LGPD na Prática: O Que Todo Desenvolvedor Precisa Saber

Recentemente, enquanto desenvolvia um sistema, me deparei com uma necessidade que muitos desenvolvedores acabam ignorando ou deixando para depois: a adequação à Lei Geral de Proteção de Dados Pessoais. A verdade é que a LGPD não é apenas uma preocupação jurídica. Ela impacta diretamente a forma como projetamos bancos de dados, desenhamos fluxos de cadastro, armazenamos registros de log e até como estruturamos nossas interfaces de programação de aplicações. Este artigo reúne o que aprendi ao estudar a lei e aplicar seus requisitos na prática, com referências diretas aos artigos da legislação e às resoluções da autoridade reguladora.

Se você desenvolve qualquer sistema que coleta dados de pessoas físicas no Brasil, este conteúdo é para você.

O que é a LGPD?

A Lei nº 13.709, de 14 de agosto de 2018, conhecida como LGPD (Lei Geral de Proteção de Dados Pessoais), foi sancionada em 14 de agosto de 2018 e entrou em vigor em 18 de setembro de 2020. As sanções administrativas, no entanto, só passaram a ser aplicáveis a partir de 1º de agosto de 2021. Sua inspiração direta é o Regulamento Geral sobre a Proteção de Dados da União Europeia (General Data Protection Regulation), e seu objetivo é regulamentar o tratamento de dados pessoais por qualquer pessoa natural ou jurídica, de direito público ou privado, conforme o art. 1º da Lei nº 13.709/2018.

A fiscalização e a aplicação da lei cabem à ANPD (Autoridade Nacional de Proteção de Dados), órgão criado especificamente para esse fim. A ANPD tem competência para editar normas, fiscalizar, aplicar sanções e orientar sobre a interpretação da lei.

Um ponto importante para quem programa: a lei sozinha não conta a história completa. Boa parte das obrigações práticas hoje está nas resoluções da ANPD, que detalham prazos e procedimentos que o texto legal deixou em aberto. Ao longo deste artigo, essas resoluções aparecem citadas junto aos artigos correspondentes.

Texto integral da lei: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

Conceitos fundamentais

O art. 5º da Lei nº 13.709/2018 define os conceitos essenciais que todo desenvolvedor precisa dominar:

Dado pessoal (art. 5º, inciso I): qualquer informação relacionada a pessoa natural identificada ou identificável. Isso inclui nome, endereço de correio eletrônico, número de Cadastro de Pessoas Físicas, endereço de protocolo de internet e até dados de navegação que permitam identificar alguém.

Dado pessoal sensível (art. 5º, inciso II): categoria especial que exige proteção reforçada. Abrange dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, e dados genéticos ou biométricos vinculados a uma pessoa natural.

Titular (art. 5º, inciso V): a pessoa natural a quem os dados se referem. No contexto de um sistema, é o usuário cadastrado.

Controlador (art. 5º, inciso VI): pessoa natural ou jurídica que toma as decisões sobre o tratamento dos dados. Normalmente, a empresa ou pessoa que opera o sistema.

Operador (art. 5º, inciso VII): pessoa natural ou jurídica que realiza o tratamento de dados em nome do controlador. Serviços de computação em nuvem, provedores de disparo de correio eletrônico em massa e processadores de pagamento frequentemente atuam como operadores.

Encarregado (art. 5º, inciso VIII), também chamado de Data Protection Officer: pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.

Tratamento (art. 5º, inciso X): qualquer operação realizada com dados pessoais, incluindo coleta, armazenamento, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento e eliminação, entre outras.

Anonimização (art. 5º, inciso XI): utilização de meios técnicos razoáveis e disponíveis no momento do tratamento por meio dos quais um dado perde a possibilidade de associação a um indivíduo.

