LGPD: conceitos, direitos dos titulares e aplicação no setor público

1. A pergunta central: por que o dado está sendo tratado?

Imagine um órgão público que cria um cadastro para conceder um benefício. Ele pede nome, endereço, renda, biometria, localização do celular e informações de saúde. Antes de perguntar se existe “consentimento”, a LGPD obriga a organizar o problema:

1. qual finalidade pública justifica o tratamento?
2. quais dados são realmente necessários para essa finalidade?
3. quem decide e quem apenas executa o tratamento?
4. qual hipótese legal autoriza cada operação?
5. quais direitos o titular conserva?
6. com quem os dados podem ser compartilhados e por quanto tempo?
7. quais medidas de segurança e quais evidências de conformidade existem?

Essa sequência é o modelo mental do capítulo. A LGPD não proíbe o uso de dados nem transforma consentimento em autorização universal. Ela disciplina o ciclo de tratamento: obter, usar, consultar, armazenar, compartilhar, corrigir, bloquear e eliminar dados com finalidade legítima, base jurídica, necessidade, transparência, segurança e responsabilização.

A lei alcança pessoas naturais e jurídicas de direito público ou privado e protege liberdade, privacidade e o livre desenvolvimento da personalidade da pessoa natural.

2. Fundamentos, alcance e exclusões

2.1 Fundamentos

O art. 2º da LGPD apresenta sete fundamentos:

1. respeito à privacidade;
2. autodeterminação informativa;
3. liberdade de expressão, informação, comunicação e opinião;
4. inviolabilidade da intimidade, honra e imagem;
5. desenvolvimento econômico e tecnológico e inovação;
6. livre iniciativa, livre concorrência e defesa do consumidor;
7. direitos humanos, livre desenvolvimento da personalidade, dignidade e cidadania.

A autodeterminação informativa ajuda a entender o sistema: a pessoa deve ter informação, controle e meios de reação sobre o uso de seus dados. Isso não significa poder impedir qualquer tratamento. A própria lei autoriza operações sem consentimento quando outra hipótese legal estiver presente.

2.2 Aplicação territorial

A LGPD pode alcançar uma operação quando:

• o tratamento ocorre no território nacional;
• a atividade busca oferecer ou fornecer bens ou serviços ou tratar dados de indivíduos localizados no Brasil; ou
• os dados pessoais foram coletados no território nacional.

Portanto, sede estrangeira ou servidor físico no exterior não afastam, por si sós, a lei brasileira.

2.3 Exclusões

Nas condições do art. 4º, a lei não se aplica ao tratamento:

• realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
• realizado para fins exclusivamente jornalísticos e artísticos;
• realizado para fins exclusivamente acadêmicos, preservada a incidência dos arts. 7º e 11;
• destinado exclusivamente à segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais;
• de certos dados provenientes do exterior, desde que atendidos os requisitos legais.

A exclusão ligada à segurança pública não cria zona sem proteção. A legislação específica deve prever medidas proporcionais e estritamente necessárias ao interesse público, com devido processo legal, princípios de proteção e direitos do titular.

3. O que é protegido: dado, titular e tratamento

Antes de escolher uma base legal, é preciso saber o que está sendo tratado e a quem o dado se refere.

3.1 Dados e titular

Um dado pode identificar de modo indireto. Matrícula funcional, imagem, voz, endereço IP ou a combinação de cargo, lotação e evento podem individualizar alguém conforme o contexto.

O rol de dados sensíveis é específico. Renda e endereço são dados pessoais, mas não se tornam sensíveis apenas por serem privados. Já dado genético ou biométrico vinculado a uma pessoa natural integra o rol sensível.

3.2 Anonimização e pseudonimização

As duas técnicas reduzem risco, mas produzem efeitos jurídicos diferentes.

O teste de anonimização considera custo, tempo e tecnologia disponível. Se a identificação voltar a ser razoavelmente possível, o dado pode retornar ao regime da LGPD.

3.3 Tratamento é o ciclo inteiro

“Tratamento” é conceito amplo: coleta, recepção, classificação, uso, acesso, reprodução, transmissão, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.

Por isso, guardar, consultar, compartilhar, bloquear e apagar também são tratamentos.

4. Quem faz o quê: controlador, operador, encarregado e ANPD

4.1 Controlador e operador

A distinção depende do poder de decisão efetivo.

