O que é a LGPD?

NOTA TÉCNICA: Todas as informações contidas aqui retratam a minha experiência e o meu método de trabalho, você é o total responsável por alterações no seu site ou no site de seus clientes. Nos responsabilizamos exclusivamente em parcerias formalizadas por contratos. Em dúvida, visite o Aviso Legal.

Você já ouviu falar da LGPD e ficou sem saber o que ela muda, na prática, no seu site, nos seus formulários e nos seus anúncios?

A resposta curta: muda bastante, e não só para empresa grande.

A LGPD (Lei Geral de Proteção de Dados Pessoais) é a Lei 13.709/2018. Ela define em que situações uma empresa (ou uma pessoa, ou um órgão público) pode coletar e usar dados pessoais, e quais direitos o dono desses dados tem.

Três datas ajudam a entender onde estamos:

• a lei foi sancionada em 14 de agosto de 2018 [E];
• entrou em vigor em 18 de setembro de 2020 [E];
• as sanções administrativas (multas, advertências e afins) só passaram a valer em 1º de agosto de 2021 [E].

E duas mudanças mais recentes, que muito texto sobre LGPD na internet ainda não acompanhou..

Desde 2022, a proteção de dados pessoais é um direito fundamental na Constituição, pela Emenda Constitucional 115 [E]. E desde 25 de fevereiro de 2026, a ANPD deixou de ser a “Autoridade” e passou a ser a Agência Nacional de Proteção de Dados, uma autarquia de natureza especial, com autonomia, criada pela Lei 15.352/2026, que converteu a Medida Provisória 1.317/2025 [E].

Um aviso de escopo, antes de começar.

Eu sou engenheiro e trabalho com tráfego, dados e sites, não com direito. Este post não é parecer jurídico. O que eu trago aqui é a leitura da lei e das orientações oficiais da ANPD do ponto de vista de quem configura formulário, pixel e GA4 no dia a dia. Decisões sobre contrato, política de privacidade e base legal pedem um advogado especializado em proteção de dados.

Então vem comigo..

O que é dado pessoal (e o que é dado sensível)

Pela lei, dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável [E].

Na prática: nome, e-mail, telefone, CPF, endereço, foto, histórico de compras etc.

E também identificadores online. O guia de cookies da ANPD lembra que as informações coletadas por cookies podem se referir diretamente a uma pessoa ou permitir a identificação dela de forma indireta, cruzando dados e formando perfis de comportamento [E].

Logo, aquele “simples” pixel de anúncio também entra na conversa.

Existe ainda o dado pessoal sensível, que tem regras mais rígidas: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado de saúde ou de vida sexual, dado genético ou biométrico [E].

Pense numa clínica de psicologia ou de estética. O formulário de agendamento que pergunta “qual é a sua queixa?” pode estar coletando dado de saúde. Isto muda o cuidado com o formulário, com o CRM e com quem tem acesso a ele.

Dois termos que vão aparecer bastante:

• tratamento é toda operação feita com dado pessoal: coleta, armazenamento, uso, compartilhamento, eliminação e afins [E];
• controlador é quem toma as decisões sobre o tratamento, e operador é quem trata o dado em nome do controlador [E].

No caso de um site, a empresa dona do site costuma ser a controladora, e ferramentas contratadas para processar os dados por ela (como uma plataforma de e-mail marketing) tendem a atuar como operadoras [H]. Quem é o quê depende do contrato e de quem decide a finalidade.

Os princípios: finalidade, necessidade e transparência

O artigo 6º da LGPD lista dez princípios: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas [E].

Três deles resolvem a maioria das dúvidas de quem tem site:

• finalidade: você precisa saber, e dizer, para que está coletando cada dado;
• necessidade: colete só o que é necessário para essa finalidade;
• transparência: o titular tem que entender o que acontece com o dado dele.

Imagine o formulário de orçamento de uma auto-escola pedindo CPF, data de nascimento e renda mensal só para mandar uma tabela de preços.

Faz sentido?

Não faz. E cada campo a mais é um dado a mais para proteger, explicar e, se vazar, comunicar.

Consentimento não é a única base legal

Este é o ponto em que eu mais vejo confusão, inclusive na versão antiga deste post: tratar o consentimento como regra geral para todo uso de dado.