Bases legais para tratamento de dados pessoais

O art. 7º da Lei nº 13.709/2018 estabelece dez bases legais que autorizam o tratamento de dados pessoais. Sem ao menos uma delas, o tratamento é ilegal:

1. Consentimento do titular (art. 7º, inciso I)
2. Cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, inciso II)
3. Execução de políticas públicas pela administração pública (art. 7º, inciso III)
4. Realização de estudos por órgão de pesquisa (art. 7º, inciso IV)
5. Execução de contrato ou de procedimentos preliminares relacionados a contrato (art. 7º, inciso V)
6. Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, inciso VI)
7. Proteção da vida ou da incolumidade física do titular ou de terceiro (art. 7º, inciso VII)
8. Tutela da saúde (art. 7º, inciso VIII)
9. Legítimo interesse do controlador ou de terceiro (art. 7º, inciso IX)
10. Proteção do crédito (art. 7º, inciso X)

Para sistemas web, três bases legais são as mais utilizadas no dia a dia:

O consentimento (art. 7º, inciso I) é a base mais conhecida e exige que o titular manifeste concordância de forma livre, informada e inequívoca. É a base adequada para envio de boletins informativos, uso de arquivos de rastreamento (cookies) não essenciais e coleta de dados opcionais.

A execução de contrato (art. 7º, inciso V) permite tratar dados necessários para cumprir um contrato com o titular. Ao cadastrar um usuário para prestar um serviço, os dados essenciais para essa prestação podem ser tratados com base nessa fundamentação, sem necessidade de consentimento separado.

O legítimo interesse (art. 7º, inciso IX) é a base mais flexível, porém exige cautela. Pode ser utilizado para prevenção à fraude, segurança do sistema ou melhoria de serviços, desde que não se sobreponha aos direitos e liberdades fundamentais do titular. O art. 10 detalha os requisitos para seu uso e, na prática, recomenda-se documentar o teste de balanceamento entre o interesse do controlador e os direitos do titular.

Atenção: dados sensíveis têm bases legais próprias

Este é um ponto que passa despercebido com frequência. As dez bases do art. 7º não se aplicam a dados pessoais sensíveis. O art. 11 traz uma lista própria, mais restrita, e nela não existe legítimo interesse nem proteção do crédito.

Para dados sensíveis, as hipóteses são, em resumo:

• Consentimento específico e destacado, para finalidades específicas (art. 11, inciso I).
• Sem consentimento, apenas quando indispensável para: cumprimento de obrigação legal ou regulatória; tratamento compartilhado de dados necessário à execução de políticas públicas; realização de estudos por órgão de pesquisa com anonimização sempre que possível; exercício regular de direitos; proteção da vida ou da incolumidade física; tutela da saúde por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro (art. 11, inciso II, alíneas "a" a "g").

Se o seu sistema armazena dados de saúde, biometria, dados genéticos ou qualquer informação da categoria sensível, o enquadramento precisa ser feito pelo art. 11, e não pelo art. 7º. A exceção da alínea "g" é a que mais interessa a quem trabalha com autenticação biométrica.

Direitos do titular

O art. 18 da Lei nº 13.709/2018 estabelece os direitos que todo titular de dados pode exercer perante o controlador:

• Confirmação da existência de tratamento (art. 18, inciso I): o titular pode perguntar se seus dados são tratados.
• Acesso aos dados (art. 18, inciso II): o titular pode solicitar uma cópia dos dados que o sistema possui sobre ele. Na prática, isso exige um ponto de acesso da interface de programação ou uma funcionalidade de exportação.
• Correção de dados (art. 18, inciso III): o titular pode solicitar a correção de dados incompletos, inexatos ou desatualizados. O sistema deve permitir a edição de informações do perfil.
• Anonimização, bloqueio ou eliminação de dados desnecessários (art. 18, inciso IV): dados excessivos ou tratados em desconformidade devem poder ser anonimizados ou eliminados.
• Portabilidade dos dados (art. 18, inciso V): o titular pode solicitar a transferência de seus dados a outro fornecedor de serviço ou produto. A implementação prática é oferecer exportação em formato estruturado e interoperável, como JavaScript Object Notation ou valores separados por vírgula.
• Eliminação dos dados tratados com consentimento (art. 18, inciso VI): o titular pode solicitar a exclusão dos dados pessoais tratados com base no consentimento, ressalvadas as hipóteses de conservação previstas no art. 16. Este ponto merece cuidado e é detalhado adiante.
• Informação sobre compartilhamento (art. 18, inciso VII): o titular tem direito de saber com quais entidades públicas e privadas seus dados foram compartilhados.
• Informação sobre a possibilidade de não consentir (art. 18, inciso VIII): o titular deve ser informado sobre as consequências de não fornecer consentimento.
• Revogação do consentimento (art. 18, inciso IX): o titular pode revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado.

