LGPD e seus dados: direitos, prazos e como reclamar na ANPD

A LGPD (Lei 13.709/2018) é a lei que define como empresas, órgãos públicos e qualquer organização podem coletar e usar os seus dados pessoais no Brasil, e quais direitos você tem sobre eles. Com ela, você pode saber quais dados uma empresa guarda sobre você, corrigi-los, pedir a eliminação em vários casos e se opor a usos indevidos, de graça. Se a empresa não atender, dá para fazer uma petição à ANPD, a agência que fiscaliza a lei.

Este guia explica a lei em linguagem simples, com os artigos de referência, os prazos, um modelo de pedido pronto para copiar, o que fazer depois de um vazamento e o que mudou com a transformação da ANPD em agência reguladora em 2026.

O que é a LGPD

A Lei Geral de Proteção de Dados Pessoais foi sancionada em 14 de agosto de 2018. A maior parte dos artigos entrou em vigor em setembro de 2020, e as sanções administrativas (arts. 52 a 54) passaram a valer em 1º de agosto de 2021. Ela vale para dados em meio digital e em papel, para empresas privadas e para o poder público, e também para empresas estrangeiras quando o tratamento ocorre no Brasil, quando oferecem produtos ou serviços a pessoas aqui ou quando os dados foram coletados no país.

O que é dado pessoal

É qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I). Vai muito além de nome e CPF: endereço, telefone, e-mail com nome e sobrenome, dados de localização do celular, hábitos de consumo e identificadores on-line podem ser dados pessoais. O endereço IP também pode ser, porque, junto com data e hora, permite ao provedor identificar o assinante da conexão. Veja o que o seu IP mostra no Meu IP.

O que são dados sensíveis

A lei dá proteção reforçada aos dados sensíveis (art. 5º, II): origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual e dados genéticos ou biométricos, quando ligados a uma pessoa. A biometria do rosto ou da digital usada para desbloquear um app, por exemplo, é dado sensível.

Quem é quem na lei

• Titular: você, a pessoa a quem os dados se referem.
• Controlador: quem decide por que e como os dados são tratados, como a loja, o banco ou o app.
• Operador: quem trata os dados em nome do controlador, como um serviço de pagamento ou de nuvem.
• Encarregado: a pessoa indicada para ser o canal entre a empresa, os titulares e a ANPD. Agentes de pequeno porte que cumprem os requisitos da Resolução CD/ANPD nº 2/2022 podem ser dispensados de indicar um.

Os 10 princípios da LGPD

Todo tratamento de dados deve observar a boa-fé e os dez princípios do art. 6º. Eles são o critério para avaliar se uma prática é aceitável:

1. Finalidade: propósitos legítimos, específicos e informados a você.
2. Adequação: o uso precisa ser compatível com a finalidade informada.
3. Necessidade: só o mínimo de dados necessário.
4. Livre acesso: consulta fácil e gratuita sobre como e por quanto tempo os dados são tratados.
5. Qualidade dos dados: dados exatos, claros e atualizados.
6. Transparência: informações claras sobre o tratamento e sobre quem o realiza.
7. Segurança: medidas técnicas e administrativas contra acessos indevidos e vazamentos.
8. Prevenção: agir antes que o dano aconteça.
9. Não discriminação: proibido usar dados para fins discriminatórios ilícitos ou abusivos.
10. Responsabilização e prestação de contas: a empresa precisa conseguir provar que cumpre a lei.

As bases legais: quando uma empresa pode usar seus dados

Uma empresa só pode tratar dados pessoais se se apoiar em uma das dez hipóteses do art. 7º. O consentimento é só uma delas, e precisa ser uma manifestação livre, informada e inequívoca para uma finalidade determinada. As outras incluem cumprir obrigação legal ou regulatória, executar um contrato que você pediu, exercer direitos em processos, proteger a vida, tutelar a saúde, executar políticas públicas, pesquisa, proteção do crédito e o legítimo interesse do controlador ou de terceiro, que não vale quando prevalecem os seus direitos e liberdades fundamentais.

Para você, isso significa duas coisas. Quando o tratamento depende do seu consentimento, você pode revogá-lo a qualquer momento. Quando ele usa outra base, como o legítimo interesse, você pode se opor se houver descumprimento da lei (art. 18, § 2º). Para dados sensíveis, as hipóteses são mais restritas.

