O uso compartilhado de dados entre órgãos deve atender a finalidades específicas de execução de políticas públicas e de atribuições legais (art. 26). A transferência de dados de bases públicas a entidades privadas é vedada como regra, com exceções expressas no art. 26, § 1º: a execução descentralizada de atividade pública que exija a transferência, os dados acessíveis publicamente, a previsão legal ou o respaldo em contratos, convênios ou instrumentos congêneres, e a transferência voltada exclusivamente à prevenção de fraudes e irregularidades ou à proteção da segurança e da integridade do titular. A ANPD pode solicitar a órgãos públicos a publicação de relatórios de impacto à proteção de dados pessoais (art. 32).

A LGPD no Poder Judiciário e no processo judicial eletrônico

O Judiciário oferece um bom exemplo de aplicação prática. A regra do processo judicial é a publicidade (arts. 5º, LX, e 93, IX, da Constituição), e o Supremo Tribunal Federal já reconheceu que o Brasil adota um modelo de publicidade ampla, que alcança as peças dos autos. Ao mesmo tempo, os autos eletrônicos concentram dados pessoais e sensíveis de partes, vítimas e testemunhas, e o tribunal atua como controlador dessas informações.

A compatibilização entre publicidade e proteção de dados se faz em camadas. A Resolução CNJ nº 121/2010 criou níveis de acesso: o público em geral consulta os dados básicos do processo, as partes e advogados vinculados acessam o inteiro teor e advogados cadastrados sem procuração acessam os autos mediante registro, vedada a consulta anônima. No sistema PJe, o magistrado pode atribuir cinco níveis de sigilo (segredo de justiça, sigilo mínimo, médio, intenso e absoluto). A Resolução CNJ nº 427/2021 permite registrar em apartado os dados de vítimas e testemunhas ameaçadas, e a Resolução CNJ nº 363/2021 estabeleceu medidas para a adequação dos tribunais à LGPD. A Plataforma Digital do Poder Judiciário (Resolução CNJ nº 335/2020) também exige adequação à lei e padrões mínimos de dados.

Na prática, a proteção depende de quem alimenta o sistema. Advogados que juntam documentos sensíveis sem a classificação adequada e servidores que desconhecem as funcionalidades de sigilo são fontes frequentes de exposição indevida. Letramento digital e conhecimento das ferramentas são, por isso, parte da conformidade com a LGPD.

Papel da ANPD e sanções da LGPD

A ANPD é a entidade responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o país. Ela nasceu em 2019 como órgão da Presidência da República (Lei nº 13.853/2019), tornou-se autarquia de natureza especial em 2022 (Lei nº 14.460/2022) e, em 2026, foi transformada em Agência Nacional de Proteção de Dados pela Lei nº 15.352/2026, resultado da conversão da Medida Provisória nº 1.317/2025. Na redação atual do art. 55-A, a ANPD é autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio e sede no Distrito Federal, submetida ao regime das agências reguladoras (Lei nº 13.848/2019). A ANPD é também responsável por regulamentar o ECA Digital (Lei nº 15.211/2025).

Entre as competências do art. 55-J estão editar regulamentos, fiscalizar e aplicar sanções, apreciar petições de titulares, promover a educação sobre proteção de dados e articular-se com outras autoridades reguladoras. Quando ocorre um incidente de segurança que possa acarretar risco ou dano relevante, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48). A lei exige comunicação em prazo razoável, conforme definido pela autoridade nacional, com conteúdo mínimo como a natureza dos dados afetados, os titulares envolvidos, os riscos e as medidas adotadas (art. 48, § 1º). A Resolução CD/ANPD nº 15/2024 fixou esse prazo em três dias úteis.

As sanções administrativas do art. 52 são aplicadas após procedimento que assegure ampla defesa, de forma gradativa, isolada ou cumulativa:

Os órgãos e entidades públicas se sujeitam às sanções dos incisos I, IV, V, VI, X, XI e XII do art. 52, ficando de fora as multas simples e diária, sem prejuízo das Leis nº 8.112/1990, nº 8.429/1992 e nº 12.527/2011 (art. 52, § 3º). Os critérios de aplicação estão no art. 52, § 1º, e incluem gravidade e natureza da infração, boa-fé, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação, mecanismos internos de prevenção, política de boas práticas, pronta adoção de medidas corretivas e proporcionalidade. A dosimetria segue o Regulamento aprovado pela Resolução CD/ANPD nº 4/2023, que considera fatores como gravidade, boa-fé, reincidência, cooperação e adoção de boas práticas. As sanções administrativas convivem com a responsabilidade civil e com as sanções previstas no Código de Defesa do Consumidor e em outras leis.

Diferenças entre LGPD e GDPR

A LGPD foi fortemente inspirada no Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR, Regulamento UE 2016/679), aplicável desde 25 de maio de 2018. As duas normas compartilham a lógica de princípios, bases legais, direitos do titular e autoridade fiscalizadora, e se distinguem em pontos que costumam aparecer em provas e em projetos de adequação.

Dois exemplos ajudam a visualizar as diferenças. Uma empresa brasileira que vende pela internet para clientes na Espanha se submete aos dois regimes ao mesmo tempo, e um vazamento de dados exigirá comunicação à autoridade europeia em 72 horas e à ANPD em três dias úteis. Um birô de crédito brasileiro, por sua vez, encontra na LGPD uma base legal específica para a proteção do crédito, que no GDPR precisaria ser enquadrada em outra hipótese, normalmente o legítimo interesse.