Exemplo hipotético: um órgão define que um cadastro terá nome, renda e endereço e decide por quanto tempo guardá-los. Ele atua como controlador. Uma empresa que apenas hospeda e processa esses dados segundo instruções do órgão tende a atuar como operadora.

Se a empresa passa a usar a base para finalidade própria — por exemplo, treinar um produto próprio sem instrução do órgão —, esse novo uso deve ser analisado separadamente e pode caracterizá-la como controladora daquela finalidade.

O nome escrito no contrato ajuda, mas não substitui a realidade: o papel decorre da atuação efetiva.

4.2 Encarregado

O encarregado é o canal de comunicação entre controlador, titulares e ANPD. Entre suas atividades estão:

• receber reclamações e comunicações dos titulares;
• receber comunicações da ANPD;
• orientar funcionários e contratados sobre práticas de proteção de dados;
• executar outras atribuições previstas pelo agente ou por norma.

A Resolução CD/ANPD nº 18/2024 exige indicação formal e divulgação da identidade e dos contatos do encarregado. A função pode ser exercida por pessoa natural interna ou externa ou por pessoa jurídica, e não existe exigência geral de certificação profissional.

Para pessoas jurídicas de direito público, a regulamentação traz regras próprias de indicação e publicidade. O encarregado orienta e comunica, mas não substitui a responsabilidade do controlador.

4.3 A autoridade nacional em 2026

A Lei nº 15.352, de 25 de fevereiro de 2026, alterou a estrutura institucional: a sigla ANPD passou a designar a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública e submetida ao regime das agências reguladoras.

Materiais anteriores podem trazer “Autoridade Nacional de Proteção de Dados”. Para prova atual, é preciso distinguir a nomenclatura histórica da denominação vigente.

A ANPD, entre outras funções:

• zela pela proteção de dados pessoais;
• regulamenta e fiscaliza a LGPD;
• aplica sanções administrativas;
• recebe petições e comunicações;
• publica regulamentos, guias e entendimentos.

5. Princípios: os filtros que continuam valendo mesmo quando há base legal

Ter base legal não encerra a análise. Toda operação deve observar boa-fé e os princípios do art. 6º.

Esse ponto resolve uma pegadinha recorrente: dado publicamente acessível não é dado sem regra. Finalidade, boa-fé, necessidade, transparência e direitos continuam relevantes.

6. Bases legais: autorização para tratar não é sinônimo de consentimento

A pergunta “há consentimento?” é insuficiente. O correto é perguntar: qual hipótese legal sustenta esta operação e esta finalidade?

6.1 Dados pessoais comuns

O art. 7º prevê dez hipóteses:

1. consentimento;
2. cumprimento de obrigação legal ou regulatória pelo controlador;
3. tratamento e uso compartilhado pela administração pública necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres;
4. estudos por órgão de pesquisa, com anonimização sempre que possível;
5. execução de contrato ou procedimentos preliminares relacionados a contrato, a pedido do titular;
6. exercício regular de direitos;
7. proteção da vida ou da incolumidade física;
8. tutela da saúde;
9. legítimo interesse;
10. proteção do crédito.

No poder público, o exame deve começar pela competência, pela finalidade pública e pela hipótese legal realmente aplicável. Não se deve pedir consentimento apenas para “regularizar” uma atividade que será executada independentemente da vontade do titular.

6.2 Consentimento

Consentimento deve ser livre, informado e inequívoco, referente a finalidade determinada, e sua obtenção precisa ser demonstrável pelo controlador. Autorizações genéricas são nulas.

A revogação deve ser gratuita e facilitada. Ela produz efeitos para o futuro e não torna automaticamente ilícito o tratamento anterior que foi realizado regularmente.

Exemplo hipotético: um órgão exige “consentimento” para cadastro obrigatório e avisa que o serviço será prestado mesmo se a pessoa recusar. A escolha não é real; portanto, a análise deve buscar a hipótese legal pertinente à atividade pública, e não um consentimento artificial.

6.3 Legítimo interesse

Legítimo interesse não é carta branca. A orientação da ANPD organiza a análise em três fases:

1. finalidade: existe interesse legítimo, concreto e compatível com o ordenamento?
2. necessidade: o tratamento é necessário ou existe meio menos invasivo?
3. balanceamento e salvaguardas: direitos e expectativas legítimas do titular prevalecem? quais controles reduzem os riscos?

