[nonimo]
PT
Baixar o app

LGPD: o que é a Lei Geral de Proteção de Dados

· Escrito e mantido por Nonimo

LGPD é a sigla da Lei Geral de Proteção de Dados Pessoais, a lei brasileira que diz o que se pode fazer com os dados de uma pessoa: nome, CPF, e-mail, endereço, histórico de saúde, foto. Se você tem clientes, pacientes, alunos, locatários ou funcionários, ela vale para o seu dia a dia, e também vale quando alguém da equipe cola o texto de um cliente no ChatGPT, no Claude, no Copilot ou no Gemini.

Este guia é o ponto de partida: explica a lei em linguagem de quem trabalha, aponta os artigos que importam e leva, em cada tema, ao guia que aprofunda.

O que é a Lei Geral de Proteção de Dados (LGPD)?

É a Lei nº 13.709, de 14 de agosto de 2018. O artigo 1º diz que ela dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou jurídica de direito público ou privado, para proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. As regras gerais são de interesse nacional e valem para União, estados e municípios (parágrafo único).

Duas datas ajudam a situar. As regras gerais passaram a valer 24 meses depois da publicação (art. 65, II). Já as sanções administrativas dos arts. 52 a 54 têm vigência própria, a partir de 1º de agosto de 2021 (art. 65, I-A, incluído pela Lei nº 14.010/2020). Ou seja, não é uma lei nova nem uma lei que ficou no papel: ela vale há anos e a autoridade já pode fiscalizar.

O texto que usamos nesta página é o consolidado na base de legislação da Câmara dos Deputados, que incorpora as alterações posteriores, entre elas as da Lei nº 13.853/2019 (que criou a autoridade) e as da Lei nº 15.352/2026.

A quem a LGPD se aplica

O artigo 3º é amplo. A lei vale para qualquer operação de tratamento feita por pessoa natural ou jurídica, independentemente do meio e do país da sede, desde que:

As exceções do artigo 4º são poucas e específicas: uso de pessoa natural para fins exclusivamente particulares e não econômicos, fins exclusivamente jornalísticos, artísticos ou acadêmicos (com ressalvas), segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais. Um advogado, uma contadora, uma corretora, uma clínica ou uma prefeitura não estão em nenhuma delas.

Isso inclui quem trabalha sozinho. A Agência Nacional de Proteção de Dados (ANPD) tem um regulamento para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que cobre microempresas, empresas de pequeno porte, startups, MEI e até pessoas naturais que tratam dados em atividade econômica. Ele é uma boa notícia: permite, por exemplo, registro das operações de forma simplificada (art. 9º) e dispensa a indicação de encarregado, desde que haja um canal de comunicação com o titular (art. 11). Não vale, porém, para quem faz tratamento de alto risco, nos critérios do art. 4º da própria resolução, e não afasta bases legais, princípios nem direitos dos titulares (art. 6º).

As palavras que a lei usa

Cinco definições do artigo 5º resolvem a maior parte das dúvidas:

E o tratamento (inciso X) é qualquer operação com dados pessoais: coleta, recepção, utilização, acesso, armazenamento, transmissão, compartilhamento, eliminação. A lista é longa de propósito. Copiar a mensagem de um cliente e colá-la numa ferramenta de IA é, pelo menos, utilização e transmissão.

Os princípios do artigo 6º

O artigo 6º manda que todo tratamento respeite a boa-fé e dez princípios. Três pesam mais na rotina de um escritório:

Os outros são adequação, livre acesso, qualidade dos dados, transparência, prevenção, não discriminação e responsabilização e prestação de contas.

Muita gente acha que a LGPD é a lei do consentimento. Não é. O artigo 7º lista dez hipóteses em que o tratamento é possível, e o consentimento é só a primeira. Entre as outras, as que mais aparecem num negócio pequeno:

Quando o consentimento é a base, ele precisa ser por escrito ou por outro meio que demonstre a vontade do titular, referir-se a finalidades determinadas (autorizações genéricas são nulas) e pode ser revogado a qualquer momento (art. 8º, §§ 4º e 5º). O ônus de provar que foi obtido corretamente é do controlador (art. 8º, § 2º). Para dados sensíveis, o artigo 11 traz uma lista própria e mais estreita.

Ter uma base legal para o tratamento não dispensa o resto. O § 6º do artigo 7º diz que a dispensa do consentimento não desobriga os agentes das demais obrigações, em especial dos princípios gerais e dos direitos do titular.

Os direitos de quem tem os dados tratados

O artigo 18 dá ao titular, a qualquer momento e mediante requisição ao controlador:

  1. confirmação da existência de tratamento;
  2. acesso aos dados;
  3. correção de dados incompletos, inexatos ou desatualizados;
  4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
  5. portabilidade a outro fornecedor;
  6. eliminação dos dados tratados com consentimento;
  7. informação sobre com quem os dados foram compartilhados;
  8. informação sobre a possibilidade de não consentir e as consequências;
  9. revogação do consentimento.

