LGPD: seus direitos sobre dados pessoais na internet

Toda vez que você instala um aplicativo, aceita os termos de um site ou preenche um cadastro, seus dados vão a algum lugar. Nome, e-mail, CPF, localização, histórico de navegação, preferências de compra — são informações que têm valor econômico e que, quando mal tratadas, podem gerar desde propagandas abusivas até fraudes financeiras.

A Lei Geral de Proteção de Dados — a LGPD, Lei nº 13.709/2018 — entrou em vigor em setembro de 2020 com um objetivo claro: devolver ao cidadão o controle sobre suas próprias informações. Ela regulamenta como empresas, órgãos públicos e qualquer organização que opere no Brasil pode coletar, armazenar, usar, compartilhar e eliminar dados pessoais.

Em cinco anos de vigência, a lei produziu mudanças concretas: bancos de dados foram revistos, políticas de privacidade foram reescritas, a Autoridade Nacional de Proteção de Dados (ANPD) começou a aplicar sanções. Mas a maioria dos brasileiros ainda não sabe o que a LGPD lhes garante — nem como acionar esses direitos quando são violados.

O que são dados pessoais — e o que a LGPD protege

A LGPD define dado pessoal como qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I). Isso é mais amplo do que parece. Não são apenas nome e CPF:

• Endereço físico e endereço de e-mail
• Número de telefone e IP do dispositivo
• Localização geográfica em tempo real
• Histórico de navegação e preferências de consumo
• Identificadores de cookies e de dispositivos móveis
• Dados combinados que, juntos, permitem identificar uma pessoa

Há ainda uma categoria especialmente protegida: os dados pessoais sensíveis (art. 5º, II). Estes merecem proteção reforçada porque seu uso indevido pode gerar discriminação grave:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou organização de caráter político, religioso ou filosófico
• Dados referentes à saúde e à vida sexual
• Dado genético ou biométrico (digital, reconhecimento facial, íris)

Bases legais: por que a empresa pode (ou não pode) usar seus dados

A LGPD não proíbe o tratamento de dados — ela exige que toda operação de tratamento esteja amparada em uma das dez bases legais previstas no art. 7º. Conhecer essas bases é fundamental para entender quando o uso é legítimo e quando não é.

As principais bases legais

Consentimento (art. 7º, I): a mais conhecida, mas não a única. O consentimento deve ser livre, informado, inequívoco e específico para a finalidade. Uma caixa pré-marcada ou um consentimento "embutido" nos termos gerais de uso não são válidos.

Execução de contrato (art. 7º, V): quando o tratamento é necessário para cumprir um contrato do qual o titular é parte. Uma loja virtual precisa do seu endereço para entregar o produto — isso dispensa consentimento adicional.

Legítimo interesse (art. 7º, IX): a base mais delicada. Permite o tratamento quando há interesse legítimo do controlador, desde que não prevaleça sobre os direitos e liberdades fundamentais do titular. Empresas têm abusado dessa base para envio de publicidade e marketing — o que a ANPD tem questionado.

Obrigação legal ou regulatória (art. 7º, II): quando uma lei obriga a empresa a manter o dado — como registros fiscais, por exemplo.

"O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: I – mediante o fornecimento de consentimento pelo titular." Art. 7º, caput e inciso I, da Lei nº 13.709/2018 (LGPD)

Seus direitos como titular de dados

O art. 18 da LGPD lista os direitos do titular — e eles são mais robustos do que a maioria das pessoas imagina. Todo cidadão pode, a qualquer momento, exercer os seguintes direitos perante qualquer controlador de dados:

1. Direito de acesso (art. 18, II)

Você tem direito de saber exatamente quais dados a empresa possui sobre você. A solicitação deve ser respondida em 15 dias (art. 19, II, da LGPD), de forma clara e completa.

2. Direito de correção (art. 18, III)

Se os dados estiverem incompletos, inexatos ou desatualizados, você pode exigir a correção. É um direito imediato, sem prazo para discussão sobre a necessidade da mudança.

3. Direito à eliminação (art. 18, VI)

Quando o tratamento se baseia em consentimento, você pode revogá-lo e exigir a eliminação dos dados. A eliminação também é cabível quando os dados forem desnecessários, excessivos ou tratados em desconformidade com a LGPD.

4. Direito à portabilidade (art. 18, V)

Você pode pedir que seus dados sejam transferidos para outro fornecedor de serviço — como trocar de operadora de celular e levar seu histórico de consumo. Esse direito ainda depende de regulamentação técnica específica da ANPD para cada setor.

5. Direito de oposição (art. 18, § 2º)

Quando o tratamento se baseia em legítimo interesse ou outra base que não o consentimento, você pode se opor ao tratamento se ele violar a lei ou seus direitos fundamentais.