A documentação do teste, a minimização, a transparência e a revisão periódica ajudam a demonstrar conformidade.

Legítimo interesse não é hipótese autônoma do art. 11 para dados sensíveis.

6.4 Dados pessoais sensíveis

O art. 11 possui hipóteses próprias. Com consentimento, ele deve ser específico e destacado, para finalidades específicas.

Sem consentimento, o tratamento deve ser indispensável a uma das hipóteses legais, como:

• cumprimento de obrigação legal ou regulatória;
• tratamento compartilhado necessário à execução de políticas públicas;
• estudos por órgão de pesquisa, com anonimização sempre que possível;
• exercício regular de direitos;
• proteção da vida;
• tutela da saúde;
• prevenção à fraude e segurança do titular, nos limites legais.

A diferença entre art. 7º e art. 11 deve ser decidida antes de escolher a base: primeiro classifique o dado; depois procure a hipótese adequada.

7. Crianças e adolescentes: a base legal não elimina o melhor interesse

O tratamento de dados de crianças e adolescentes deve ser realizado em seu melhor interesse, avaliado no caso concreto.

A ANPD consolidou o entendimento de que podem ser utilizadas as bases legais dos arts. 7º ou 11, conforme a categoria do dado e a finalidade. Portanto, é incorreto afirmar que todo tratamento de dados de criança ou adolescente depende necessariamente de consentimento.

A análise combina:

• finalidade legítima e específica;
• base legal adequada;
• necessidade e proporcionalidade;
• melhor interesse;
• informação compatível com a idade e com os responsáveis;
• salvaguardas de acesso, retenção, segurança e supervisão.

Quando o consentimento for a base usada para criança, aplicam-se os requisitos específicos do art. 14, inclusive consentimento específico e em destaque de pelo menos um dos pais ou responsável legal e esforço razoável para verificar quem consentiu.

Exemplo hipotético: uma plataforma escolar exige biometria, localização permanente e preferências de consumo para liberar uma atividade simples. Mesmo que exista alguma base para o serviço educacional, ainda é necessário justificar por que cada categoria de dado é necessária e compatível com o melhor interesse.

8. Direitos dos titulares: transformar transparência em capacidade de agir

Os direitos do titular não são um apêndice da lei. Eles permitem verificar e corrigir o tratamento.

O art. 18 assegura, entre outros:

1. confirmação da existência de tratamento;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. portabilidade, conforme regulamentação;
6. eliminação dos dados tratados com consentimento, ressalvadas hipóteses de conservação;
7. informação sobre entidades públicas e privadas com as quais houve uso compartilhado;
8. informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
9. revogação do consentimento.

O titular também pode peticionar à ANPD, opor-se a tratamento realizado sem consentimento quando houver descumprimento da lei e buscar tutela judicial.

8.1 Como um pedido percorre a organização

Um fluxo robusto pode ser entendido assim:

pedido do titular
      ↓
autenticação proporcional ao risco
      ↓
localização dos dados e dos destinatários
      ↓
identificação do direito e das exceções
      ↓
resposta fundamentada
      ↓
execução da providência
      ↓
propagação das correções quando cabível
      ↓
registro das evidências

Autenticar não significa exigir qualquer quantidade de informação. Pedir selfie, renda, nome dos pais e endereço para responder a uma solicitação simples pode contrariar o próprio princípio da necessidade.

8.2 Acesso e prazos

Na regra geral da LGPD, o acesso pode ser fornecido:

• em formato simplificado, imediatamente; ou
• por declaração clara e completa, em até 15 dias.

No poder público, podem coexistir ritos específicos, como LAI, habeas data e processo administrativo. Por isso, o prazo da LGPD não deve ser aplicado mecanicamente a qualquer pedido dirigido ao Estado sem identificar o procedimento usado.

8.3 Eliminação, revogação e oposição não são a mesma coisa

• eliminação: pode ser afastada por hipótese legal de conservação;
• revogação: retira o consentimento para o futuro;
• oposição: permite questionar tratamento sem consentimento quando houver descumprimento da LGPD.

A conservação pode ocorrer, por exemplo, para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência regular a terceiro ou uso exclusivo do controlador com anonimização, observados os requisitos legais.

