Início·Atuação·Empresa & Mercados·Proteção de Dados
Base legal, encarregado, comunicação de incidente, dosimetria da multa, cláusulas-padrão de transferência internacional. Em 2026 a ANPD tornou-se agência reguladora, reconheceu a União Europeia como destino adequado e passou a fiscalizar o ECA Digital. Para controladores e operadores, a margem para improvisar ficou menor.
GEDEON — Advocacia & Consultoria Responsabilidade técnica: Gedeon Santos Cavalcante, OAB/DF 32.526 Publicado em 25 de setembro de 2026 Leitura: 17 minutos
Em resumo
1 · Adequação
Todo tratamento precisa de uma das hipóteses do art. 7º da LGPD ou, se o dado for sensível, do art. 11. A escolha errada não é mera fragilidade argumentativa: tratar sem base legal é infração autônoma, multada já no primeiro precedente sancionador publicado pela ANPD (DOU de 06/07/2023).
O art. 7º lista dez hipóteses; o art. 11 é mais estreito. Para dado sensível — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico (art. 5º, II) —, sem consentimento dado “de forma específica e destacada”, o tratamento só é possível quando for “indispensável” para uma das alíneas do inciso II. E o § 1º estende o regime a qualquer tratamento que “revele” dado sensível.
O legítimo interesse tem custo documental próprio. Só se tratam “os dados pessoais estritamente necessários para a finalidade pretendida” (art. 10, § 1º); o registro das operações é exigido “especialmente quando baseado no legítimo interesse” (art. 37); e a ANPD pode pedir relatório de impacto quando o tratamento tiver esse fundamento (art. 10, § 3º). Consentimento colhido com informação enganosa, abusiva ou não apresentada previamente é nulo (art. 9º, § 1º).
| Hipótese | Dado pessoal (art. 7º) | Dado sensível (art. 11) | Fonte |
|---|---|---|---|
| Consentimento | Manifestação livre, informada e inequívoca, para finalidade determinada | Consentimento “de forma específica e destacada, para finalidades específicas” | LGPD, arts. 5º, XII, 7º, I, e 11, I |
| Obrigação legal ou regulatória | Cabível | Cabível se indispensável | LGPD, arts. 7º, II, e 11, II, a |
| Execução de contrato | Cabível, quando necessário e a pedido do titular | Não há; só o exercício regular de direitos, inclusive em contrato | LGPD, arts. 7º, V, e 11, II, d |
| Legítimo interesse | Cabível, com dados estritamente necessários e registro | Não existe | LGPD, arts. 7º, IX, 10 e 11 |
| Proteção do crédito | Cabível | Não existe | LGPD, art. 7º, X |
| Prevenção à fraude na identificação e autenticação em sistemas eletrônicos | Sem hipótese própria | Cabível se indispensável | LGPD, art. 11, II, g |
Texto lido no compilado do Planalto em 24/09/2026. O art. 11, § 4º, veda a comunicação ou o uso compartilhado de dado de saúde entre controladores “com objetivo de obter vantagem econômica”, salvo as exceções que enumera.
O controlador “deverá indicar encarregado” (LGPD, art. 41), e a Resolução CD/ANPD nº 18/2024 detalhou como. A indicação exige “ato formal”, entendido como “o documento escrito, datado e assinado” que demonstre a designação, a ser apresentado à ANPD quando solicitado (art. 3º, §§ 1º e 2º do Regulamento). Identidade e contato devem estar no sítio do agente, “em local de destaque e de fácil acesso” (art. 9º). O encarregado pode ser pessoa natural, interna ou externa, ou pessoa jurídica (art. 12), e não depende de inscrição ou certificação específica (art. 14).
Dois pontos costumam passar despercebidos. A empresa deve garantir ao encarregado autonomia técnica e acesso direto à alta administração (art. 10, III e V), e acumular a função com decisões estratégicas sobre o tratamento pode configurar conflito de interesse sancionável (art. 19, § 1º, II, e § 2º). E o exercício da função “não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento” (art. 17): a responsabilidade continua sendo do agente de tratamento (art. 11).
O art. 18 lista os direitos — confirmação, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento — e manda atendê-los “sem custos para o titular, nos prazos e nos termos previstos em regulamento” (§ 5º). O prazo expresso está no art. 19: confirmação de existência ou acesso “em formato simplificado, imediatamente”, ou por declaração clara e completa em até 15 dias do requerimento. Quando não puder atender de imediato, o controlador deve responder indicando as razões de fato ou de direito do impedimento (art. 18, § 4º).