Seus direitos como titular

Os direitos estão no art. 18 e no art. 20. O pedido deve ser atendido sem custos para você (art. 18, § 5º) e pode ser feito por você ou por um representante legal.

Os prazos de resposta

Para confirmação e acesso, o art. 19 prevê duas formas: em formato simplificado, imediatamente, ou por meio de declaração clara e completa, com origem dos dados, critérios e finalidade, em até 15 dias contados da data do pedido. Atenção: são 15 dias corridos, não dias úteis. Para os outros direitos, a lei remete os prazos a regulamento. Se a empresa não puder atender de imediato, ela deve responder explicando os motivos ou indicando quem é o verdadeiro responsável pelos dados.

Quando a empresa pode manter os dados

O direito de eliminação tem limites. O art. 16 autoriza guardar dados para cumprir obrigação legal ou regulatória, para estudos por órgão de pesquisa, para transferência a terceiro dentro das regras da lei ou para uso exclusivo do controlador, desde que anonimizados. Um exemplo comum: o provedor de internet precisa manter os registros de conexão por um ano por força do Marco Civil, explicado em o que o provedor consegue ver.

Dados de crianças e adolescentes e o ECA Digital

O art. 14 da LGPD exige que o tratamento de dados de crianças e adolescentes seja feito no seu melhor interesse. Para crianças, é preciso consentimento específico e em destaque de pelo menos um dos pais ou do responsável, e jogos e aplicativos não podem condicionar a participação ao fornecimento de mais dados do que o necessário.

Desde 17 de março de 2026 também está em vigor o ECA Digital (Lei 15.211/2025), o Estatuto Digital da Criança e do Adolescente, com regras para produtos e serviços digitais usados por menores. O Decreto 12.622/2025 designou a ANPD como a autoridade responsável por proteger os direitos de crianças e adolescentes no ambiente digital. A ANPD já havia aberto, em 2024, um processo sancionador contra a empresa responsável pelo TikTok no Brasil por condutas que não observariam o melhor interesse de crianças e adolescentes.

Como exercer seus direitos, passo a passo

Modelo de pedido LGPD (copie e cole)

Adapte o texto, apague os itens que não se aplicam e envie pelo canal de privacidade da empresa:

Assunto: Requerimento de titular de dados pessoais (Lei 13.709/2018, art. 18)

Prezado(a) encarregado(a) pelo tratamento de dados pessoais,

Eu, [nome completo], CPF [número], cliente/usuário do serviço [nome do serviço],
cadastrado com o e-mail [e-mail] e o telefone [telefone], venho, com base no
art. 18 da Lei Geral de Proteção de Dados Pessoais, solicitar:

[ ] Confirmação da existência de tratamento e acesso aos meus dados, por meio de
    declaração completa com a origem dos dados, os critérios utilizados e a
    finalidade do tratamento (art. 19, II).
[ ] Informação sobre as entidades públicas e privadas com as quais meus dados
    foram compartilhados (art. 18, VII).
[ ] Correção dos seguintes dados: [descrever].
[ ] Eliminação dos dados tratados com base no meu consentimento e revogação
    desse consentimento (art. 18, VI e IX).
[ ] Oposição ao uso dos meus dados para envio de publicidade por e-mail, SMS,
    telefone ou aplicativos de mensagem (art. 18, § 2º).

Peço que a resposta seja enviada para este e-mail, com número de protocolo.

[Cidade], [data].
[Nome completo]

Vazamento de dados: o que a empresa deve fazer e o que você deve fazer

Quando um incidente de segurança puder causar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e as pessoas afetadas (art. 48). A Resolução CD/ANPD nº 15/2024 fixou o prazo em três dias úteis para as duas comunicações, com prazo em dobro para agentes de pequeno porte. A empresa também precisa manter o registro do incidente por pelo menos cinco anos, mesmo quando não precisar comunicá-lo.

Se você recebeu um aviso de vazamento ou suspeita que seus dados foram expostos:

• Troque a senha do serviço afetado e de qualquer outro em que você usava a mesma senha. O gerador de senhas cria senhas fortes no seu navegador.
• Confira se as suas senhas aparecem em vazamentos conhecidos com a ferramenta senha vazada?, que não envia a senha para lugar nenhum.
• Ative a verificação em duas etapas nas contas mais importantes, como e-mail, banco e redes sociais.
• Desconfie de ligações e mensagens que citam seus dados para parecer legítimas: golpistas usam bases vazadas.
• Acompanhe contas e empréstimos em seu nome. O Registrato, do Banco Central, mostra relacionamentos com bancos e operações de crédito vinculados ao seu CPF.
• Se houver fraude, registre boletim de ocorrência e guarde todos os comprovantes.

