Apesar dos oito anos de existência da Lei Geral de Proteção de Dados, ainda são frequentes as justificativas para o seu descumprimento. A LGPD, Lei nº 13.709/2018, dispõe sobre as regras para o tratamento de dados pessoais, inclusive nos meios digitais.
Entre as justificativas mais recorrentes estão: "A lei é apenas para grandes empresas"; "a gente nem trata dados"; "eu apenas uso nome, CPF, telefone e endereço dos meus clientes; só o básico". Em pleno 2026, essas justificativas ainda são ouvidas com frequência. As três, contudo, precisam ser analisadas à luz das próprias disposições da LGPD.
"A lei é apenas para grandes empresas". Primeiro erro: a lei não estabelece, por exemplo, que "se aplica a empresas com mais de cem colaboradores", "a empresas do ramo de saúde", "apenas a empresas que vendem na internet" ou "a quem vende produtos ou oferece serviços". Pelo contrário, a LGPD estabelece expressamente que se aplica a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados.
Assim, se em uma operação, negócio ou empresa, seja ela conduzida por pessoa natural ou pessoa jurídica, de direito público ou privado, houver tratamento de dados pessoais nos termos da legislação, a LGPD incidirá sobre essa atividade.
"A gente nem trata dados". O ponto inicial a ser verificado é o que se entende por tratamento de dados. Muitas vezes, a resposta do leigo é: "É quando eu modifico algum dado. Aqui a gente só faz o cadastro e realiza a venda".
A própria lei define tratamento como toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. Ou seja, quando o cliente informa nome, CPF e telefone para fazer um cadastro ou orçamento, existe a coleta e a recepção de dados.
Quando a equipe insere essas informações no sistema de vendas, em um CRM ou em uma planilha, ocorre processamento e armazenamento. Quando, nessa mesma planilha, os clientes são organizados e categorizados como "cliente VIP", "inativo" ou "inadimplente", há classificação e organização das informações.
Quando ocorre um contato ou uma entrega de mercadoria ou serviço, há acesso e utilização de dados. Quando o cliente solicita a alteração do telefone ou a atualização do cadastro, há modificação de dados. Ainda, quando o contrato termina e, depois do prazo aplicável, a empresa exclui aquele cadastro do banco de dados, ocorre a eliminação de dados. Tudo isso é tratamento de dados.
Com base nesse conceito, é bastante difícil imaginar um negócio que não realize algum tipo de operação com dados pessoais. O simples fato de possuir colaboradores, por exemplo, já envolve o uso de suas informações para diferentes finalidades relacionadas ao vínculo empregatício, como o cumprimento de obrigações legais e previdenciárias.
Nessa mesma linha, também é comum ouvir: "Eu nem pego CPF, então não preciso seguir a LGPD". O dado pessoal é a informação relacionada a uma pessoa natural identificada ou identificável. Isso significa que não é necessário que uma informação, isoladamente, identifique imediatamente alguém. Informações que podem ser associadas ou combinadas com outras também podem permitir a identificação de uma pessoa.
São exemplos evidentes o nome completo, CPF e impressão digital. Também podem ser dados pessoais, dependendo do contexto e da possibilidade de identificação, informações como matrícula funcional, endereço IP, dados de GPS, endereço, placa de veículo e data de nascimento. Quantas vezes, em uma roda de pessoas, alguém fornece uma característica aparentemente aleatória e, mesmo sem dizer o nome, todos sabem de quem se está falando? A lógica da identificação por combinação de informações funciona de maneira semelhante.
"Eu só uso nome, CPF, telefone e endereço dos meus clientes, só o básico!". A terceira justificativa, talvez uma das mais utilizadas, está relacionada à banalização do dado pessoal. Mas por que considerar nome, CPF, telefone e endereço como "só o básico"?
Essas informações, quando reunidas e utilizadas de maneira inadequada, podem representar uma exposição significativa. A dimensão desse risco pode ser compreendida a partir de situações concretas em que criminosos se valem desses dados para a abertura de uma conta bancária digital em nome da pessoa para utilização como "conta laranja"; transferência de um número de celular para outro chip, com tomada de controle de uma conta de WhatsApp para solicitar dinheiro aos contatos; contratação fraudulenta de empréstimo ou cartão de crédito; realização de compras em nome da vítima; ou ainda golpes personalizados, nos quais informações como endereço e nome de familiares são utilizadas para conferir maior credibilidade à abordagem.
O padrão é evidente. Para alguns, esses dados podem parecer simples. Para o fraudador, porém, eles podem representar um conjunto de informações capaz de viabilizar diferentes tipos de fraudes. A LGPD não protege dados por preciosismo; protege pessoas.
As três justificativas utilizadas para tentar afastar a necessidade de adequação da empresa não resistem à compreensão dos conceitos básicos da Lei Geral de Proteção de Dados. Toda empresa que realiza tratamento de dados pessoais deve observar as obrigações previstas na legislação e adotar medidas adequadas para proteger essas informações.
Continuar insistindo em mitos que já não se sustentam não significa apenas ignorar as exigências da lei. Também pode expor o negócio a sanções administrativas, incluindo multas que podem chegar a 2% do faturamento do negócio (art. 52), por infração cometida, além de ações judiciais e danos significativos à sua reputação.
A proteção de dados pessoais constitui uma responsabilidade inerente à atuação das organizações. A adequação à Lei Geral de Proteção de Dados não deve ser compreendida como uma escolha empresarial, mas como uma obrigação legal que precisa estar incorporada aos processos, às decisões e à rotina das organizações.
O texto acima expressa a visão de quem o assina, não necessariamente do Congresso em Foco. Se você quer publicar algo sobre o mesmo tema, mas com um diferente ponto de vista, envie sua sugestão de texto para redacao@congressoemfoco.com.br.