2 · Incidente de segurança
O art. 48 da LGPD fala em “prazo razoável, conforme definido pela autoridade nacional”. Desde a Resolução CD/ANPD nº 15, de 24 de abril de 2024, o prazo razoável tem número — e o relógio não espera o fim da apuração técnica.
Nem todo incidente se comunica, mas todo incidente se registra. A comunicação é obrigatória quando o incidente puder “afetar significativamente interesses e direitos fundamentais dos titulares” e, cumulativamente, envolver ao menos um destes critérios: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala (Res. nº 15/2024, art. 5º). O registro, com os motivos da ausência de comunicação quando for o caso, é devido para todo incidente, “inclusive daquele não comunicado”, e deve ser guardado por no mínimo cinco anos (art. 10).
A comunicação à ANPD corre “do conhecimento pelo controlador de que o incidente afetou dados pessoais” (art. 6º, § 1º), e não da quantificação final de titulares ou do laudo forense. É feita pelo encarregado, “acompanhada de documento comprobatório de vínculo”, ou por representante com poderes (art. 6º, § 5º), juntando os documentos no mesmo prazo (§ 6º). Segundo a página oficial da ANPD, o protocolo é por peticionamento eletrônico no SEI!ANPD — e “a obrigação do art. 48 da LGPD não se cumpre com a mera comunicação do incidente de segurança à ANPD”.
| Ato | Prazo | Agente de pequeno porte | Fonte |
|---|---|---|---|
| Comunicação à ANPD | 3 dias úteis do conhecimento de que dados pessoais foram afetados | Em dobro | Res. CD/ANPD nº 15/2024, art. 6º, caput, §§ 1º e 8º |
| Complementação fundamentada | 20 dias úteis da comunicação | Em dobro | Res. nº 15/2024, art. 6º, §§ 3º e 8º |
| Comunicação ao titular | 3 dias úteis do mesmo marco, em linguagem simples, direta e individualizada | Em dobro | Res. nº 15/2024, art. 9º, caput, § 1º e § 6º |
| Divulgação pública, se a comunicação individual for inviável | No prazo do caput, visível por no mínimo 3 meses | Prazo do caput em dobro | Res. nº 15/2024, art. 9º, § 3º |
| Declaração de que os titulares foram comunicados | 3 dias úteis do término do prazo do art. 9º | Conta do término do prazo do caput, já dobrado | Res. nº 15/2024, art. 9º, § 4º |
| Registro de todo incidente, comunicado ou não | Guarda mínima de 5 anos | Igual | Res. nº 15/2024, art. 10 |
A dobra para o pequeno porte também consta da Resolução CD/ANPD nº 2/2022, art. 14, II, na redação dada pela Resolução nº 15/2024. O prazo de três dias úteis é ressalvado quando houver prazo diverso “previsto em legislação específica” (art. 6º, caput).
No juízo de gravidade, a ANPD avalia a comprovação de medidas técnicas que tornem os dados afetados “ininteligíveis” para terceiros não autorizados (LGPD, art. 48, § 3º). Por isso a comunicação deve descrever as medidas de segurança “adotadas antes e após o incidente” (Res. nº 15/2024, art. 6º, § 2º, III). Incluir, na comunicação ao titular, recomendações para reverter ou mitigar os efeitos “poderá ser considerada boa prática” para fins do art. 52, § 1º, IX, da LGPD (art. 9º, § 5º).
Constatado o incidente, a ANPD determina a comunicação e pode instaurar processo administrativo sancionador pelo descumprimento dos arts. 6º e 9º (Res. nº 15/2024, art. 17). Pode ainda determinar ampla divulgação em meios de comunicação, “às expensas do controlador”, quando a comunicação feita não alcançar parcela significativa dos titulares (art. 19, § 3º) — providência que não se confunde com a sanção de publicização da infração (§ 6º).
O dever de comunicar é do controlador (LGPD, art. 48; Res. nº 15/2024, art. 6º); a comunicação identifica o operador, quando houver (art. 6º, § 2º, X). Como o prazo corre do conhecimento do controlador, o contrato com o operador precisa dizer em quanto tempo, por qual canal e com que informações o operador avisa o controlador. Sem essa cláusula, o prazo começa sem que quem deve comunicar saiba.
3 · Sanções e governança
A LGPD fixa o teto e os critérios; o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023) transforma os critérios em percentuais. É ali que a diferença entre a empresa organizada e a desorganizada, diante do mesmo fato, vira número.