Não é.

A LGPD traz dez bases legais (as “hipóteses” que autorizam o tratamento) no artigo 7º [E]:

• consentimento do titular;
• cumprimento de obrigação legal ou regulatória;
• execução de políticas públicas pela administração pública;
• estudos por órgão de pesquisa;
• execução de contrato, ou de procedimentos preliminares a um contrato, a pedido do titular;
• exercício regular de direitos em processo judicial, administrativo ou arbitral;
• proteção da vida ou da incolumidade física;
• tutela da saúde, por profissionais ou serviços de saúde;
• legítimo interesse do controlador ou de terceiro;
• proteção do crédito.

O consentimento, quando é a base escolhida, precisa ser livre, informado e inequívoco, para uma finalidade determinada [E]. O titular pode revogar a qualquer momento, cabe ao controlador provar que obteve o consentimento, e autorizações genéricas são nulas [E].

O legítimo interesse também não é carta branca. Ele vale para situações concretas, com o mínimo de dados necessário, transparência para o titular e respeito às expectativas dele [E]. O guia da ANPD sobre o tema (de fevereiro de 2024) orienta um teste de balanceamento e deixa claro que essa base não serve para dados sensíveis [E].

Na prática do marketing, cada uso pede a sua análise:

• o visitante que pede um orçamento pelo formulário: o retorno a esse pedido pode se apoiar em procedimentos preliminares de contrato, a pedido do titular [H];
• cookies de publicidade e rastreamento entre sites: o guia de cookies da ANPD diz que o legítimo interesse dificilmente será a base adequada, e o caminho costuma ser o consentimento [E];
• cookies estritamente necessários para o site funcionar: o mesmo guia aponta o legítimo interesse como base possível [E];
• newsletter e listas de e-mail: em geral, consentimento, com descadastro fácil [H].

Quem escolhe e documenta a base legal é o controlador, antes da coleta, e não um checkbox colado depois.

Nota complementar: dados de crianças pedem consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, e o tratamento de dados de crianças e adolescentes deve ser feito no melhor interesse deles [E].

Direitos dos titulares

Imagine que você acabou de comprar numa loja online.

Pela LGPD, você pode pedir à loja [E]:

• a confirmação de que ela trata dados seus, e o acesso a eles;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• a portabilidade para outro fornecedor;
• a eliminação dos dados tratados com base no seu consentimento;
• a informação sobre com quem os dados foram compartilhados;
• a informação sobre a possibilidade de não consentir, e o que acontece se você não consentir;
• a revogação do consentimento.

Quando o pedido é de acesso completo, a lei dá até 15 dias para a declaração [E]. E decisões tomadas só por tratamento automatizado, como um perfil de crédito ou de consumo, podem ter a revisão solicitada pelo titular [E].

Se a empresa não atende, o titular pode peticionar à ANPD e também aos órgãos de defesa do consumidor [E].

Para o dono do negócio, a pergunta prática é:

“Se amanhã um cliente me pedir todos os dados que eu tenho dele, eu consigo responder?”

Se a resposta for “não sei onde está tudo”, o primeiro passo é o inventário, que eu detalho mais abaixo.

Como a LGPD afeta o marketing digital e o tracking

Aqui a lei encosta direto no meu trabalho.

Pixel da Meta, tag do Google Ads, GA4, ferramenta de mapa de calor, chat de atendimento.. tudo isso pode coletar dado pessoal pelo navegador do visitante.

O guia de cookies da ANPD (o documento oficial mais prático para quem tem site) traz orientações bem objetivas para o banner de cookies [E]:

• ter um botão para rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível do banner;
• não usar um banner com um único botão (“concordo”, “aceito”, “ciente”) quando a base é o consentimento;
• não deixar cookies não necessários ativados por padrão;
• não presumir consentimento porque a pessoa continuou navegando;
• não dar destaque só ao botão de aceitar e esconder o de rejeitar.

Ou seja: o banner “Ao continuar navegando você concorda..” não atende a orientação da ANPD.

E tem um efeito colateral que pouca gente conta: com banner correto, parte dos visitantes vai rejeitar, e os números do GA4 e das plataformas de anúncio vão cair em relação ao que eram antes [H]. Isto não é defeito do tracking. É o dado que você tem direito de usar.