Exclusão de dados não significa apagar tudo

Aqui está a armadilha que derruba implementações bem-intencionadas. É tentador ler o art. 18, inciso VI e concluir que um pedido de exclusão obriga a apagar toda e qualquer linha relacionada ao usuário em cascata. Não é assim, e agir dessa forma pode violar outras obrigações legais.

O art. 16 autoriza expressamente a conservação de dados pessoais após o término do tratamento nas seguintes hipóteses:

1. Cumprimento de obrigação legal ou regulatória pelo controlador.
2. Estudo por órgão de pesquisa, garantida a anonimização sempre que possível.
3. Transferência a terceiro, respeitados os requisitos de tratamento de dados da lei.
4. Uso exclusivo do controlador, vedado o acesso por terceiro, desde que anonimizados os dados.

Além disso, o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) obriga o provedor de aplicações de internet constituído como pessoa jurídica com fins econômicos a manter os registros de acesso à aplicação sob sigilo por seis meses. Se você apagar esses registros porque um usuário pediu exclusão de conta, estará descumprindo uma lei para cumprir outra.

O padrão correto costuma ser um destes três, aplicado por categoria de dado:

Categoria de dado	Ação no pedido de exclusão
Dados de perfil, preferências, conteúdo gerado	Exclusão real em cascata
Documentos fiscais e registros contábeis	Retenção pelo prazo legal, com acesso restrito
Registros de acesso à aplicação (Marco Civil da Internet)	Retenção por seis meses, depois exclusão
Métricas, estatísticas e histórico agregado	Anonimização, preservando a utilidade analítica

Ou seja: exclusão em cascata do que é dispensável, retenção mínima documentada do que a lei exige, e anonimização do restante. E, principalmente, documente essa política de retenção — ela é a sua defesa quando alguém questionar por que determinado dado ainda existe.

O ponto que continua valendo integralmente: desativar uma conta com um campo booleano não é exclusão. Uma conta desativada cujos dados continuam íntegros no banco não atende ao art. 18, inciso VI.

Princípios do tratamento de dados

O art. 6º da Lei nº 13.709/2018 define dez princípios que devem nortear toda atividade de tratamento de dados pessoais:

• Finalidade (art. 6º, inciso I): tratar dados para propósitos legítimos, específicos, explícitos e informados ao titular.
• Adequação (art. 6º, inciso II): o tratamento deve ser compatível com as finalidades informadas.
• Necessidade (art. 6º, inciso III): limitar o tratamento ao mínimo necessário. Na prática, isso significa não pedir dados que o sistema não usa. Não solicite o número de Cadastro de Pessoas Físicas se ele não é necessário para a operação.
• Livre acesso (art. 6º, inciso IV): garantir consulta facilitada e gratuita sobre a forma e a duração do tratamento.
• Qualidade dos dados (art. 6º, inciso V): garantir exatidão, clareza, relevância e atualização dos dados.
• Transparência (art. 6º, inciso VI): informações claras, precisas e facilmente acessíveis sobre o tratamento.
• Segurança (art. 6º, inciso VII): medidas técnicas e administrativas para proteger os dados de acessos não autorizados.
• Prevenção (art. 6º, inciso VIII): adotar medidas para prevenir danos ao titular.
• Não discriminação (art. 6º, inciso IX): impossibilidade de tratamento para fins discriminatórios ilícitos ou abusivos.
• Responsabilização e prestação de contas (art. 6º, inciso X): demonstrar a adoção de medidas eficazes para cumprir a lei.

