LGPD: Adequação e Sanções

Sim. A ANPD aplicou suas primeiras sanções em 2023, incluindo multa à Telekall Infoservice por uso de dados de eleitores para campanha sem base legal. Desde então, as sanções vêm se intensificando — em 2024, multas chegaram a R$ 29.700 para clínicas de saúde e empresas de energia. A tendência é de fiscalização crescente com multas cada vez maiores.

A multa simples pode chegar a 2% do faturamento da pessoa jurídica no último exercício, limitada a R$ 50 milhões por infração. Há ainda multa diária para compelir o cumprimento de obrigações. Além da multa, a ANPD pode aplicar advertência, publicização da infração, bloqueio e eliminação de dados pessoais — sanções que podem ser mais devastadoras do que a multa em si.

A adequação segue 8 etapas principais: (1) mapeamento de dados pessoais, (2) análise de gap e riscos, (3) elaboração de políticas de privacidade, (4) designação do DPO, (5) implementação de medidas técnicas de segurança, (6) adequação de contratos com terceiros, (7) treinamento de colaboradores e (8) monitoramento contínuo com auditorias periódicas.

O RIPD é um documento que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e direitos fundamentais dos titulares. Deve conter: descrição dos processos, medidas de segurança, análise de necessidade e proporcionalidade e medidas mitigatórias. A ANPD pode solicitar o RIPD a qualquer momento, especialmente para tratamento de dados sensíveis.

Não. A LGPD prevê 10 bases legais para o tratamento de dados pessoais (art. 7º), e o consentimento é apenas uma delas. Outras bases incluem: execução de contrato, cumprimento de obrigação legal, legítimo interesse, proteção da vida, tutela da saúde e proteção ao crédito. A escolha da base legal deve considerar a finalidade, o contexto e a expectativa do titular.

O envio de e-mails de marketing exige base legal — geralmente consentimento prévio, livre e inequívoco do destinatário, ou legítimo interesse com análise documentada. O titular deve poder se descadastrar facilmente (opt-out). E-mails sem base legal configuram tratamento irregular de dados pessoais e podem gerar sanções da ANPD, além de ações judiciais individuais e coletivas.

Sim, a LGPD se aplica a órgãos públicos. A ANPD já sancionou o INSS e secretarias estaduais por falhas na proteção de dados. A diferença é que órgãos públicos não estão sujeitos a multa pecuniária — as sanções possíveis são advertência, publicização da infração e medidas corretivas. Servidores responsáveis, porém, podem responder administrativamente.

Sim, mas com restrições. O art. 33 da LGPD permite transferência internacional quando: o país de destino oferece proteção adequada (lista da ANPD), mediante cláusulas contratuais específicas, consentimento específico do titular, ou quando necessária para execução de contrato. A ANPD regulamentou os mecanismos de transferência e está avaliando a adequação de países — semelhante ao modelo do GDPR europeu.