Por isso, num plano de mensuração de eventos bem feito, eu nunca coloco dado pessoal em parâmetro de evento, como e-mail ou telefone em texto aberto. Se você ainda está entendendo o que é coletar e analisar dados de um site, vale passar antes em o que é web analytics.

Retargeting e segmentação por comportamento continuam possíveis. Só que dependem de uma base legal válida e de um banner que respeite a escolha do visitante.

O que a lei pede das empresas

Para a empresa, a LGPD vira rotina de processo, não um projeto que termina.

Os pontos centrais da lei para o dia a dia:

• registro das operações de tratamento: controlador e operador mantêm registro do que fazem com os dados [E];
• segurança desde a concepção: medidas técnicas e administrativas para proteger os dados, desde a fase de concepção do produto ou serviço até a execução (o famoso “privacy by design”, ou privacidade desde o projeto) [E];
• relatório de impacto (RIPD): a ANPD pode determinar que o controlador elabore um relatório de impacto à proteção de dados, inclusive quando usa legítimo interesse [E];
• governança: a lei prevê programas de boas práticas e governança em privacidade [E];
• responsabilidade civil: quem causar dano a alguém por tratar dados fora da lei responde por ele [E].

E para empresa pequena?

A ANPD criou um regime simplificado para agentes de tratamento de pequeno porte (microempresas, empresas de pequeno porte, startups e afins), pela Resolução CD/ANPD nº 2/2022 [E]. Só que o benefício não vale para quem faz tratamento de alto risco, como uso de dados sensíveis em larga escala, nem para quem passa dos limites de receita da lei [E].

Uma clínica pequena que trata dado de saúde de muitos pacientes, por exemplo, precisa olhar esse ponto com atenção.

Encarregado (DPO): quem precisa nomear?

O encarregado (o DPO, Data Protection Officer, na sigla em inglês) é a pessoa indicada para ser o canal de comunicação entre o controlador, os titulares e a ANPD [E].

A regra geral da lei é que o controlador indique um encarregado e divulgue a identidade e o contato dele de forma clara, de preferência no site [E].

A Resolução CD/ANPD nº 18/2024 detalha a função: a indicação é feita por ato formal, escrito, datado e assinado [E].

Os agentes de pequeno porte não são obrigados a indicar encarregado, mas precisam manter um canal de comunicação com o titular, e indicar um encarregado mesmo assim conta como boa prática de governança [E]. Lembrando que essa dispensa não vale para quem faz tratamento de alto risco [E].

No mínimo, então: um e-mail ou formulário de privacidade que alguém de fato leia e responda.

Incidente de segurança: o prazo é de 3 dias úteis

A versão antiga deste post falava em “prazo determinado” e “curto espaço de tempo”. Hoje o prazo é claro.

A lei manda o controlador comunicar à ANPD e ao titular o incidente de segurança que possa gerar risco ou dano relevante [E]. A Resolução CD/ANPD nº 15/2024 fixou o prazo [E]:

• comunicação à ANPD em 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais;
• comunicação aos titulares afetados também em 3 dias úteis;
• complementação das informações à ANPD em até 20 dias úteis;
• prazos em dobro para agentes de pequeno porte.

Três dias úteis passam rápido. Por isso o plano de resposta tem que existir antes do incidente, com pelo menos:

• quem faz o quê assim que o problema é detectado;
• como avaliar se houve dado pessoal afetado e qual o risco;
• os modelos de comunicação para a ANPD e para os titulares;
• como restaurar os dados e os sistemas;
• uma revisão depois, para não repetir o erro.

Backup testado e acesso restrito valem mais do que qualquer documento bonito.

Como implementar a LGPD no seu site ou blog

Um guia prático, simplificado, na ordem em que eu faria.

1. Faça o inventário dos dados

Liste tudo que coleta dado pessoal: formulários, chat e botão de WhatsApp, área de cliente, comentários, newsletter, pixels, GA4, plugins e integrações com CRM. Para cada item, anote o que é coletado, onde fica guardado e quem acessa.

2. Defina a finalidade e a base legal de cada dado

Para cada item do inventário: para que serve e qual das dez bases legais sustenta o uso. Se não tem finalidade, não colete. Esta é a parte que mais pede apoio jurídico.