O último princípio é o mais subestimado por equipes técnicas. Cumprir a lei não basta: é preciso conseguir provar que se cumpre. Isso transforma registros de auditoria, versionamento de políticas e documentação de decisões em requisitos funcionais, e não em detalhes opcionais.

Relação entre controlador e operador

Se o seu sistema usa serviços de terceiros que tocam dados pessoais — computação em nuvem, disparo de correio eletrônico, processamento de pagamento, ferramentas de análise de uso —, esses fornecedores são operadores e você é o controlador.

O art. 39 determina que o operador deve realizar o tratamento segundo as instruções fornecidas pelo controlador. Na prática, isso se materializa em um contrato específico, geralmente chamado de acordo de processamento de dados (Data Processing Agreement), que define finalidade, escopo, medidas de segurança, subcontratação e obrigações em caso de incidente.

O art. 42 estabelece responsabilidade solidária: o operador responde solidariamente pelos danos quando descumprir as obrigações legais ou não seguir as instruções lícitas do controlador. Contratar um fornecedor não transfere a sua responsabilidade.

Praticamente todos os grandes provedores de infraestrutura já disponibilizam esse acordo para assinatura ou aceite eletrônico. Muitas equipes nunca o assinaram simplesmente porque ninguém procurou.

Transferência internacional de dados

Se a sua aplicação roda em infraestrutura fora do Brasil — o que é a regra, não a exceção —, você realiza transferência internacional de dados pessoais, disciplinada pelos arts. 33 a 36.

O art. 33 lista as hipóteses autorizadas, entre elas:

• Transferência para países que proporcionem grau de proteção adequado, reconhecido pela ANPD.
• Oferecimento de garantias pelo controlador por meio de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos e certificados.
• Consentimento específico e destacado do titular, com informação prévia sobre o caráter internacional da operação.
• Cumprimento de obrigação legal, execução de política pública, proteção da vida ou execução de contrato.

A ANPD regulamentou o tema pela Resolução CD/ANPD nº 19/2024, que aprovou o Regulamento de Transferência Internacional de Dados Pessoais e as cláusulas-padrão contratuais. Contratos internacionais firmados antes da resolução tiveram prazo de adequação. Se você contratou infraestrutura no exterior, verifique se o fornecedor já incorporou as cláusulas-padrão brasileiras ao contrato.

Sanções e multas

O art. 52 da Lei nº 13.709/2018 prevê sanções administrativas que a ANPD pode aplicar em caso de infração. A ANPD já aplica sanções desde 2023, o que torna a adequação não apenas uma boa prática, mas uma necessidade real:

• Advertência (art. 52, inciso I), com indicação de prazo para adoção de medidas corretivas.
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, no seu último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, inciso II).
• Multa diária (art. 52, inciso III), observado o limite total de R$ 50 milhões.
• Publicização da infração (art. 52, inciso IV), após apurada e confirmada a ocorrência. O dano reputacional pode ser tão grave quanto a multa financeira.
• Bloqueio dos dados pessoais a que se refere a infração, até a sua regularização (art. 52, inciso V).
• Eliminação dos dados pessoais a que se refere a infração (art. 52, inciso VI).
• Suspensão parcial do funcionamento do banco de dados por até seis meses, prorrogável por igual período (art. 52, inciso X).
• Suspensão do exercício da atividade de tratamento por até seis meses, prorrogável por igual período (art. 52, inciso XI).
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados (art. 52, inciso XII).

Os incisos VII, VIII e IX foram vetados na sanção da lei, o que explica o salto na numeração.

A suspensão do banco de dados ou da atividade de tratamento pode significar a paralisação completa de um sistema. Para empresas de tecnologia, isso equivale a interromper a operação.

Vale registrar o § 1º do art. 52: entre os critérios de dosimetria da sanção estão a adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas. Documentar a adequação reduz a exposição mesmo quando algo dá errado.