As sanções vão da advertência à proibição total do tratamento (LGPD, art. 52, I a XII). A multa simples é de “até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração” (inciso II). Suspensão e proibição (incisos X a XII) só vêm depois de ao menos uma das sanções dos incisos II a VI no mesmo caso (§ 6º, I). Órgãos e entidades públicos não se sujeitam à multa (§ 3º).
No Regulamento, a infração é leve, média ou grave (art. 8º); o valor-base considera a classificação, o grau do dano e o faturamento do último exercício no ramo de atividade em que ocorreu a infração (art. 11). Sobre esse valor incidem agravantes e atenuantes. A cessação da infração e as medidas de mitigação não contam como atenuantes quando decorrem do “mero cumprimento de determinação administrativa ou judicial” (art. 13, § 1º), e “cabe ao infrator o ônus de comprovar” seus requisitos (§ 3º).
O conteúdo mínimo do programa de governança está no art. 50, § 2º, I, da LGPD, e inclui “planos de resposta a incidentes e remediação” (alínea g). Indicar encarregado quando se é apenas operador — o que é facultativo — também conta como boa prática para a atenuante (Res. CD/ANPD nº 18/2024, art. 6º).
| Circunstância | Efeito | Condição ou limite | Fonte |
|---|---|---|---|
| Reincidência específica | +10% por caso | Até 40% | Res. CD/ANPD nº 4/2023, art. 12, I |
| Reincidência genérica | +5% por caso | Até 20% | Res. nº 4/2023, art. 12, II |
| Medida de orientação ou preventiva descumprida | +20% por medida | Até 80% | Res. nº 4/2023, art. 12, III |
| Medida corretiva descumprida | +30% por medida | Até 90% | Res. nº 4/2023, art. 12, IV |
| Cessação da infração | −75%, −50% ou −30% | Conforme ocorra antes do procedimento preparatório, antes do processo sancionador ou antes da decisão de 1ª instância | Res. nº 4/2023, art. 13, I |
| Política de boas práticas e governança | −20% | Implementada até a decisão de 1ª instância | Res. nº 4/2023, art. 13, II |
| Medidas de reversão ou mitigação | −20% ou −10% | Antes do procedimento preparatório; ou depois dele e até a instauração do processo sancionador | Res. nº 4/2023, art. 13, III |
| Cooperação ou boa-fé | −5% | — | Res. nº 4/2023, art. 13, IV |
| Renúncia ao recurso com pagamento no prazo | −25% sobre a multa aplicada | Pagamento em até 20 dias úteis da ciência | Res. nº 4/2023, arts. 17 e 18 |
O resultado final continua limitado a 2% do faturamento no Brasil, excluídos os tributos, ou a R$ 50.000.000,00 (Res. nº 4/2023, art. 15, II). Os critérios legais correspondentes estão no art. 52, § 1º, da LGPD, entre eles a “adoção de política de boas práticas e governança” (inciso IX).
4 · Transferência internacional
Armazenamento em nuvem no exterior, suporte técnico offshore, matriz estrangeira que consolida dados de empregados: tudo é transferência internacional, e só é lícita nas hipóteses do art. 33 da LGPD.
O Regulamento de Transferência Internacional (Resolução CD/ANPD nº 19, de 23 de agosto de 2024) aprovou as cláusulas-padrão contratuais e deu 12 meses, contados da publicação, para que quem usa cláusulas contratuais as incorporasse aos seus instrumentos (art. 2º, parágrafo único). O prazo terminou em agosto de 2025. A validade da transferência “pressupõe a adoção integral e sem alteração do texto” do Anexo II (art. 16 do Regulamento), e as demais disposições do contrato “não poderão excluir, modificar ou contrariar, direta ou indiretamente” as cláusulas-padrão (§ 2º). Cláusulas específicas só são aprovadas quando as padrão não puderem ser usadas, por circunstâncias excepcionais comprovadas (art. 21, § 1º).