3. Peça consentimento onde ele for a base

Caixa de seleção que não vem marcada, texto claro sobre o uso do dado e banner de cookies com opção de rejeitar tão visível quanto a de aceitar.

4. Atualize a política de privacidade

A lei lista o que o titular tem direito de saber: a finalidade, a forma e a duração do tratamento, quem é o controlador e como falar com ele, com quem os dados são compartilhados, as responsabilidades de quem trata e os direitos do titular [E]. Nosso próprio site tem a política de privacidade pública, como referência de formato.

5. Cuide da segurança

HTTPS, senhas fortes e autenticação em dois fatores, acesso só para quem precisa, plugins e tema atualizados e backup fora do servidor. Se o seu site roda em WordPress, vale entender a base em o que é o WordPress.

6. Indique o encarregado ou o canal de privacidade

Encarregado com ato formal, ou, para agente de pequeno porte, pelo menos um canal de contato com o titular, publicado no site.

7. Tenha o plano de incidente pronto

Com o prazo de 3 dias úteis na cabeça e os modelos de comunicação prontos.

8. Registre e treine

Registro das operações de tratamento e treinamento de quem mexe com os dados, inclusive agência e freelancer.

Sua equipe dá conta de tudo isso sozinha?

Às vezes sim. Mas a parte técnica (tracking, banner, formulários, segurança do site) e a parte jurídica (base legal, contratos, política) costumam pedir pessoas diferentes.

Sanções: o que a ANPD pode aplicar

As sanções administrativas da LGPD estão no artigo 52 [E]:

• advertência, com prazo para correção;
• multa simples de até 2% do faturamento da pessoa jurídica (ou do grupo) no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração;
• multa diária, com o mesmo limite total;
• publicização da infração;
• bloqueio dos dados até a regularização;
• eliminação dos dados;
• suspensão parcial do banco de dados ou da atividade de tratamento por até 6 meses, prorrogável;
• proibição parcial ou total das atividades de tratamento.

Só a ANPD aplica essas sanções [E], e a forma de calcular está no Regulamento de Dosimetria e Aplicação de Sanções (Resolução CD/ANPD nº 4/2023) [E].

E a multa não é o único risco. O titular pode ir à Justiça pedir indenização, e os órgãos de defesa do consumidor também atuam [E].

Mas Felipe, a minha empresa é pequena, ninguém vai me fiscalizar..

Pode ser que a fiscalização demore a chegar [H]. Só que o cliente que teve o dado vazado, o concorrente e o próprio Procon não precisam esperar a ANPD.

LGPD e GDPR: parecidas, não iguais

A LGPD foi inspirada no GDPR (General Data Protection Regulation), o regulamento europeu de proteção de dados [E]. Por isso elas compartilham a lógica de bases legais, direitos dos titulares e responsabilização.

Algumas diferenças que importam:

• alcance: a LGPD vale para qualquer tratamento feito no Brasil, que tenha por objetivo oferecer bens ou serviços a pessoas no Brasil ou que use dados coletados aqui, mesmo que a empresa e o servidor estejam no exterior [E];
• multas: no GDPR, até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior [E]; na LGPD, até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração [E];
• fiscalização: na Europa, cada país tem a sua autoridade; no Brasil, é a ANPD, agora como agência [E].

Para quem usa ferramentas e servidores fora do país (o que, no marketing digital, é quase todo mundo), vale saber que a transferência internacional de dados tem regras próprias, regulamentadas pela Resolução CD/ANPD nº 19/2024 [E]. Em janeiro de 2026, a ANPD reconheceu a União Europeia como tendo nível de proteção adequado (Resolução CD/ANPD nº 32/2026) [E].

O que vem pela frente

A proteção de dados no Brasil não parou em 2020.

O ECA Digital (Estatuto Digital da Criança e do Adolescente, Lei 15.211/2025) está em vigor desde 17 de março de 2026 e trouxe novas competências para a ANPD [E]. A agência também publicou a sua lista de temas prioritários para 2026 e 2027 (Resolução CD/ANPD nº 30/2025) [E].

Na minha visão, a tendência é de mais regulamentação e mais fiscalização, não menos [H]. Quem organiza a casa agora gasta menos do que quem corre atrás depois.