O atendimento é sem custos para o titular (§ 5º), e ele pode também peticionar contra o controlador perante a ANPD (§ 1º). Na prática, vale ter um endereço de e-mail ou um formulário onde o cliente possa pedir isso, e alguém que saiba responder. É também o que o artigo 9º espera ao falar do acesso facilitado às informações sobre o tratamento.

Segurança, incidentes e responsabilidade

O artigo 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação. O artigo 47 estende o dever de garantir a segurança da informação a qualquer pessoa que intervenha em uma das fases do tratamento, mesmo depois que ele termina.

Se algo dá errado, o artigo 48 manda o controlador comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante. O prazo e o conteúdo foram regulamentados pela Resolução CD/ANPD nº 15/2024, que fixa três dias úteis. O passo a passo, inclusive quando o incidente é um texto colado numa IA, está em incidente de segurança na LGPD.

Quanto à responsabilidade, o artigo 42 diz que quem causar dano patrimonial, moral, individual ou coletivo em violação à legislação de proteção de dados é obrigado a repará-lo, e o § 2º permite ao juiz inverter o ônus da prova a favor do titular quando a alegação for verossímil.

ANPD e sanções

A autoridade que zela pela lei é a ANPD. O artigo 55-A, na redação da Lei nº 15.352, de 25 de fevereiro de 2026, a descreve como autarquia de natureza especial, com autonomia funcional, técnica, decisória, administrativa e financeira. O artigo 55-J lhe dá, entre outras, as tarefas de fiscalizar e aplicar sanções, apreciar petições de titulares e editar regulamentos.

As sanções do artigo 52 incluem advertência com prazo para corrigir, multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação dos dados. Elas só são aplicadas depois de procedimento administrativo com ampla defesa e de forma gradativa, considerando critérios como a gravidade, a boa-fé, a cooperação do infrator e a pronta adoção de medidas corretivas (§ 1º). Ter política de boas práticas e governança é um desses critérios (inciso IX). Se você tem seguro cibernético, vale conferir na apólice o que ela cobre.

LGPD e inteligência artificial

A lei não fala em inteligência artificial, e não precisa. O que vale é o tratamento de dados pessoais, e uma IA que recebe um texto com o nome de alguém está recebendo um dado pessoal. Os pontos que a rotina com ChatGPT, Claude, Copilot ou Gemini costuma tocar são estes:

Cada um desses pontos tem o seu guia:

Há ainda um caminho que a própria LGPD valoriza: dado anonimizado não é dado pessoal para os fins da lei (art. 12), e a pseudonimização aparece como medida de proteção. A diferença entre as duas, que é a que decide o quanto você ganha, está em pseudonimização e anonimização.

LGPD na prática: um roteiro para começar

Para um negócio pequeno, o começo é mais simples do que parece:

  1. Liste que dados você trata e para quê. Clientes, funcionários, fornecedores. Uma planilha serve (a Resolução 2/2022 aceita registro simplificado).
  2. Defina a base legal de cada finalidade. Contrato, obrigação legal, exercício de direitos, legítimo interesse, consentimento.
  3. Informe o titular. Uma política de privacidade clara no site e nos contratos, com um canal para os pedidos do art. 18.
  4. Cuide da segurança. Senhas, acessos por pessoa, cópias de segurança, e uma regra escrita sobre o que se pode colar numa IA. Uma política de uso de IA nas empresas cabe numa página.
  5. Tenha um plano para incidentes. Quem decide, quem avisa, onde está o registro.
  6. Reveja os contratos com quem recebe dados. Sistemas, contadores, ferramentas de IA.

Nada disso exige um projeto de meses. E, se um cliente grande perguntar como você protege os dados, é o que ele vai querer ver, às vezes num questionário de segurança sobre IA.

Como usar IA sem enviar os dados pessoais dos seus clientes

O Nonimo é um app para Windows e Mac que resolve o ponto mais sensível: o que chega ao chat. Você seleciona o texto, aperta uma tecla e, no seu próprio computador, os dados pessoais são trocados por marcadores como [PESSOA_1] antes de você colar na IA. Quando você copia a resposta e aperta a mesma tecla, os dados voltam ao lugar. Nada do seu texto vai para o Nonimo: a troca acontece toda no seu computador.

Este é um teste real, feito com dados fictícios. O texto antes:

A cliente Nuria Solé Domènech pediu a revisão do contrato de locação. O e-mail dela é cliente@example.com. Resuma o pedido em três linhas.