Em 2026 abriu-se a via da adequação: a Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, reconheceu a União Europeia como organismo internacional com grau de proteção adequado, o que autoriza transferências com base no art. 33, I, para os Estados-membros, para Islândia, Liechtenstein e Noruega e para as instituições da União (art. 1º, parágrafo único). O reconhecimento não alcança transferências para fins exclusivos de segurança pública, defesa, segurança do Estado ou persecução penal (art. 2º) e será reavaliado em quatro anos (art. 4º, § 1º).
| Mecanismo | Quando serve | Cuidado | Fonte |
|---|---|---|---|
| Decisão de adequação | Destino reconhecido pela ANPD: hoje, União Europeia e Espaço Econômico Europeu | Exclui fins exclusivos de segurança pública, defesa e persecução penal; reavaliação em 4 anos | LGPD, art. 33, I; Res. CD/ANPD nº 32/2026, arts. 1º, 2º e 4º |
| Cláusulas-padrão da ANPD | Via contratual geral entre exportador e importador | Texto integral e sem alteração; incorporação exigível desde agosto de 2025 | LGPD, art. 33, II, b; Res. CD/ANPD nº 19/2024, art. 2º, parágrafo único, e Anexo I, art. 16 |
| Cláusulas específicas | Transferência que não possa usar as cláusulas-padrão | Circunstâncias excepcionais comprovadas; aprovação pela ANPD | LGPD, art. 33, II, a; Res. nº 19/2024, Anexo I, art. 21, § 1º |
| Normas corporativas globais | Fluxos dentro do mesmo grupo | Verificação pela ANPD | LGPD, arts. 33, II, c, e 35 |
| Consentimento | Situações pontuais | Específico e em destaque, com informação prévia sobre o caráter internacional | LGPD, art. 33, VIII |
A decisão de adequação “não impede” o uso dos demais mecanismos do art. 33 para os mesmos destinos (Res. nº 32/2026, art. 5º). Alterações nas garantias apresentadas como suficientes devem ser comunicadas à ANPD (LGPD, art. 36). As cláusulas-padrão fixam em 3 dias úteis a comunicação de incidente pela Parte Designada (Anexo II, item 16.1).
5 · A nova ANPD
A Lei nº 15.352, de 25 de fevereiro de 2026, conversão da Medida Provisória nº 1.317/2025, mudou a natureza da autoridade e, com ela, o processo pelo qual as normas de proteção de dados são feitas.
O art. 55-A da LGPD passou a dizer que a ANPD é “autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira”, e a Agência foi incluída no rol das agências reguladoras da Lei nº 13.848/2019 (art. 2º, XII).
Para o regulado, a consequência prática está no processo normativo. Atos de interesse geral passam a ser precedidos de Análise de Impacto Regulatório (Lei nº 13.848/2019, art. 6º) e de consulta pública com “duração mínima de 45 (quarenta e cinco) dias”, ressalvado prazo diverso em lei específica ou tratado (art. 9º, § 2º). É janela de participação antes da norma — e menos espaço para alegar surpresa depois dela.
A Lei nº 15.211/2025 (Estatuto Digital da Criança e do Adolescente) aplica-se a todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes ou “de acesso provável por eles”, independentemente de onde seja desenvolvido ou operado (art. 1º). Entrou em vigor em 17 de março de 2026 (art. 41-A, incluído pela Lei nº 15.352/2026). O Decreto nº 12.622/2025 designou a ANPD como autoridade administrativa autônoma do Estatuto (art. 2º), e o Decreto nº 12.880/2026 atribuiu-lhe a regulamentação e a fiscalização da lei (art. 1º, parágrafo único).
As sanções têm teto próprio, mais alto que o da LGPD em percentual: multa de até 10% do faturamento do grupo econômico no Brasil ou, sem faturamento, de R$ 10,00 a R$ 1.000,00 por usuário cadastrado, limitada a R$ 50 milhões por infração, além de suspensão e proibição das atividades (Lei nº 15.211/2025, art. 35). Filial ou estabelecimento no País responde solidariamente pela multa da empresa estrangeira (§ 2º).
O marco geral de inteligência artificial ainda é projeto: o Projeto de Lei nº 2.338/2023 tramita na Câmara dos Deputados, em regime de prioridade, com situação de aguardando parecer segundo o portal de dados abertos da Casa. O que já vincula as empresas é o art. 20 da LGPD: o titular pode pedir revisão de decisões “tomadas unicamente com base em tratamento automatizado” que afetem seus interesses, inclusive de perfil de consumo e de crédito; o controlador deve informar critérios e procedimentos (§ 1º); e, havendo recusa por segredo comercial, a ANPD pode auditar aspectos discriminatórios (§ 2º).
Erros que custam caro
Como trabalhamos
Nesta área, como em todas, a casa trabalha com seis regras: primeiro a norma, depois a opinião; recibo de fontes no pé de cada peça; o prazo antes do argumento; a prova antes da defesa; verificação contrária; e supervisão humana declarada.
