- +041 98789-2351
- contato@lucasbeckeradvocacia.com.br
- Curitiba/PR
A LGPD distingue dois agentes no tratamento de dados: o controlador é quem toma as decisões sobre o tratamento — determina a finalidade e os meios. O operador é quem realiza o tratamento em nome do controlador — mas não decide sobre finalidade. Na prática da terceirização: a empresa que contrata é o controlador; o prestador de serviços que processa dados é o operador.
Se o operador tratar dados em desacordo com a instrução do controlador ou com a LGPD, responde solidariamente com o controlador pelos danos causados aos titulares. O controlador não se exime pelo simples fato de ter terceirizado o tratamento — especialmente se não adotou as medidas adequadas de seleção e monitoramento do operador.
Em geral sim — quando o SaaS processa dados dos clientes da empresa contratante segundo as instruções desta. O contrato de serviço deve incluir cláusulas de DPA. Se o fornecedor usa os dados para fins próprios (melhoria do produto, publicidade), pode ser controlador independente ou controlador conjunto — o que requer análise específica.
Sim — e deve estar vinculado por contrato com cláusulas de proteção de dados. Muitas empresas contratam contabilidade sem formalizar esse aspecto, o que é lacuna de conformidade.
A auditoria de LGPD é o processo sistemático de avaliação das práticas de tratamento de dados da empresa, comparando-as com os requisitos da lei e identificando lacunas de conformidade. É o diagnóstico que precede — e sustenta — qualquer programa sério de adequação à LGPD.
A auditoria deve resultar em um relatório documentando os achados e um plano de ação com priorização das medidas corretivas. O plano deve ter responsáveis, prazos e critérios de conclusão. A documentação da auditoria é evidência de boa-fé perante a ANPD.
Auditoria completa: anualmente ou quando houver mudança significativa nos processos. Revisões menores: quando houver novo produto, novo fornecedor, nova atividade de tratamento ou mudança na legislação.
Não é obrigatório — pode ser realizada internamente pelo DPO ou equipe de conformidade. Mas a auditoria por empresa externa (consultoria de privacidade, escritório de advocacia especializado) tem maior credibilidade perante clientes, parceiros e eventual investigação da ANPD.
São complementares, não idênticas. A auditoria de segurança foca em controles técnicos (vulnerabilidades, infraestrutura). A auditoria de LGPD é mais ampla: abrange aspectos jurídicos (bases legais, direitos dos titulares), organizacionais (governança, treinamento) e técnicos (segurança dos dados).
Sim. A Autoridade Nacional de Proteção de Dados (ANPD) tem poder sancionatório desde agosto de 2021, quando passou a ser possível aplicar penalidades. As sanções são aplicadas após processo administrativo com garantia de contraditório e ampla defesa — mas o risco de punição é real e crescente à medida que a ANPD ganha estrutura e casos vêm à tona.
O art. 52 da LGPD lista as sanções em ordem crescente de gravidade:
A ANPD considera: gravidade e natureza da infração; boa-fé do infrator; vantagem obtida; dano causado; reincidência; cooperação com a ANPD; adoção de política de proteção de dados; medidas mitigadoras adotadas; proporcionalidade.
Em 2023, a ANPD aplicou sua primeira sanção — uma advertência a uma empresa por não atender adequadamente aos pedidos de um titular de dados. O caso demonstrou que a ANPD está funcionando e que infrações às regras dos direitos dos titulares serão prioritariamente investigadas.
Sim, mas a ANPD deve observar a proporcionalidade. As sanções mais brandas (advertência com prazo para adequação) tendem a ser aplicadas primeiro para pequenos agentes. Mas a dispensa de algumas obrigações (como o DPO) não isenta das obrigações gerais de proteção.
A LGPD foca nas sanções ao controlador (empresa). A responsabilidade pessoal do funcionário é tratada no âmbito trabalhista (demissão por justa causa) ou penal (se houver crime). A ANPD não aplica sanções diretamente ao empregado.