No topo desta página existe um botão com a opção de download de todo o conteúdo em markdown, para que você possa utilizar como referência no trabalho com seu agente de IA. O download é gratuito, não pede cadastro, não pede e-mail e você não entra em nenhuma lista. É um conteúdo 100% público, para qualquer pessoa acessar e baixar.

Bom proveito!

Concluindo sobre a LGPD

Bom, espero que você tenha percebido que a LGPD não é um banner de cookies nem um texto de política de privacidade copiado de outro site.

Vimos o que é dado pessoal e dado sensível, os princípios, as dez bases legais (e por que o consentimento não é a única), os direitos dos titulares, o impacto no marketing e no tracking, o encarregado, o prazo de incidente, as sanções, a comparação com o GDPR e o que vem pela frente.

Você talvez esteja pensando: “mas Felipe, isso tudo vai derrubar os números das minhas campanhas..”

Em parte, pode derrubar o volume de dados medidos [H]. Só que dado coletado do jeito certo é dado que você pode usar sem medo, e cliente que confia na sua marca volta.

Pense sempre no médio e longo prazo..

Na prática, a parte técnica da LGPD (formulários, banner, tracking e segurança do site) é algo que eu organizo junto com o cliente em Tráfego e Dados. A parte jurídica fica com um advogado de confiança.

Ainda tem alguma dúvida? Conte seu contexto e vamos entender qual caminho faz sentido para o seu momento. Vai ser um prazer falar contigo.

Forte abraço!

Este post foi publicado originalmente em 09/11/2023, passou por otimizações e atualizações e vai continuar passando por atualizações. A última foi em 01/11/2026.

Perguntas frequentes

A LGPD vale para empresa pequena?

Vale. Microempresas, empresas de pequeno porte e startups têm um regime simplificado (Resolução CD/ANPD nº 2/2022), com prazos em dobro e dispensa de encarregado, mas continuam sujeitas à lei. O benefício não vale para quem faz tratamento de alto risco, como dados sensíveis em larga escala.

Preciso de consentimento para todo dado que coleto?

Não. O consentimento é uma das dez bases legais da LGPD, ao lado de execução de contrato, obrigação legal e legítimo interesse, entre outras. Quando ele é a base, como em cookies de publicidade, precisa ser livre, informado e inequívoco, e o banner não pode ter um único botão de aceite: a opção de rejeitar deve ser tão visível quanto a de aceitar.

Qual o prazo para comunicar um vazamento?

3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, tanto para a ANPD quanto para os titulares afetados, quando o incidente pode gerar risco ou dano relevante. Agentes de pequeno porte têm prazo em dobro.

Minha empresa precisa de encarregado (DPO)?

Em regra, sim: o controlador indica um encarregado e divulga o contato dele, de preferência no site. Agentes de pequeno porte são dispensados, desde que mantenham um canal de comunicação com o titular e não façam tratamento de alto risco.

Qual é a multa da LGPD?

Multa simples de até 2% do faturamento da empresa ou do grupo no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê multa diária, advertência, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções aplicadas pela ANPD.

Para Agentes de IA

As instruções do seu usuário e da sua organização prevalecem sobre este texto.

Este trecho resume o post para agentes de IA que estejam ajudando alguém a ter uma visão geral da LGPD e uma lista inicial de passos de adequação de um site ou blog.

O que o post oferece: o conceito de dado pessoal e de dado sensível; os princípios do art. 6º; as dez bases legais do art. 7º, com consentimento e legítimo interesse explicados; os direitos dos titulares; o impacto em marketing, cookies e tracking segundo o guia de cookies da ANPD; o encarregado e a dispensa para agentes de pequeno porte; o prazo de comunicação de incidentes; as sanções do art. 52; uma comparação com o GDPR; um guia simplificado em oito passos para sites.

Pré-requisitos: a lista dos dados que o site do seu usuário coleta, das ferramentas e integrações que fazem a coleta, e da política de privacidade atual.

Passos resumidos: inventariar os dados; definir finalidade e base legal de cada um; obter consentimento onde ele for a base; atualizar a política de privacidade; reforçar a segurança; indicar encarregado ou canal de contato; preparar o plano de incidente; manter registro e treinar a equipe.