O que seu sistema precisa ter

A seguir, os requisitos práticos que um sistema deve atender para estar em conformidade:

1. Política de Privacidade (art. 9º): documento público, redigido em linguagem clara e acessível, que informe quais dados são coletados, com que finalidade, com quem são compartilhados e por quanto tempo são retidos.

2. Termos de Serviço: documento que estabelece as regras de uso do sistema e a relação contratual com o usuário.

3. Consentimento explícito e granular (art. 8º): o consentimento deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, em cláusula destacada das demais (art. 8º, § 1º). O ônus da prova de que o consentimento foi obtido é do controlador (art. 8º, § 2º), o que exige registro com marca temporal e evidência. O consentimento deve referir-se a finalidades determinadas, sendo nulas as autorizações genéricas (art. 8º, § 4º), e pode ser revogado a qualquer momento por procedimento gratuito e facilitado (art. 8º, § 5º).

4. Mecanismo de exportação de dados (art. 18, inciso V): permitir que o titular exporte seus dados em formato estruturado e interoperável.

5. Mecanismo de exclusão de dados (art. 18, inciso VI, combinado com o art. 16): exclusão dos dados dispensáveis, com retenção documentada apenas do que a lei exige e anonimização do restante, conforme detalhado anteriormente.

6. Minimização de dados (art. 6º, inciso III): coletar apenas o que é estritamente necessário para a finalidade declarada.

7. Anonimização ou pseudonimização quando possível (art. 12): dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização for revertido com esforços razoáveis. A definição de pseudonimização está no art. 13, § 4º, embora o art. 13 trate especificamente de estudos em saúde pública. Atenção ao ponto técnico: pseudonimizar com um identificador reversível não retira o dado do escopo da lei.

8. Registro das operações de tratamento (art. 37): manter registro documentado de todas as operações de tratamento realizadas, especialmente quando baseadas no legítimo interesse.

9. Relatório de impacto à proteção de dados pessoais (art. 38): quando solicitado pela ANPD, o controlador deve ser capaz de apresentar esse relatório.

10. Notificação de incidentes de segurança (art. 48): tratado em detalhe na seção seguinte, porque os prazos mudaram.

11. Encarregado (art. 41): tratado em detalhe na seção seguinte, porque há exceção relevante.

12. Segurança da informação (art. 46): adotar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

13. Proteção de dados desde a concepção (art. 46, § 2º): as medidas de segurança devem ser observadas desde a fase de concepção do produto ou serviço até a sua execução. Este dispositivo é a base legal do que a literatura chama de privacidade desde a concepção (privacy by design). Não é uma recomendação de boas práticas: está no texto da lei.

Notificação de incidentes de segurança: o prazo mudou

O art. 48 fala em "prazo razoável", expressão que gerou anos de incerteza. Essa incerteza acabou.

A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o Regulamento de Comunicação de Incidente de Segurança e fixou prazos concretos:

• Três dias úteis para comunicar o incidente à ANPD e aos titulares afetados, contados a partir do conhecimento, pelo controlador, de que o incidente afetou dados pessoais — e não a partir da descoberta do incidente em si. A distinção importa: o relógio começa quando você identifica o vínculo com dados pessoais.
• Vinte dias úteis para a comunicação complementar, quando a comunicação inicial for preliminar por falta de informações completas, contados da data da primeira comunicação.
• Prazos em dobro para agentes de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022 — ou seja, seis dias úteis e quarenta dias úteis.
• Retenção dos registros de incidentes por, no mínimo, cinco anos, inclusive dos incidentes que não foram comunicados por não representarem risco relevante.

Esse último item tem consequência direta de arquitetura: você precisa de uma tabela ou repositório de incidentes com retenção de cinco anos, separado dos registros operacionais de log, que normalmente têm ciclo de vida muito mais curto.

A comunicação não é devida para todo e qualquer incidente, apenas para aqueles que possam acarretar risco ou dano relevante aos titulares. Incidentes envolvendo dados sensíveis, financeiros, de autenticação ou de crianças e adolescentes tendem a se enquadrar nessa categoria.