Sobre indenização: em 2023, a Segunda Turma do STJ decidiu, no AREsp 2.130.619, que o vazamento de dados pessoais comuns não gera dano moral presumido, e o titular precisa comprovar o dano efetivo. Mais dicas estão em minha senha vazou, e agora? e em como saber se o seu IP vazou.

Quem fiscaliza: a ANPD agora é uma agência

A ANPD nasceu como Autoridade Nacional de Proteção de Dados, estruturada pela Lei 13.853/2019. Em 17 de setembro de 2025, a Medida Provisória 1.317 a transformou em Agência Nacional de Proteção de Dados, e a mudança foi confirmada pela Lei 15.352, de 25 de fevereiro de 2026. Hoje ela é uma autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, e entrou na lista de agências reguladoras da Lei 13.848/2019. Além da LGPD, ela fiscaliza o ECA Digital.

As sanções do art. 52 vão de advertência e publicização da infração até multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, bloqueio ou eliminação dos dados e suspensão ou proibição das atividades de tratamento.

Casos reais

• Telekall Infoservice (2023): primeira sanção da ANPD. A empresa ofertava listas de contatos de WhatsApp de eleitores para campanha na eleição municipal de 2020 em Ubatuba (SP). Recebeu advertência por não indicar encarregado e duas multas de R$ 7.200, total de R$ 14.400, limitado por ser microempresa.
• INSS: processo sancionador por não comunicar um incidente de segurança aos titulares e não cumprir uma medida preventiva da ANPD, já concluído.
• Órgãos públicos: secretarias de saúde e de educação, o Ministério da Saúde e outros órgãos responderam a processos por falta de comunicação de incidentes, falhas de segurança e por não atender a requisições da ANPD.
• Meta (2024): medida preventiva que suspendeu, no Brasil, a parte da nova política de privacidade que permitia usar dados de usuários do Facebook e do Instagram para treinar inteligência artificial generativa.
• Tools for Humanity (2025): em janeiro, a ANPD determinou a suspensão dos incentivos financeiros que a empresa oferecia em troca da coleta da íris, um dado biométrico e, portanto, sensível.

A lista de processos sancionadores, com os motivos de cada um, é publicada no site da ANPD. Segundo a própria agência, todos os processos sancionadores que ela conduziu começaram por falta de colaboração do fiscalizado.

LGPD e GDPR: semelhanças e diferenças

A LGPD foi inspirada no GDPR, o regulamento europeu, e as duas leis têm princípios parecidos. Os detalhes de prazo e de multa, porém, são diferentes:

Telemarketing e marketing: como dizer não

Você pode revogar o consentimento para comunicações de marketing e se opor ao uso dos seus dados para publicidade (art. 18). Além do pedido direto à empresa, há ferramentas práticas:

• Não Me Perturbe (naomeperturbe.com.br): cadastro gratuito que bloqueia ligações de telemarketing das operadoras de telecomunicações e de bancos que oferecem crédito consignado. O bloqueio pode levar até 30 dias e não vale para ligações de cobrança, prevenção a fraudes ou confirmação de dados.
• Qual Empresa Me Ligou (qualempresameligou.com.br): consulta, divulgada pela Anatel, que mostra qual empresa é dona de um número que ligou para você.
• Os bloqueios do próprio celular para números desconhecidos e apps de identificação de chamadas.

LGPD, cookies e o seu IP na internet

A LGPD não fala em “banner”, mas o guia de cookies da ANPD, de 2022, orienta que cookies não necessários, como os de publicidade, venham desligados e possam ser recusados com um botão claro. Veja como funcionam em cookies e fingerprinting e como este site trata os seus dados na política de privacidade. Já o IP permite estimar a região de uma conexão, como mostra a geolocalização de IP, mas identificar a pessoa exige os dados do provedor, entregues só nas hipóteses previstas em lei.

Em resumo

A LGPD garante, sem custo, o direito de saber o que fazem com seus dados, corrigir, pedir a eliminação quando cabível, se opor a usos indevidos e pedir revisão de decisões automatizadas. Comece pelo canal de privacidade da empresa, guarde as provas e, sem resposta, leve o caso à ANPD ou aos órgãos de defesa do consumidor.