Sim — mas com regras claras. O e-mail marketing que não respeita a LGPD é prática ilegal que pode gerar sanções da ANPD, ações de consumidores e dano à reputação da empresa. A lei não proíbe o e-mail marketing; proíbe o envio sem base legal adequada ou sem respeito aos direitos dos destinatários.
Existem duas bases possíveis:
Todo e-mail marketing deve ter link de descadastramento facilmente visível. Quando o destinatário clica, deve ser descadastrado imediatamente — não pode haver “prazo de processamento” de dias. A ANPD e o entendimento do STJ sobre spam são claros: descadastramento deve ser imediato e definitivo.
Listas compradas de e-mails não têm consentimento válido para sua empresa — o consentimento que o titular deu foi para outra empresa. Usar lista comprada é violação à LGPD, sujeita a sanção. Além disso, gera altas taxas de rejeição, danos à reputação do domínio e risco de ser marcado como spam.
Com base no legítimo interesse, sim — se a comunicação for razoavelmente esperada e tiver opt-out claro. Mas se passaram 2 anos sem interação, a razoabilidade da expectativa é baixa. O mais seguro é confirmar o consentimento (re-engajamento antes de incluir em nova campanha).
Para B2B, há mais tolerância — o legítimo interesse pode sustentar comunicações comerciais a empresas. Para B2C (pessoas físicas), o cold e-mail sem consentimento prévio é arriscado e não é recomendado sob a LGPD.
Estabelecimentos de saúde tratam, em sua atividade principal, dados sensíveis — especificamente dados de saúde, que a LGPD coloca no patamar de proteção mais elevado. Prontuários médicos, resultados de exames, histórico de internações, medicamentos em uso, dados genéticos e biométricos: todos são dados sensíveis que, se expostos, podem causar discriminação, prejuízo financeiro e dano à dignidade do titular.
Para profissionais e estabelecimentos de saúde, as principais bases são:
Prontuários eletrônicos exigem: acesso restrito por função (médico, enfermeiro, recepção têm acessos diferentes), autenticação segura, criptografia, auditoria de acessos, e backup seguro. A resolução CFM 1821/2007 sobre prontuário eletrônico deve ser observada em conjunto com a LGPD.
A relação entre estabelecimentos de saúde e planos gera compartilhamento de dados sensíveis dos beneficiários. Esse compartilhamento deve ser baseado em contrato (controladores conjuntos ou controlador-operador), com definição clara de responsabilidades. O plano não pode usar dados de saúde para finalidades além das previstas — como discriminar beneficiários com histórico de doenças crônicas.
Consultas por telemedicina geram dados sensíveis transmitidos digitalmente — o que amplia os riscos. Gravações de consultas (se feitas), prontuários digitais e prescrições eletrônicas exigem mesmas proteções do ambiente físico, com atenção adicional à segurança da transmissão.
Sim — tanto pela LGPD (direito de acesso do titular) quanto pelo Código de Ética Médica e resolução do CFM. O estabelecimento deve fornecer cópia do prontuário ao paciente ou a seu representante legal.
Não — a LGPD veda o uso discriminatório de dados de saúde. Além disso, a ANS proíbe a seleção de risco pelo plano. O uso de dados de saúde para negar cobertura ou aumentar planos individualmente é ilegal sob múltiplos ângulos.
Sim. A LGPD (art. 42) prevê que o controlador ou operador que causar dano patrimonial, moral, individual ou coletivo a titulares de dados, em violação à lei, é obrigado a repará-lo. O direito à indenização por danos causados por vazamento ou uso indevido de dados pessoais é direito expresso na lei.
A jurisprudência está em formação. Alguns tribunais reconhecem dano moral presumido pelo simples vazamento de dados sensíveis. Outros exigem prova de consequência concreta. A tendência — especialmente para dados sensíveis (saúde, financeiros, biométricos) — é reconhecer o dano presumido, pela gravidade intrínseca da exposição.