8.4 Decisões automatizadas

O titular pode solicitar revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses. O controlador também deve fornecer, quando solicitado, informações claras e adequadas sobre critérios e procedimentos utilizados, preservados os segredos comercial e industrial.

A literalidade vigente não exige que a revisão seja necessariamente realizada por pessoa humana.

9. RIPD: documentar risco antes que o risco vire incidente

O RIPD é documentação do controlador sobre processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, incluindo medidas, salvaguardas e mecanismos de mitigação.

Um relatório útil conecta:

• operação e finalidade;
• base legal;
• categorias de dados e titulares;
• fontes e compartilhamentos;
• retenção;
• necessidade e proporcionalidade;
• riscos;
• medidas de segurança;
• risco que permanece após os controles;
• responsáveis, aprovação e revisão.

Não confunda os documentos:

O RIPD não é simples declaração de que “o sistema está em conformidade”.

10. Tratamento pelo poder público: finalidade pública, competência e necessidade

No setor público, a pergunta central ganha uma camada: qual competência ou atribuição legal justifica o tratamento e como o uso dos dados serve à finalidade pública?

A LGPD determina que o tratamento por pessoas jurídicas de direito público seja realizado para atender finalidade pública, perseguir o interesse público e executar competências legais ou atribuições legais do serviço público.

O órgão deve fornecer informações claras e atualizadas sobre, entre outros pontos:

• previsão legal;
• finalidade;
• procedimentos e práticas utilizados;
• encarregado e canal de atendimento.

O regime varia conforme a entidade e a atividade:

10.1 Compartilhamento entre órgãos

Compartilhar não é apenas “enviar uma base”. É novo tratamento que precisa conservar finalidade, necessidade, segurança e responsabilidade.

finalidade específica
      ↓
competência e hipótese legal
      ↓
campos estritamente necessários
      ↓
destinatário e papel de cada agente
      ↓
instrumento jurídico quando cabível
      ↓
transparência
      ↓
segurança, retenção e auditoria

A interoperabilidade prevista para políticas e serviços públicos facilita o uso compartilhado, mas não cria autorização irrestrita para circular qualquer dado.

Exemplo hipotético: se o órgão B precisa de três campos para executar uma política pública, receber a base inteira do órgão A pode violar o princípio da necessidade, ainda que a finalidade geral seja legítima.

10.2 Transferência a entidades privadas

A transferência pelo poder público a entidades privadas é vedada como regra, com exceções legais, entre elas:

• execução descentralizada de atividade pública que exija a transferência para fim específico e determinado;
• dados acessíveis publicamente, observadas as regras da LGPD;
• previsão legal ou transferência respaldada em contrato, convênio ou instrumento congênere;
• prevenção de fraudes e irregularidades ou proteção da segurança e da integridade do titular, sem desvio para outras finalidades.

O instrumento jurídico não substitui a análise de necessidade. Deve deixar claros finalidade, dados envolvidos, papéis, instruções, segurança, subcontratação, retenção, devolução ou eliminação, auditoria e resposta a incidentes.

10.3 Transferência internacional

Enviar ou disponibilizar dados a agente localizado no exterior exige:

1. hipótese legal de tratamento válida; e
2. mecanismo válido de transferência internacional.

Entre os mecanismos previstos estão decisão de adequação, cláusulas-padrão contratuais, cláusulas específicas aprovadas, normas corporativas globais e demais hipóteses do art. 33.

A Resolução CD/ANPD nº 19/2024 disciplina procedimentos e mecanismos. Usar serviço de nuvem estrangeiro não dispensa verificar localização dos agentes, fluxo dos dados, mecanismo de transferência, segurança e direitos dos titulares.

11. LGPD e LAI: proteger dados sem transformar publicidade em sigilo automático

As duas leis são complementares:

• a LAI organiza transparência pública, acesso e restrições;
• a LGPD exige base, finalidade, necessidade, segurança e respeito aos direitos dos titulares.

Duas afirmações absolutas estão erradas:

“Se há dado pessoal, o documento inteiro é sigiloso.”

e

“Se o documento é público, qualquer dado pessoal pode ser reutilizado para qualquer finalidade.”

O raciocínio adequado é separar a informação de interesse público do excesso identificador.

Exemplo: um contrato administrativo pode exigir divulgação de objeto, valor, empresa contratada, prazo e fiscalização. Isso não significa que seja necessário expor CPF, endereço residencial ou dado bancário pessoal de terceiros.