6. Direito à informação sobre compartilhamento (art. 18, VII)

Você pode exigir saber com quais entidades públicas e privadas a empresa compartilhou seus dados — uma das informações menos divulgadas pelas organizações.

Vazamento de dados: o que a empresa deve fazer — e o que você pode exigir

Incidentes de segurança que expõem dados pessoais — os chamados "vazamentos" — são cada vez mais comuns. Em 2025, o Brasil registrou vários episódios de grande escala envolvendo dados de milhões de consumidores de operadoras de saúde, plataformas de e-commerce e instituições financeiras.

Quando isso ocorre, a LGPD impõe obrigações claras ao controlador (a empresa ou organização responsável pelos dados):

• Comunicação à ANPD: deve ser feita no prazo de 3 dias úteis após a ciência do incidente (Resolução CD/ANPD nº 15/2024), com descrição da natureza dos dados afetados, número de titulares envolvidos e medidas adotadas.
• Comunicação aos titulares: quando o incidente puder causar risco ou dano relevante, os titulares afetados devem ser notificados em linguagem clara e acessível.
• Adoção de medidas de contenção: a empresa deve agir imediatamente para mitigar os efeitos do incidente.

Para o cidadão, o vazamento de dados pode gerar consequências concretas: uso de CPF para abertura fraudulenta de contas, clonagem de cartão, phishing direcionado, extorsão. O dano é real — e a LGPD reconhece o direito à reparação.

Responsabilidade civil por vazamento de dados

O art. 42 da LGPD estabelece que o controlador ou operador que causar dano material ou moral ao titular fica obrigado a repará-lo. A responsabilidade é objetiva quando se trata de riscos sistêmicos decorrentes de atividade de tratamento — o que significa que o titular não precisa provar culpa da empresa, apenas o dano e o nexo causal.

Na prática, isso abre espaço para ações indenizatórias individuais e coletivas. Tribunais brasileiros já reconheceram danos morais em casos de exposição de dados de saúde, dados bancários e dados biométricos — ainda que a quantificação do dano continue sendo ponto de debate jurisprudencial.

O papel da ANPD — e quando acionar a autoridade

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da LGPD, editar normas complementares, apurar infrações e aplicar sanções. Criada pela própria LGPD (art. 55-A), a ANPD começou suas atividades em 2021 e vem consolidando sua atuação de forma progressiva.

O titular de dados pode acionar a ANPD nas seguintes situações:

• A empresa não respondeu à solicitação de acesso, correção ou eliminação no prazo de 15 dias
• A resposta foi incompleta, evasiva ou recusou indevidamente o exercício do direito
• Você suspeita de tratamento ilícito de dados (sem base legal ou em violação aos princípios da lei)
• Houve vazamento e a empresa não comunicou os titulares afetados

A reclamação é feita pelo Portal gov.br/anpd, sem necessidade de advogado. A ANPD pode instaurar processo administrativo sancionador — com sanções que vão de advertência até multa de 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração (art. 52 da LGPD).

Importante: a via administrativa da ANPD não exclui a via judicial. O titular pode reclamar à ANPD e, simultaneamente, ajuizar ação de indenização por danos materiais e morais perante o Judiciário.

LGPD e consentimento: o que vale e o que não vale

Um dos pontos mais mal compreendidos da LGPD é o consentimento. Muitas empresas tratam o "aceitar os termos" como um cheque em branco — mas a lei não permite isso.

O consentimento válido, nos termos do art. 8º da LGPD, deve ser:

• Livre: sem coerção. Negar o consentimento não pode impedir o acesso ao serviço, salvo quando o dado for estritamente necessário para prestá-lo.
• Informado: o titular precisa saber para qual finalidade específica o dado será usado.
• Inequívoco: silêncio não é consentimento. Caixas pré-marcadas não valem.
• Granular: o consentimento para envio de newsletter não autoriza o compartilhamento com terceiros para marketing.

Além disso, o consentimento pode ser revogado a qualquer tempo — e a revogação não pode ser dificultada pela empresa. Se cancelar o consentimento é mais difícil do que dá-lo, isso já é uma violação à LGPD.

Dados pessoais de crianças e adolescentes

A LGPD reserva tratamento ainda mais rigoroso para dados de crianças (até 12 anos) e adolescentes (de 12 a 18 anos). Conforme o art. 14, o tratamento de dados de crianças e adolescentes deve:

• Ser realizado no melhor interesse da criança
• Ter consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, no caso de crianças
• Coletar apenas os dados estritamente necessários
• Não condicionar a participação de crianças em jogos, aplicativos ou serviços ao fornecimento de dados além do necessário

Apps infantis, plataformas educacionais e redes sociais acessadas por menores são frequentemente alvo de fiscalização da ANPD nesse aspecto. Pais e responsáveis têm legitimidade para exercer os direitos da LGPD em nome de seus filhos.