Na prática, o que isso exige do sistema:

• Monitoramento capaz de detectar acesso não autorizado, não apenas indisponibilidade.
• Um procedimento escrito de resposta a incidentes, com responsáveis nomeados, porque três dias úteis não permitem improviso.
• Capacidade de determinar rapidamente quais titulares e quais categorias de dados foram afetados — o que depende diretamente de ter registros de auditoria bem estruturados.

Encarregado: obrigatório, com uma exceção importante

O art. 41 determina que o controlador deve indicar um encarregado pelo tratamento de dados pessoais e divulgar publicamente sua identidade e informações de contato (art. 41, § 1º).

Porém, o art. 11 da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, dispensa os agentes de tratamento de pequeno porte da obrigação de indicar encarregado. Enquadram-se nessa categoria microempresas, empresas de pequeno porte, iniciativas empresariais de caráter incremental e disruptivo (startups), pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que realizem tratamento de dados pessoais com fins econômicos, desde que não realizem tratamento de alto risco.

Duas ressalvas essenciais:

1. O agente de pequeno porte que não indicar encarregado deve disponibilizar um canal de comunicação com o titular para receber reclamações e comunicações, prestar esclarecimentos e adotar providências (art. 11, § 1º da resolução).
2. A indicação voluntária de encarregado é considerada política de boas práticas e governança para fins de dosimetria de sanção, nos termos do art. 52, § 1º, inciso IX da LGPD (art. 11, § 2º da resolução).

Em outras palavras: mesmo dispensado, indicar um encarregado joga a seu favor caso a ANPD avalie uma infração. E o canal de contato é obrigatório em qualquer cenário.

A mesma resolução traz outras flexibilizações relevantes para equipes pequenas: registro de operações de tratamento em formato simplificado, política simplificada de segurança da informação e prazos em dobro para atendimento a solicitações de titulares. Vale a leitura integral se a sua operação se enquadra.

Na prática: o que implementei

No sistema que estou desenvolvendo, apliquei os seguintes conceitos:

• Fluxo de consentimento granular, com caixas de seleção independentes por finalidade e registro em banco de dados contendo marca temporal, endereço de protocolo de internet e a versão da política aceita. O versionamento da política é essencial: sem ele, não há como provar a que o usuário consentiu.
• Exportação de dados do titular em JavaScript Object Notation, acessível pelo próprio usuário na área de perfil, sem necessidade de abrir chamado.
• Exclusão de conta por categoria de dado: exclusão real em cascata dos dados de perfil e conteúdo, retenção dos registros de acesso pelo prazo do Marco Civil da Internet e anonimização das métricas históricas, com a política de retenção documentada e publicada.
• Anonimização de endereços de protocolo de internet nos registros de log após o período de retenção necessário.
• Registro de auditoria no painel administrativo, gravando quem acessou dados de quais usuários e quando. Além de atender ao princípio da responsabilização, é o que torna possível responder a um incidente dentro de três dias úteis.
• Repositório de incidentes com retenção de cinco anos, separado dos registros operacionais.
• Aviso de consentimento de arquivos de rastreamento, bloqueando cookies não essenciais até a aceitação explícita e permitindo revogação a qualquer momento.
• Páginas dedicadas de Política de Privacidade e Termos de Serviço, redigidas em linguagem acessível e versionadas.
• Verificação dos acordos de processamento de dados com todos os fornecedores que tocam dados pessoais, incluindo a conferência das cláusulas de transferência internacional.

Nenhuma dessas implementações exigiu bibliotecas complexas ou grandes mudanças arquiteturais. A maior parte do trabalho está em projetar o sistema pensando na proteção de dados desde o início — que, como visto, não é uma preferência estética, mas o que determina o art. 46, § 2º.