O prazo de até 100 anos do art. 31 da LAI refere-se a informações pessoais relativas à intimidade, vida privada, honra e imagem. Ele não transforma automaticamente todo dado pessoal em informação de acesso restrito por 100 anos.

12. Segurança e incidentes: distinguir evento, incidente e dever de comunicar

A LGPD exige medidas técnicas e administrativas aptas a proteger os dados desde a concepção do produto ou serviço até a execução do tratamento.

Entre os controles possíveis estão inventário de ativos e operações, menor privilégio, autenticação, registros, monitoramento, atualização, cópias de segurança, gestão de fornecedores, retenção, descarte e capacitação.

12.1 Nem toda falha é incidente comunicável

A Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes de segurança.

O raciocínio é progressivo:

houve um evento?
      ↓
envolveu dados pessoais?
      ↓
o incidente está confirmado?
      ↓
comprometeu confidencialidade, integridade,
disponibilidade ou autenticidade?
      ↓
pode causar risco ou dano relevante?
      ↓
preenche critérios regulamentares?
      ↓
comunicar quando exigido + sempre tratar e registrar

Dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, informações protegidas por sigilo e tratamento em larga escala são fatores relevantes na avaliação regulamentar.

12.2 Quem comunica e em quanto tempo

Quando o incidente puder ocasionar risco ou dano relevante:

• o controlador comunica a ANPD e os titulares;
• o prazo regulamentar é de três dias úteis a partir do conhecimento pelo controlador, ressalvada legislação específica;
• o operador deve informar o controlador sem demora injustificada;
• informações podem ser complementadas de forma justificada conforme o regulamento;
• o controlador deve manter registro dos incidentes por pelo menos cinco anos, ressalvadas outras obrigações de conservação.

Uma vulnerabilidade ainda não explorada não equivale automaticamente a incidente confirmado. E um incidente confirmado não é automaticamente comunicável: é preciso avaliar risco ou dano relevante e os critérios do regulamento.

13. Responsabilidade e sanções

Controlador ou operador que, em violação à legislação de proteção de dados, cause dano patrimonial, moral, individual ou coletivo pode ter dever de reparação.

O operador pode responder solidariamente quando:

• descumpre obrigações da legislação; ou
• não segue instruções lícitas do controlador, hipótese em que se equipara ao controlador para aquele tratamento.

Entre as excludentes previstas estão a prova de que o agente não realizou o tratamento atribuído, de que não houve violação à legislação ou de que o dano decorreu de culpa exclusiva do titular ou de terceiro.

13.1 Poder público e sanções administrativas

Às entidades e aos órgãos públicos podem ser aplicadas, conforme o caso, sanções administrativas como:

• advertência;
• publicização da infração;
• bloqueio dos dados pessoais;
• eliminação dos dados pessoais;
• suspensão parcial do funcionamento do banco de dados;
• suspensão do exercício da atividade de tratamento;
• proibição parcial ou total do exercício de atividades relacionadas a tratamento.

Multa simples e multa diária não integram o conjunto de sanções administrativas aplicáveis às pessoas jurídicas de direito público. Isso não elimina responsabilidade civil, disciplinar, administrativa nem controles exercidos por outros órgãos.

14. Fechamento: resolvendo o caso inicial

Volte ao cadastro do benefício público.

O fato de o órgão precisar identificar o requerente pode justificar alguns dados, mas não todos. A solução deve percorrer o sistema inteiro:

1. definir a finalidade pública e a competência que sustentam o cadastro;
2. classificar os dados pedidos, distinguindo comuns e sensíveis;
3. identificar a hipótese legal de tratamento apropriada;
4. excluir campos sem necessidade demonstrável;
5. definir quem é controlador e quem atua como operador;
6. explicar ao titular o tratamento e viabilizar seus direitos;
7. limitar compartilhamentos a finalidade, destinatário e campos necessários;
8. estabelecer retenção, segurança e resposta a incidentes;
9. documentar decisões e controles para prestar contas.

Se biometria e informações de saúde não forem necessárias ao benefício, a existência de um formulário, de um contrato com fornecedor ou de um clique em “aceito” não corrige a coleta excessiva.

Essa é a lógica que une o capítulo: a LGPD transforma o tratamento de dados em uma sequência justificável de decisões — da finalidade à evidência de conformidade.