A LGPD prevê responsabilidade objetiva do controlador (não precisa provar culpa) quando há violação à lei. Mas permite que o controlador se exima provando: que não realizou o tratamento dos dados, que não houve violação da LGPD, ou que o dano decorreu de culpa exclusiva do titular ou de terceiro. O ônus da prova da excludente é da empresa, não do titular.
Quando o vazamento afeta milhares de titulares, é possível ação coletiva — ajuizada pelo MP, Procon, ou associações de defesa do consumidor. O titular individual pode optar por ajuizar individualmente mesmo quando há ação coletiva em curso.
Varia enormemente pelo tipo de dado, consequência concreta e jurisdição. Vazamentos de dados sensíveis sem dano concreto: R$ 3.000 a R$ 10.000 em muitas decisões. Com fraude ou dano material comprovado: pode ser muito superior. A jurisprudência específica da LGPD ainda está se consolidando.
5 anos (art. 44 e 43 da LGPD, combinado com o prazo geral de responsabilidade civil). O prazo começa da data em que o titular toma ciência do dano.
Lojas virtuais tratam grande volume de dados pessoais de clientes: nome, CPF, endereço, dados de pagamento, histórico de compras, preferências, localização e comportamento de navegação. Além disso, frequentemente compartilham esses dados com parceiros (transportadoras, gateways de pagamento, plataformas de marketing) — o que multiplica as obrigações de conformidade.
Dados de cartão de crédito/débito (número, CVV, validade) não devem ser armazenados pela loja. O armazenamento deve ser feito por gateways de pagamento certificados (PCI-DSS). A loja armazena apenas token de referência. Violar isso expõe a empresa a responsabilidade civil severa em caso de vazamento.
Pixel do Facebook, Google Ads e outras ferramentas de marketing digital compartilham dados de comportamento dos visitantes com plataformas de publicidade. Esse compartilhamento exige: aviso de cookies adequado, consentimento para cookies de marketing, e informação na política de privacidade sobre quem são os destinatários dos dados.
Cliente pode pedir exclusão de conta e dados. A loja pode manter dados pelo prazo legal necessário (notas fiscais, registros contábeis) mas deve excluir dados de perfil, preferências e histórico desnecessário após a extinção do vínculo comercial.
Depende. Para clientes que já compraram, há base no legítimo interesse para comunicações sobre produtos similares — mas deve haver opção clara de cancelamento (opt-out). Para clientes que nunca compraram (leads captados), o consentimento prévio é necessário.
O marketplace e o lojista são controladores conjuntos em relação aos dados dos compradores. Cada um responde pelas operações de tratamento que realiza. O lojista deve ter política própria e não pode usar os dados fornecidos pelo marketplace para finalidades além da execução da venda.
Cookies são pequenos arquivos armazenados no navegador do usuário que registram informações sobre sua navegação — páginas visitadas, preferências, carrinho de compras, dados de sessão. Quando os cookies identificam o usuário (por e-mail, ID, comportamento) ou permitem rastreá-lo entre sites, passam a ser dados pessoais sujeitos à LGPD.
O Google Analytics (GA4) pode ser usado com LGPD desde que: o usuário seja informado e, se necessário, consinta; a coleta seja configurada para anonimizar IPs; não sejam ativadas funções de rastreamento cruzado sem consentimento. O simples uso de Analytics com a configuração padrão sem aviso de cookies é não conforme com a LGPD.
Não — é a chamada “cookie wall”. Condicionar o acesso ao site ao aceite de cookies não estritamente necessários invalida o consentimento (que deve ser livre). A ANPD e autoridades europeias têm posição consolidada contra cookie walls.
Se o site usa cookies que identificam ou rastreiam usuários (Google Analytics, pixel do Facebook), sim — o tamanho do site não isenta da obrigação.