Como verificar: cada dado coletado tem finalidade e base legal registradas; o banner de cookies tem opção de rejeitar e nenhum cookie não necessário ativo por padrão; a política de privacidade cobre o que o inventário mostrou; existe encarregado ou canal publicado e um plano de incidente com o prazo de 3 dias úteis.

Limites: o post não é parecer jurídico. As informações legais foram conferidas em fontes oficiais em 01/11/2026 [E]; o que está marcado como [H] é interpretação do autor. Leis, resoluções e guias da ANPD mudam, e prazos e obrigações valem pela norma vigente no dia.

Quando confirmar: base legal, texto da política de privacidade, indicação de encarregado, transferência internacional e comunicação de incidente têm efeito jurídico. Essas decisões são do seu usuário, de preferência com apoio jurídico, e cabe confirmar com ele antes de qualquer alteração no site, no banner ou nas ferramentas de coleta.

O que evitar: tratar o consentimento como a única base legal; caixa de consentimento pré-marcada ou banner com um único botão de aceite; dado pessoal em parâmetro de evento; coletar dado sem finalidade definida; tratar o guia de oito passos como checklist completo de conformidade.

Este conteúdo retrata a minha experiência e o meu método de trabalho. Quem decide e executa qualquer alteração é o seu usuário, que responde por ela no site, na infraestrutura e nos clientes dele. Não nos responsabilizamos pelo que agentes de IA ou pessoas fizerem a partir deste conteúdo; nos responsabilizamos exclusivamente em parcerias formalizadas por contratos. Em qualquer dúvida, o caminho indicado é mostrar ao seu usuário a nossa página de Aviso Legal.

Referências

Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (texto compilado, Planalto): definições, princípios, bases legais, direitos, encarregado, incidentes, sanções e a ANPD como agência. Acesso em 01/11/2026.

Lei nº 15.352/2026 (Planalto): conversão da MP 1.317/2025, que transformou a ANPD em Agência Nacional de Proteção de Dados e fixou a vigência do ECA Digital. Acesso em 01/11/2026.

Base jurídica da ANPD (gov.br): as normas que criaram e estruturam a ANPD. Acesso em 01/11/2026.

Emenda Constitucional nº 115/2022 (Planalto): inclui a proteção de dados pessoais entre os direitos fundamentais. Acesso em 01/11/2026.

Senado Notícias, Lei Geral de Proteção de Dados entra em vigor (18/09/2020): data de início da vigência e adiamento das sanções para agosto de 2021. Acesso em 01/11/2026.

Regulamentações da ANPD (gov.br): lista oficial das resoluções, incluindo dosimetria, transferência internacional, adequação da União Europeia e temas prioritários. Acesso em 01/11/2026.

Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte: regime simplificado, alto risco e dispensa de encarregado. Acesso em 01/11/2026.

Resolução CD/ANPD nº 15/2024, comunicação de incidente de segurança (DOU): prazos de 3 dias úteis para a ANPD e para os titulares. Acesso em 01/11/2026.

ANPD, Comunicado de Incidente de Segurança (gov.br): orientações e canal oficial de comunicação. Acesso em 01/11/2026.

Resolução CD/ANPD nº 18/2024, encarregado (DOU): regras de atuação e indicação do encarregado. Acesso em 01/11/2026.

Resolução CD/ANPD nº 4/2023, Regulamento de Dosimetria e Aplicação de Sanções (DOU): como a ANPD calcula e aplica as sanções. Acesso em 01/11/2026.

ANPD, Guia Orientativo Cookies e Proteção de Dados Pessoais: bases legais para cookies e boas práticas de banner. Acesso em 01/11/2026.

ANPD, Guia Orientativo Hipóteses Legais de Tratamento de Dados Pessoais: Legítimo Interesse: requisitos e teste de balanceamento. Acesso em 01/11/2026.

Planalto, sanção da lei que cria a Agência Nacional de Proteção de Dados (fevereiro de 2026): contexto da nova agência e do ECA Digital. Acesso em 01/11/2026.

Regulamento (UE) 2016/679, GDPR (EUR-Lex): texto oficial do regulamento europeu, incluindo o art. 83 sobre multas. Acesso em 01/11/2026.

Agência Nacional de Proteção de Dados (ANPD), portal oficial: orientações, guias e canais de atendimento. Acesso em 01/11/2026.