Perguntas frequentes

A LGPD se aplica a pequenas empresas?

Sim. A LGPD se aplica a qualquer pessoa natural ou jurídica — pública ou privada — que realize tratamento de dados pessoais no Brasil, independentemente do porte. A única exceção relevante envolve pessoas físicas que tratam dados para fins exclusivamente particulares e não econômicos.

Como posso exercer meus direitos previstos na LGPD?

O titular deve enviar requisição ao controlador dos dados — normalmente pelo canal de atendimento da empresa, por e-mail ao DPO (Encarregado de Proteção de Dados) ou por formulário específico. A empresa tem 15 dias para responder ao pedido. Se não responder ou negar indevidamente, o titular pode reclamar à ANPD.

O que a empresa deve fazer em caso de vazamento de dados?

A LGPD (art. 48) impõe ao controlador a obrigação de comunicar à ANPD e aos titulares afetados qualquer incidente de segurança que possa acarretar risco ou dano relevante. O prazo estabelecido pela ANPD é de 3 dias úteis para a comunicação inicial (Resolução CD/ANPD nº 15/2024).

Posso pedir para uma empresa apagar todos os meus dados?

Sim, mas o direito à eliminação (art. 18, VI, da LGPD) tem limites. A empresa pode manter os dados se o tratamento for necessário para cumprimento de obrigação legal, execução de contrato ou defesa em processo judicial ou administrativo. Fora dessas hipóteses, a eliminação é obrigatória quando revogado o consentimento ou quando o dado for desnecessário ou excessivo.

Qual é a multa máxima pelo descumprimento da LGPD?

A LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A ANPD pode ainda aplicar advertência, bloqueio dos dados, eliminação, suspensão parcial do banco de dados e proibição total da atividade de tratamento.

A LGPD protege dados de pessoas falecidas?

A LGPD, em sua redação atual, protege apenas dados de pessoas naturais vivas. Para dados de pessoas falecidas, não há direito subjetivo previsto na lei. Contudo, dependendo do caso, os herdeiros podem ter legitimidade para agir com base no direito à memória, à honra post mortem ou na legislação civil.

Conclusão

A LGPD é uma lei que existe — e que tem dentes. Mas seu potencial de proteção só se realiza quando o cidadão conhece seus direitos e sabe como exercê-los. Saber que você pode pedir acesso aos seus dados, exigir correções, revogar consentimentos e ser informado sobre compartilhamentos não é detalhe técnico — é o cerne do que a lei garante.

O descumprimento da LGPD não gera apenas sanções administrativas à empresa. Gera responsabilidade civil, com dever de indenizar danos materiais e morais causados ao titular. Em casos de vazamento em larga escala, isso pode envolver ações coletivas e condenações expressivas.

O ambiente digital continuará produzindo novos desafios — inteligência artificial, reconhecimento facial em espaços públicos, uso de dados de saúde para segmentação de planos. A LGPD é a moldura jurídica atual para esses debates, e conhecê-la é o primeiro passo para participar deles com informação.

Fontes consultadas

1. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados — LGPD).
2. Lei nº 13.853, de 8 de julho de 2019 (altera a LGPD e cria a ANPD).
3. Constituição Federal, art. 5º, X e XII (inviolabilidade da intimidade e sigilo de dados).
4. Emenda Constitucional nº 115/2022 (inclui proteção de dados como direito fundamental — art. 5º, LXXIX, CF).
5. ANPD — Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte).
6. ANPD — Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança).
7. ANPD — Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado (2021).
8. ANPD — Nota Técnica sobre uso de dados pessoais para fins de marketing e legítimo interesse (2023).
9. STJ, REsp 1.758.799/MG — dano moral in re ipsa pela disponibilização/comercialização indevida de dados pessoais em banco de dados, sem comunicação ao titular (3ª Turma, Rel. Min. Nancy Andrighi, j. 12/11/2019).
10. STJ, REsp 2.077.278/SP — responsabilidade civil por tratamento inadequado de dados bancários sigilosos que facilita fraude a consumidor, à luz do art. 44 da LGPD (3ª Turma, Rel. Min. Nancy Andrighi, j. 03/10/2023).
11. STJ, REsp 2.121.904/SP — vazamento de dados sensíveis (seguro de vida): responsabilidade objetiva e dano moral presumido (3ª Turma, Rel. Min. Nancy Andrighi, j. 11/02/2025).
12. STJ, REsp 2.221.650/SP — disponibilização de dados pessoais não sensíveis não gera dano moral presumido, exigindo comprovação de abalo efetivo (4ª Turma, Rel. Min. Maria Isabel Gallotti, j. 04/11/2025).
13. GDPR (Regulamento Geral de Proteção de Dados da UE) — referência comparativa para interpretação da LGPD.