Checklist de prontidão
para a LGPD

Sim. O Art. 3 estabelece que a LGPD se aplica a qualquer organização que trate dados de pessoas localizadas no Brasil, independentemente de onde a empresa está sediada, seja porque o tratamento ocorre no Brasil, os dados foram coletados aqui ou a finalidade é oferecer bens ou serviços a pessoas no país.

O Art. 52 prevê sanções administrativas da ANPD que vão de advertência e publicização da infração até multa simples ou diária de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados pessoais tratados irregularmente.

O Art. 41 exige que todo controlador indique um encarregado pelo tratamento de dados pessoais. A dispensa existe e está regulamentada: o art. 11 da Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte de indicar um encarregado, desde que mantenham um canal de comunicação com os titulares. A Resolução CD/ANPD nº 18/2024 detalha a atuação do encarregado. Fora dessa exceção, a indicação é obrigatória. A identidade e o contato do encarregado devem ser divulgados publicamente, de preferência no site (art. 41, § 1º).

A Resolução CD/ANPD nº 15/2024 exige que incidentes que possam acarretar risco ou dano relevante aos titulares sejam comunicados à ANPD e aos titulares em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais. Agentes de tratamento de pequeno porte têm o prazo em dobro. A comunicação deve incluir a natureza do incidente, os dados e titulares afetados, as medidas adotadas e os riscos envolvidos, e pode ser complementada em até 20 dias úteis. Todo incidente, mesmo quando não precisa ser comunicado, deve constar do registro de incidentes, mantido por pelo menos 5 anos.