O que fazemos
A casa não presta serviço, não intermedeia e não participa de licitação junto ao Departamento de Estradas de Rodagem do Distrito Federal e às entidades a ele vinculadas. Toda contratação é precedida de verificação de conflito de interesses.
Esta página não veicula honorários, resultado, caso concreto nem depoimento, em observância ao Provimento CFOAB nº 205/2021 e ao Código de Ética e Disciplina da OAB.
Boas práticas
Perguntas frequentes
Não. Só o incidente que possa acarretar risco ou dano relevante aos titulares (LGPD, art. 48), segundo o teste cumulativo do art. 5º da Resolução CD/ANPD nº 15/2024. Mas todo incidente deve ser registrado e o registro guardado por no mínimo cinco anos, com os motivos da ausência de comunicação (art. 10).
Três dias úteis para a ANPD e três para os titulares, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais (Res. nº 15/2024, arts. 6º e 9º). A complementação pode vir em até vinte dias úteis (art. 6º, § 3º). Para agente de pequeno porte, esses prazos são contados em dobro.
A criptografia não afasta automaticamente o dever, mas a comprovação de que os dados ficaram ininteligíveis para terceiros não autorizados é avaliada no juízo de gravidade (LGPD, art. 48, § 3º).
O agente de pequeno porte não é obrigado a indicar encarregado (Res. CD/ANPD nº 2/2022, art. 11), mas deve manter canal de comunicação com o titular (Res. nº 18/2024, art. 3º, § 3º). A dispensa não vale para quem faz tratamento de alto risco, supera o limite de receita da LC nº 123/2006 ou integra grupo acima dele (Res. nº 2/2022, art. 3º), e não isenta das demais obrigações da LGPD (art. 6º).
Confirmação de existência ou acesso a dados: imediatamente, em formato simplificado, ou em até 15 dias por declaração clara e completa (LGPD, art. 19). Os demais direitos do art. 18 seguem os prazos do regulamento (§ 5º); não sendo possível atender de imediato, a empresa deve responder indicando as razões (§ 4º).
Sim: 20% sobre o valor-base, desde que implementado até a decisão de primeira instância e comprovado pela empresa (Res. CD/ANPD nº 4/2023, art. 13, II e § 3º). Pode somar-se às reduções por medidas de mitigação e por cooperação (art. 13, III e IV).
Desde a Resolução CD/ANPD nº 32/2026, a União Europeia e os países do Espaço Econômico Europeu são reconhecidos como destinos adequados, o que permite a transferência com base no art. 33, I, da LGPD — exceto para fins exclusivos de segurança pública, defesa ou persecução penal (art. 2º). Para outros destinos, as cláusulas-padrão seguem sendo a via contratual geral.
Muda o processo normativo: atos de interesse geral passam por Análise de Impacto Regulatório e consulta pública de no mínimo 45 dias (Lei nº 13.848/2019, arts. 6º e 9º, aplicável à ANPD desde a Lei nº 15.352/2026). As obrigações materiais da LGPD e os regulamentos vigentes permanecem.
Gedeon Santos Cavalcante, OAB/DF 32.526. Esta página tem caráter exclusivamente informativo, não constitui consulta nem orientação para caso concreto, e cada afirmação traz o dispositivo ou o ato em que se apoia, com a data em que a fonte foi lida.
Leia também
Recibo de fontes
Todas as normas acima foram lidas no texto oficial entre 24 e 25 de setembro de 2026. Ressalvas de honestidade: as Resoluções CD/ANPD nº 21 e 22 não foram lidas, e a ausência de alteração posterior aos regulamentos citados foi conferida na lista oficial de regulamentações da ANPD, não em pesquisa exaustiva do DOU; a nova estrutura regimental da Agência prevista na Lei nº 15.352/2026 não foi localizada; e o teor e o valor das demais decisões sancionadoras da ANPD não foram lidos, porque os arquivos oficiais estão com acesso restrito. Esta página é revista a cada novo ato.
Contato
Se houve um incidente, a primeira decisão é sobre o relógio: quando a empresa soube que dados pessoais foram afetados e quem protocola. Fora da urgência, a conversa começa pelo inventário das operações de tratamento e das bases legais.
GEDEON — Advocacia & Consultoria · SHS Quadra 06, Conjunto A, Bloco A, Salas 501 e 512 — Asa Sul, Brasília/DF · Gedeon Santos Cavalcante, OAB/DF 32.526.