A LGPD foi sancionada em 2018, entrou em vigor em 2020 e teve sanções aplicáveis a partir de 2021. Entenda a diferença entre essas datas e organize a adequação da sua empresa.

Você administra uma loja virtual e encontra uma política de privacidade antiga enquanto tenta responder a uma solicitação de cliente. Ou recebe uma cobrança de fornecedor sobre segurança e surge a dúvida: a LGPD foi criada em 2018, começou a valer em 2020 ou só passou a importar quando vieram as sanções? A resposta curta é 2018 para a criação, mas essa informação isolada não orienta uma decisão atual. Também é preciso distinguir a data de publicação, a entrada em vigor das obrigações e o momento em que as sanções administrativas se tornaram aplicáveis. Essa diferença ajuda a escolher a referência adequada ao revisar cadastros, campanhas, contratos, sistemas e procedimentos.

Neste guia, a cronologia será separada das consequências práticas e de um plano de trabalho mensurável, para que a resposta à pergunta “quando foi criada a LGPD” não termine em uma informação histórica sem utilidade operacional.

Principais pontos

• A Lei Geral de Proteção de Dados foi sancionada em 14 de agosto de 2018 e publicada no Diário Oficial da União em 15 de agosto de 2018.
• A entrada em vigor da maior parte da LGPD ocorreu em 18 de setembro de 2020, após alterações no calendário originalmente previsto.
• As sanções administrativas passaram a ser aplicáveis em 1º de agosto de 2021, conforme alteração legislativa específica, mas a adequação não começou apenas quando as multas passaram a existir.
• Uma política de privacidade ajuda a comunicar práticas, mas não substitui controles, decisões documentadas e execução cotidiana.
• A reutilização de dados em campanhas depende da finalidade original, da base legal, da compatibilidade e das circunstâncias do tratamento; não há proibição ou autorização automática apenas pela existência de uma finalidade documentada.
• Um diagnóstico de maturidade permite ordenar as primeiras ações sem exigir que uma pequena empresa resolva todos os riscos simultaneamente.

Quando a LGPD foi criada e por que existem várias datas importantes?

A Lei Geral de Proteção de Dados Pessoais foi instituída pela Lei nº 13.709, de 14 de agosto de 2018. Essa é a data da sanção presidencial e costuma ser usada para responder quando a LGPD foi criada. A publicação no Diário Oficial da União ocorreu em 15 de agosto de 2018, diferença que deve ser preservada quando a informação for usada em um contrato, parecer, linha do tempo regulatória ou material técnico. A consulta ao texto oficial da lei no Portal Planalto e ao registro do Diário Oficial deve prevalecer sobre resumos que tratem as duas datas como se fossem necessariamente iguais.

A publicação torna a norma oficialmente conhecida, mas não significa que todas as suas regras passem a ser exigíveis no mesmo dia. A própria lei previu um período de adaptação, chamado vacatio legis. O calendário também foi alterado durante a tramitação de medidas legislativas posteriores. Por isso, uma linha do tempo responsável não deve misturar a data em que a lei nasceu com a data em que suas obrigações começaram a produzir efeitos.

A maior parte da LGPD entrou em vigor em 18 de setembro de 2020. O prazo originalmente previsto foi ampliado para 24 meses pela Lei nº 13.853/2019. Houve ainda tentativa de novo adiamento por medida provisória, mas o calendário que prevaleceu para a entrada em vigor geral foi o de 18 de setembro de 2020. Essa referência é a mais importante para avaliar, hoje, se um tratamento de dados pessoais está sendo realizado de acordo com a lei.

As sanções administrativas previstas na LGPD passaram a ser aplicáveis em 1º de agosto de 2021. A diferença em relação à vigência geral resultou da alteração promovida pela Lei nº 14.010/2020, que adiou especificamente a aplicação das penalidades administrativas. Esse adiamento não suspendeu todas as obrigações de proteção de dados nem criou um período em que a empresa pudesse tratar dados sem cuidado. Ele apenas separou temporalmente a exigibilidade geral da lei e a aplicação desse conjunto específico de sanções.

Assim, as três referências respondem a perguntas diferentes: 14 de agosto de 2018 indica a sanção e a criação da lei; 15 de agosto de 2018 indica sua publicação oficial; 18 de setembro de 2020 marca a entrada em vigor da maior parte das regras; e 1º de agosto de 2021 marca o início da aplicabilidade das sanções administrativas. A data histórica esclarece o contexto, mas a operação atual deve ser analisada à luz do texto vigente e das normas e orientações aplicáveis da ANPD.

O que muda para a empresa entre a criação da lei e a obrigação atual?

Depois de separar as datas, a pergunta prática deixa de ser apenas quando a LGPD foi criada e passa a ser: quais operações de tratamento a empresa realiza agora e quais regras incidem sobre elas? Tratamento inclui coletar, produzir, receber, classificar, utilizar, acessar, armazenar, compartilhar, eliminar ou realizar outras operações com dados pessoais. Uma loja virtual trata dados ao receber nome, endereço, contato e informações necessárias para processar e entregar uma compra. Uma empresa também pode tratar dados em currículos, folha de pagamento, atendimento, gravações, controles de acesso e ferramentas em nuvem.

A aplicação da lei não depende de a empresa vender cadastros. A ausência de comercialização não elimina os riscos de acesso indevido, uso incompatível, retenção excessiva ou compartilhamento sem transparência. Uma planilha exportada do sistema de vendas e armazenada em um computador compartilhado pode ser um problema de segurança mesmo que nenhum dado seja vendido. Da mesma forma, um fornecedor de hospedagem, atendimento, contabilidade ou marketing pode participar do fluxo e precisa ser considerado na análise.