Lista de verificação da LGPD para sistemas

Documentação legal

• Política de Privacidade publicada, acessível e versionada (art. 9º)
• Termos de Serviço publicados
• Registro das operações de tratamento (art. 37)
• Relatório de impacto à proteção de dados pessoais, quando aplicável (art. 38)
• Encarregado indicado, ou canal de comunicação com o titular no caso de agente de pequeno porte (art. 41; Resolução CD/ANPD nº 2/2022, art. 11)
• Acordo de processamento de dados assinado com cada operador (art. 39)
• Política de retenção documentada e publicada (arts. 15 e 16)

Consentimento

• Consentimento coletado de forma explícita, destacada e granular (art. 8º, §§ 1º e 4º)
• Consentimento documentado com marca temporal, evidência e versão da política aceita (art. 8º, § 2º)
• Mecanismo de revogação gratuito e facilitado (art. 8º, § 5º)
• Consentimento específico e destacado para dados sensíveis (art. 11, inciso I)
• Aviso de consentimento para arquivos de rastreamento não essenciais

Direitos do titular

• Confirmação da existência de tratamento (art. 18, inciso I)
• Acesso aos dados pessoais (art. 18, inciso II)
• Correção de dados incompletos, inexatos ou desatualizados (art. 18, inciso III)
• Eliminação de dados desnecessários ou excessivos (art. 18, inciso IV)
• Portabilidade em formato estruturado e interoperável (art. 18, inciso V)
• Exclusão de dados tratados com consentimento, respeitadas as hipóteses do art. 16 (art. 18, inciso VI)
• Canal para exercício dos direitos, com autoatendimento e contato humano (art. 18, § 1º)

Segurança e proteção

• Criptografia em trânsito, com HTTPS obrigatório (art. 46)
• Criptografia em repouso para dados sensíveis (art. 46)
• Anonimização ou pseudonimização quando possível, atenta à reversibilidade (art. 12)
• Controle de acesso baseado em papéis (art. 46)
• Registro de auditoria de acessos a dados pessoais (arts. 37 e 46)
• Procedimento escrito de resposta e notificação de incidentes, com prazo de três dias úteis (art. 48; Resolução CD/ANPD nº 15/2024)
• Repositório de incidentes com retenção mínima de cinco anos (Resolução CD/ANPD nº 15/2024)
• Segurança considerada desde a concepção do produto (art. 46, § 2º)
• Rotina de cópia de segurança e recuperação de dados testada

Minimização e retenção

• Coletar apenas dados necessários para a finalidade declarada (art. 6º, inciso III)
• Política de retenção definida por categoria de dado (art. 15)
• Exclusão ou anonimização automática após o período de retenção (art. 16)
• Registros de acesso à aplicação mantidos por seis meses (Marco Civil da Internet, art. 15)
• Registros de log anonimizados após o prazo necessário

Transparência

• Informar a finalidade de cada dado coletado (art. 6º, inciso I)
• Informar com quem os dados são compartilhados (art. 9º, inciso V)
• Informar sobre transferência internacional quando aplicável (arts. 33 a 36; Resolução CD/ANPD nº 19/2024)
• Linguagem clara e acessível na documentação (art. 9º, § 1º)
• Informar as consequências de não fornecer consentimento (art. 18, inciso VIII)

Técnico

• Variáveis de ambiente para credenciais e segredos, nunca embutidos no código
• Chaves de acesso e senhas não expostas em registros de log nem no lado do cliente
• Limitação de taxa de requisições em pontos de acesso sensíveis
• Validação e sanitização de todas as entradas
• Cabeçalhos de segurança configurados
• Exclusão em cascata implementada e testada nas tabelas relacionadas
• Dados de produção nunca replicados para ambientes de desenvolvimento sem anonimização

Referências

Lei nº 13.709/2018 (LGPD)
http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

Lei nº 12.965/2014 (Marco Civil da Internet)
http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm

ANPD — Autoridade Nacional de Proteção de Dados
https://www.gov.br/anpd

Documentos e publicações da ANPD (guias orientativos sobre tratamento de dados, cookies, agentes de pequeno porte e legítimo interesse)
https://www.gov.br/anpd/pt-br/documentos-e-publicacoes

Atos normativos e regulamentações da ANPD (Resoluções CD/ANPD nº 2/2022, nº 15/2024 e nº 19/2024)
https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos