Adequação à LGPD: etapas, documentos e regras da ANPD em 2026

Revisado por Luiz Eduardo da Silva, diretor da LegalBR. Atualizado em 17 de outubro de 2026. Leitura de cerca de 9 minutos.

A adequação à LGPD é o conjunto de medidas que coloca o tratamento de dados pessoais da empresa em conformidade com a Lei 13.709/2018. Em 2026, ela deixou de ser um projeto opcional: a ANPD virou agência reguladora, as cláusulas-padrão para transferências internacionais são obrigatórias e o prazo para comunicar incidentes é de três dias úteis. Este guia mostra as etapas, os documentos e as regras específicas para pequenas empresas.

Quem precisa fazer a adequação à LGPD

A LGPD se aplica a qualquer operação de tratamento de dados pessoais feita por pessoa física ou jurídica, de direito público ou privado. O art. 3º alcança o tratamento realizado no Brasil, o que visa oferecer bens ou serviços a pessoas no Brasil e o que envolve dados coletados aqui. Assim, a sede da empresa ou o local do servidor não afastam a lei.

Na prática, quase toda empresa trata dados pessoais. Folha de pagamento, cadastro de clientes, lista de fornecedores pessoas físicas, câmeras de segurança e currículos recebidos são exemplos. Por isso, a pergunta não é se a empresa precisa se adequar, mas qual o tamanho do projeto.

As sanções administrativas valem desde 1º de agosto de 2021. Além disso, a Lei 15.352/2026, de 25 de fevereiro de 2026, transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, mantendo a sigla ANPD. Além disso, ela agora tem autonomia funcional, técnica, decisória, administrativa e financeira, o que reforça sua capacidade de fiscalizar.

Etapas da adequação à LGPD

Um projeto de adequação costuma seguir a ordem abaixo. Em empresas menores, por exemplo, as etapas cabem em poucas semanas; em grupos com muitas sociedades, viram um programa contínuo.

1. Diagnóstico e mapeamento

   Levante quais dados cada área coleta, de quem, para quê, onde ficam, com quem são compartilhados e por quanto tempo são guardados.

2. Registro das operações

   Formalize o mapeamento no registro das operações de tratamento exigido pelo art. 37, com base legal e finalidade de cada atividade.

3. Avisos e políticas

   Publique aviso de privacidade claro, em português, e adote políticas internas de privacidade, segurança e retenção.

4. Contratos

   Revise contratos com operadores, como contabilidade, folha, nuvem e marketing, com cláusulas de proteção de dados e segurança.

5. Segurança

   Adote medidas técnicas e administrativas proporcionais ao risco, como controle de acesso, backup e registro de logs (art. 46).

6. Encarregado e canal

   Nomeie o encarregado, publique seu contato e crie um fluxo para responder aos titulares.

7. Incidentes e treinamento

   Monte um plano de resposta a incidentes e treine as equipes que lidam com dados no dia a dia.

Em tratamentos de maior risco, a ANPD pode exigir o relatório de impacto à proteção de dados (RIPD), previsto no art. 38. Por isso, convém prepará-lo desde já para atividades com dados sensíveis, monitoramento ou decisões automatizadas.

Bases legais e consentimento

Todo tratamento precisa de uma das dez bases legais do art. 7º. As mais usadas por empresas são o cumprimento de obrigação legal, a execução de contrato, o legítimo interesse e o consentimento. Por outro lado, dados sensíveis, como saúde, biometria e origem racial, seguem a lista mais restrita do art. 11.

Um erro comum é tratar o consentimento como base para tudo. Na relação de emprego, por exemplo, a maior parte dos dados é tratada por obrigação legal ou contrato, e o consentimento do empregado raramente é livre. Explicamos esse ponto no guia sobre LGPD na contratação de funcionários.

Quando a base escolhida é o legítimo interesse, a empresa precisa documentar o teste de balanceamento. Ele não pode ser usado para dados sensíveis. Além disso, os titulares têm os direitos do art. 18, como acesso, correção, eliminação e portabilidade, com resposta completa em até 15 dias.

Encarregado de dados: as regras da Resolução 18/2024

O art. 41 exige que o controlador indique um encarregado, conhecido como DPO. A Resolução CD/ANPD 18/2024 detalhou a função:

• Quem pode ser: pessoa física, empregada ou não, ou pessoa jurídica. O serviço pode ser terceirizado.
• Formalização: a indicação é feita por ato formal do agente de tratamento.
• Divulgação: identidade e contato devem ser publicados de forma clara, de preferência no site.
• Idioma: o encarregado precisa se comunicar com titulares e com a ANPD em português.
• Conflito de interesses: a função exige autonomia técnica e não deve se misturar com decisões estratégicas sobre o próprio tratamento.

Grupos com encarregado global no exterior podem usá-lo para o Brasil, desde que cumpram o requisito do idioma e a disponibilidade para os titulares.

Incidentes de segurança: o prazo de três dias úteis

A Resolução CD/ANPD 15/2024 regulamentou a comunicação de incidentes. O controlador deve comunicar à ANPD e aos titulares o incidente que possa causar risco ou dano relevante em até três dias úteis. A contagem começa quando ele toma conhecimento de que o incidente afetou dados pessoais.

É possível enviar uma comunicação preliminar e completá-la em até 20 dias úteis. Além disso, todo incidente, comunicado ou não, deve ficar registrado por pelo menos cinco anos. Na prática, a empresa precisa de um roteiro pronto, com responsáveis e modelos, porque três dias úteis passam rápido.

Transferência internacional de dados

O art. 33 só permite enviar dados pessoais ao exterior em hipóteses específicas. A Resolução CD/ANPD 19/2024 regulamentou os mecanismos e deu 12 meses para a adoção das cláusulas-padrão brasileiras. Esse prazo terminou em 23 de agosto de 2025.

Assim, quem usa nuvem fora do país, sistemas globais da matriz ou fornecedores estrangeiros precisa verificar o fundamento de cada fluxo. As cláusulas-padrão devem ser incorporadas sem alteração de conteúdo, e a empresa deve divulgar informações simplificadas sobre a transferência.

Em janeiro de 2026, a União Europeia e o Brasil se reconheceram mutuamente como adequados. Do lado brasileiro, a Resolução CD/ANPD 32/2026 reconheceu a UE e o Espaço Econômico Europeu. Portanto, transferências para esses países dispensam cláusulas-padrão, enquanto envios para Estados Unidos, China ou Reino Unido continuam dependendo delas ou de outro fundamento do art. 33.

LGPD para agentes de pequeno porte

A Resolução CD/ANPD 2/2022 simplificou a adequação à LGPD para agentes de pequeno porte. Entram nesse grupo microempresas, empresas de pequeno porte, startups, pessoas jurídicas sem fins lucrativos e pessoas naturais e entes despersonalizados que tratam dados.

Os principais benefícios são estes:

• Registro simplificado das operações de tratamento, com modelo divulgado pela ANPD.
• Dispensa de encarregado, desde que a empresa mantenha um canal de comunicação com os titulares.
• Política de segurança simplificada, com requisitos essenciais.
• Prazos em dobro em diversos procedimentos, inclusive no atendimento a titulares.
• Comunicação de incidentes em procedimento simplificado.

Há limites. Os benefícios não valem para tratamento de alto risco, como o feito em larga escala ou com dados sensíveis, de crianças e de idosos, ou com tecnologias emergentes e decisões automatizadas. Também não valem para empresas cujo faturamento, ou o do grupo econômico, ultrapassa os limites legais. Detalhamos essas regras no guia sobre o regulamento da LGPD para pequeno porte.

Fiscalização e sanções da ANPD

A ANPD fiscaliza com base no regulamento de fiscalização (Resolução CD/ANPD 1/2021), que privilegia monitoramento e orientação, mas prevê processo sancionador. O art. 52 da LGPD lista as sanções:

• advertência, com prazo para medidas corretivas;
• multa simples de até 2% do faturamento no Brasil da empresa, grupo ou conglomerado, limitada a R$ 50 milhões por infração;
• multa diária, observado o mesmo limite;
• publicização da infração;
• bloqueio ou eliminação dos dados envolvidos;
• suspensão parcial ou total do banco de dados ou da atividade de tratamento, e proibição do tratamento.

A Resolução CD/ANPD 4/2023 define a dosimetria e reduz a multa para quem cessa a infração cedo ou mantém programa de governança. Ou seja, a adequação documentada também é defesa. Além disso, o ECA Digital (Lei 15.211/2025), em vigor desde 17 de março de 2026, ampliou deveres de serviços digitais usados por crianças e adolescentes, com fiscalização da ANPD.

Fora da ANPD, o risco também vem de ações de titulares, Procons e Ministério Público, e de cláusulas de clientes que exigem conformidade. Contratos com fornecedores e parceiros devem refletir esse cenário; veja nosso guia de contratos empresariais.

Perguntas frequentes