A LGPD não exige apenas que as empresas evitem incidentes de segurança — exige que saibam como responder quando ocorrem. Empresas sem protocolo definido agem de forma desorganizada após um incidente, perdem o prazo de notificação à ANPD e agrava as consequências para os titulares e para a própria empresa. Um protocolo documentado é obrigação implícita da lei e demonstra boa-fé perante a ANPD.
Identificar que o incidente ocorreu: alertas de sistema, relatório de funcionário, notificação de terceiro, reclamação de titular. Registrar data e hora da detecção — o prazo de 72h para notificar a ANPD começa aqui.
Isolar sistemas comprometidos, revogar credenciais expostas, bloquear acessos suspeitos, preservar logs e evidências. Não apagar nada que possa ser evidência — tanto para a investigação interna quanto para eventual processo regulatório.
Quantificar: quantos titulares foram afetados? Que tipo de dado foi exposto? Há risco de dano relevante (fraude, discriminação, dano financeiro, físico)? Essa avaliação determina se a notificação à ANPD e aos titulares é obrigatória.
Se houver risco relevante: notificar a ANPD em 72h (prazo preferencial) com o formulário disponível no portal da ANPD. Notificar os titulares afetados em prazo razoável com informações sobre o que ocorreu e medidas de proteção que devem adotar.
Corrigir a vulnerabilidade que permitiu o incidente, reforçar controles de segurança, treinar equipe sobre a falha identificada.
Registrar tudo — linha do tempo, decisões tomadas, comunicações. Revisar o protocolo com base no que foi aprendido. Manter o registro por prazo adequado (mínimo 5 anos recomendado).
Para empresas de médio e grande porte, designar previamente: responsável pela contenção técnica (TI), responsável pela avaliação jurídica (DPO/advogado), responsável pela comunicação (com titulares e ANPD). Em pequenas empresas, uma pessoa pode acumular funções.
O operador (fornecedor) deve notificar o controlador (sua empresa) imediatamente. Sua empresa, como controlador, é responsável perante a ANPD e os titulares — mesmo que o incidente tenha ocorrido no fornecedor. Os contratos com operadores devem prever essa obrigação de notificação imediata.
Sim. Imagens de pessoas identificáveis são dados pessoais sob a LGPD. Isso significa que empresas, condomínios, estabelecimentos comerciais e qualquer entidade que instale câmeras de segurança e grave imagens de pessoas está fazendo tratamento de dados pessoais — e deve observar as regras da lei.
A base legal mais comum para o uso de câmeras em locais de trabalho e áreas comuns de condomínios é o legítimo interesse do controlador em garantir a segurança patrimonial e das pessoas. Mas o legítimo interesse tem limites — deve ser proporcional e não deve prevalecer sobre os interesses fundamentais dos titulares.
Em empresas, câmeras no ambiente de trabalho também podem ter como base a obrigação legal (quando exigidas por normas de segurança do trabalho) ou a proteção ao crédito.
Em condomínios, as câmeras devem ser aprovadas em assembleia, com definição de finalidade (segurança das áreas comuns) e de quem tem acesso às imagens (síndico, empresa de segurança). Câmeras nas áreas privativas dos moradores, no hall de entrada do apartamento ou dentro dos elevadores de forma que registre rostos de dentro dos apartamentos abertos — exige atenção especial e pode violar privacidade dos condôminos.
Câmeras com tecnologia de reconhecimento facial coletam dados biométricos — que são dados sensíveis na LGPD. O uso de reconhecimento facial exige proteção redobrada: consentimento específico ou outra base mais robusta, medidas de segurança mais rígidas e avaliação de impacto à privacidade.
Absolutamente não. Câmeras em banheiros, vestiários e locais de intimidade são proibidas e configuram crime (violação de privacidade, art. 216-B do CP). Além disso, violam frontalmente a LGPD e os direitos fundamentais de privacidade.
Não. Câmera voltada intencionalmente para área privativa de terceiro (janela, varanda, interior do apartamento) viola o direito à privacidade e pode ser objeto de ação de indenização por dano moral.