LGPD em concursos públicos: o que mais cai

A LGPD está presente em editais de tribunais, carreiras fiscais, controle, polícia, bancárias e tecnologia da informação. As bancas costumam cobrar a literalidade dos arts. 1º a 23, 41, 42, 48 e 52. Os pontos abaixo concentram a maior parte das questões:

1. Proteção restrita à pessoa natural. Dados de pessoa jurídica ficam fora da lei.
2. Rol de dados sensíveis. Saúde, vida sexual, genética, biometria, origem racial ou étnica, religião, opinião política e filiação sindical, religiosa, filosófica ou política. Dados financeiros e de geolocalização são pessoais e ficam fora desse rol.
3. Exceções do art. 4º. Uso particular e não econômico, fins jornalísticos e artísticos, fins acadêmicos e segurança pública, defesa nacional e persecução penal.
4. Bases legais sem hierarquia. O consentimento é uma entre dez hipóteses, e legítimo interesse e proteção do crédito valem apenas para dados comuns.
5. Características do consentimento. Livre, informado e inequívoco; para dados sensíveis, específico e destacado; ônus da prova do controlador; revogável a qualquer tempo.
6. Agentes de tratamento. Controlador e operador; o encarregado atua como canal de comunicação.
7. Princípios do art. 6º. Trocas entre necessidade e adequação e entre prevenção e segurança são as pegadinhas clássicas.
8. Direitos do titular e revisão de decisões automatizadas (arts. 18 e 20).
9. Sanções. Multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e inaplicabilidade de multas a órgãos públicos.
10. Natureza da ANPD. Desde a Lei nº 15.352/2026, a sigla ANPD designa a Agência Nacional de Proteção de Dados, autarquia de natureza especial no regime das agências reguladoras (art. 55-A). Atenção a materiais e questões anteriores, que usam o nome Autoridade Nacional de Proteção de Dados.
11. Direito fundamental. Proteção de dados no art. 5º, LXXIX, da Constituição, incluído pela EC nº 115/2022, e competência privativa da União para legislar sobre o tema.

Uma estratégia eficiente de estudo combina a leitura seca da lei com tabelas de comparação, como as deste artigo, e resolução de questões da banca do seu concurso.

Perguntas frequentes sobre a LGPD

O que é a LGPD e a quem ela se aplica?

A LGPD é a Lei nº 13.709/2018, que regula o tratamento de dados pessoais no Brasil para proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade. Ela se aplica a pessoas físicas, empresas e órgãos públicos que tratem dados no Brasil, ofereçam bens ou serviços a pessoas no Brasil ou coletem dados no território nacional, mesmo quando sediados no exterior.

O que é tratamento de dados pessoais segundo a LGPD?

Tratamento é toda operação realizada com dados pessoais, como coleta, acesso, armazenamento, compartilhamento, transferência e eliminação (art. 5º, X). Consultar um cadastro, guardar uma planilha de clientes ou enviar uma lista de e-mails são exemplos de tratamento.

Quais são os princípios fundamentais da LGPD?

Além da boa-fé, o art. 6º prevê dez princípios: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Quais são as bases legais para o tratamento de dados?

Para dados pessoais comuns, o art. 7º prevê dez bases: consentimento, obrigação legal ou regulatória, políticas públicas, estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito. Para dados sensíveis, valem as hipóteses mais restritas do art. 11.

Quais pontos da LGPD mais caem em concursos públicos?

Os temas mais cobrados são os conceitos do art. 5º (especialmente dado sensível), as exceções do art. 4º, os princípios do art. 6º, as bases legais dos arts. 7º e 11, os agentes de tratamento, os direitos do titular e as sanções do art. 52, com destaque para o limite de R$ 50 milhões por infração.

Como a LGPD é aplicada aos órgãos públicos?

Os órgãos públicos tratam dados para cumprir sua finalidade pública e suas atribuições legais (art. 23). Devem informar com transparência as hipóteses de tratamento, indicar um encarregado e observar regras específicas para compartilhamento. Eles se sujeitam às sanções da ANPD, com exceção das multas simples e diária (art. 52, § 3º).

Conclusão

Os fundamentos da LGPD formam um sistema coerente. Os conceitos do art. 5º delimitam o que é protegido, os princípios orientam cada decisão, as bases legais autorizam o tratamento, os direitos do titular asseguram controle sobre as próprias informações e a ANPD, agora agência reguladora, garante a efetividade da lei.

Para empresas, órgãos públicos e profissionais do Direito, a LGPD faz parte da rotina, do cadastro de um cliente à juntada de um documento em um processo eletrônico. Para quem estuda para concursos, é uma lei de leitura obrigatória, com cobrança crescente e muito apoiada na literalidade.

Tiago Carneiro Rabelo: Analista Judiciário do TJDFT. Mestrando em Direito na Universidade de Brasília (UnB). Especialista em Inovação e Robótica Educacional. CST em Inteligência Artificial. Professor GRAN: PJe, Direito Digital e Resoluções do CNJ. Rede social: @prof.tiagorabelo