E o que chega à IA depois de apertar a tecla:

A cliente [PESSOA_1] pediu a revisão do contrato de locação. O e-mail dela é [E-MAIL_1]. Resuma o pedido em três linhas.

A IA faz o resumo sem saber quem é a cliente. Em textos brasileiros, o Nonimo oculta nomes de pessoas, CPF, CNPJ válido, e-mails, endereços e datas de nascimento quando vêm com rótulo, CNH com a abreviação nº e telefones com +55. O número do RG, os celulares escritos sem o +55 e um CNPJ com dígito verificador errado você tira à mão antes de colar.

Se for um arquivo e não um trecho, vale ver como tarjar um PDF.

No PDF, o nome do autor também fica gravado no arquivo, então convém remover os metadados antes de enviar.

Isso não substitui a política de privacidade nem os contratos, mas atende de frente o princípio da necessidade: a IA recebe a estrutura do caso, e quem é o cliente fica com você. Para contar isso a ele, há uma cláusula de IA para o contrato de honorários.

As ferramentas disponíveis hoje estão na página de ferramentas.

A LGPD segundo a sua profissão

Se o que circula são documentos pessoais, estes guias ajudam:

Este guia não substitui a orientação sobre um caso concreto, que cabe ao encarregado de dados ou ao advogado da sua empresa.

Fontes

Consultadas em 17 de outubro de 2026.

O Nonimo é o software que faz isso no seu próprio computador: oculta nomes e dados de clientes antes que o texto chegue ao ChatGPT. Sem conta, e com o app os dados dos seus clientes não saem do seu computador.

Perguntas frequentes

O que é a LGPD?

É a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709, de 14 de agosto de 2018. Ela diz como qualquer pessoa ou empresa, pública ou privada, pode coletar, usar, guardar e compartilhar dados de pessoas físicas, e tem como objetivo proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade (art. 1º). Vale para o escritório de dois advogados e para a rede de clínicas.

A LGPD vale para pequenas empresas, MEI e profissionais autônomos?

Vale. O art. 3º aplica a lei a qualquer operação de tratamento feita por pessoa natural ou jurídica, e a exceção que interessa às pessoas físicas é o uso exclusivamente particular e não econômico (art. 4º, I). A ANPD tem um regulamento próprio para agentes de pequeno porte, a Resolução CD/ANPD nº 2/2022, que simplifica algumas obrigações, como a de indicar encarregado, mas não dispensa a lei: bases legais, princípios e direitos dos titulares continuam valendo.

O que é dado pessoal e o que é dado pessoal sensível?

Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I): nome, CPF, e-mail, endereço, número de celular. Dado pessoal sensível é o que revela origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico vinculado a uma pessoa (art. 5º, II). Para os sensíveis, o art. 11 tem hipóteses mais estreitas.

Preciso do consentimento do cliente para tratar os dados dele?

Nem sempre. O consentimento é uma das dez hipóteses do art. 7º. Em muitos casos de um escritório ou consultório, o tratamento se apoia em outra: executar o contrato com o cliente (inciso V), cumprir uma obrigação legal (inciso II) ou exercer direitos em processo judicial, administrativo ou arbitral (inciso VI). O que vale em qualquer uma delas são os princípios do art. 6º, como finalidade e necessidade.

Quem fiscaliza a LGPD e quais são as sanções?

A Agência Nacional de Proteção de Dados (ANPD), que desde a Lei nº 15.352/2026 aparece no art. 55-A como agência. As sanções do art. 52 vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, e são aplicadas depois de processo administrativo com ampla defesa e de forma gradativa, conforme os critérios do § 1º. Valem desde 1º de agosto de 2021.

Colar dados de clientes no ChatGPT é proibido pela LGPD?

A lei não proíbe nenhuma ferramenta. Colar um nome ou um CPF num chat é uma operação de tratamento, e o que se avalia é se ela tem uma base legal do art. 7º, se envia só o necessário (art. 6º, III) e se a segurança foi cuidada (art. 46). Se o texto chega à IA sem nada que identifique a pessoa, a conversa fica bem mais simples.

A LGPD tem regras específicas para inteligência artificial?

Não usa essa expressão. A lei trata do tratamento de dados pessoais, seja por uma pessoa, seja por um sistema, e o art. 20 dá direito de pedir a revisão de decisões tomadas unicamente por tratamento automatizado. Uma lei específica de IA ainda é um projeto, o PL 2338/2023, que na Câmara dos Deputados aguardava parecer em 17 de outubro de 2026.

Ferramentas

Escolha o arquivo ou o documento e remova os dados pessoais antes de enviar. Sem cadastro e em um minuto.

Todas as ferramentas →

Arquivos e texto

Ver todas
Arquivos e texto