O porte pode influenciar a complexidade, o custo e a forma de implementação, mas não é uma dispensa geral. Empresas de pequeno porte podem observar regras específicas e medidas simplificadas quando aplicáveis, sem deixar de avaliar finalidade, segurança, direitos dos titulares e responsabilidades. A proporcionalidade deve ser demonstrada pelo risco e pela realidade do negócio, não presumida apenas pelo número de empregados.

A finalidade precisa ser definida antes ou no contexto da coleta e deve ser compatível com o uso efetivamente realizado. Isso não significa que todo uso posterior seja automaticamente proibido. A reutilização de um dado em uma campanha exige examinar, entre outros elementos, a finalidade original, a base legal aplicável, a expectativa razoável do titular, a compatibilidade entre os usos, a transparência fornecida e a possibilidade de oposição ou exercício de direitos. Um e-mail usado para confirmar uma compra não se transforma automaticamente em autorização para publicidade, mas a conclusão jurídica depende das circunstâncias concretas e não de uma frase isolada.

As bases legais também não são intercambiáveis por conveniência. O consentimento deve ser livre, informado e inequívoco; quando utilizado, precisa estar vinculado a finalidades determinadas e pode ser revogado nos termos da lei. A execução de contrato, o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos, a proteção da vida, a tutela da saúde e o legítimo interesse são hipóteses distintas, com pressupostos próprios. Para dados pessoais sensíveis, o artigo 11 da LGPD traz disciplina específica e não basta copiar a justificativa usada para dados comuns.

A data de vigência importa porque fornece o marco para avaliar essas operações, mas não substitui a análise do caso concreto. A empresa deve identificar o papel que desempenha, verificar se atua como controladora ou operadora em cada fluxo e considerar as orientações atuais da ANPD. O resultado esperado desta seção não é uma lista de documentos, e sim um retrato confiável do que a empresa realmente faz com dados.

Quais controles demonstram uma adequação proporcional?

Uma adequação consistente transforma as conclusões jurídicas em responsabilidades, rotinas e evidências. O aviso de privacidade deve corresponder aos processos reais, mas não substitui uma matriz de acessos, uma regra de retenção ou um procedimento para incidentes. A direção precisa indicar quem aprova finalidades e riscos; a área de tecnologia deve controlar permissões e registros; recursos humanos deve cuidar dos fluxos de empregados e candidatos; compras ou jurídico deve avaliar contratos; e as equipes que atendem titulares precisam saber para onde encaminhar solicitações.

O primeiro controle é um inventário ou registro das operações prioritárias. Para cada fluxo, registre pelo menos as categorias de titulares e dados, a origem, a finalidade, a base legal considerada, os sistemas envolvidos, os destinatários, os fornecedores, o prazo ou critério de retenção, os acessos e os riscos principais. O registro não precisa ter formato único para toda empresa, mas deve ser atualizável e permitir que outra pessoa entenda a decisão sem depender da memória de quem participou da reunião.

O segundo controle é a governança de acesso. A empresa deve verificar se cada usuário precisa realmente acessar a informação, remover contas de pessoas desligadas, evitar credenciais compartilhadas e usar autenticação adequada ao risco. Cópias de segurança, atualização de sistemas, proteção de dispositivos e testes de restauração também fazem parte da segurança. O controle precisa ser verificável: por exemplo, uma revisão trimestral de usuários críticos só tem valor se houver responsável, data, resultado e correção registrada.

O terceiro controle é o atendimento aos titulares. A LGPD prevê direitos como confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação em hipóteses aplicáveis, portabilidade conforme regulamentação, informação sobre compartilhamentos e revogação do consentimento quando essa for a base utilizada. Esses direitos não significam que toda solicitação será atendida de forma irrestrita ou imediata em qualquer situação; é necessário validar a identidade, analisar o pedido, observar exceções e registrar a resposta. A empresa deve manter um canal funcional e um roteiro de triagem.

O quarto controle é a gestão de fornecedores. O contrato deve refletir o papel de cada parte, as instruções de tratamento, os requisitos de segurança, o apoio a solicitações de titulares, a subcontratação, a devolução ou eliminação de dados e a comunicação de ocorrências. Uma cláusula genérica não prova que o fornecedor foi avaliado. Para priorizar, comece por quem acessa dados sensíveis, grandes volumes, sistemas essenciais ou informações de clientes e empregados.

Em caso de incidente, não se deve comunicar automaticamente qualquer falha pelo mesmo procedimento nem deixar de comunicar um evento relevante por acreditar que toda ocorrência é interna. A necessidade, o prazo, o destinatário e o conteúdo da comunicação dependem da avaliação de risco, do tipo de dado, dos titulares afetados, da probabilidade de dano e da regulamentação vigente da ANPD. O plano deve prever contenção, preservação de evidências, identificação do responsável pela decisão, registro dos fatos e consulta ao procedimento oficial aplicável.

Como transformar as datas em um primeiro plano de adequação?

Os prazos de 30 e 90 dias usados neste roteiro não são prazos impostos pela LGPD. São referências internas para uma empresa que precisa começar e deve ajustá-las à capacidade da equipe, ao volume de dados e ao risco. Uma microempresa com poucos sistemas pode concluir um diagnóstico inicial em menos tempo; uma organização que trata dados de saúde, mantém grande base de clientes ou depende de muitos fornecedores pode precisar de uma etapa mais longa, apoio especializado e revisões adicionais.

Nos primeiros 30 dias, o objetivo deve ser produzir um diagnóstico mínimo confiável, e não declarar a empresa adequada. O entregável pode ser uma planilha ou registro contendo os fluxos prioritários, responsáveis, sistemas, categorias de dados, finalidades, bases legais preliminares, fornecedores, acessos e riscos. A conclusão só deve ser marcada quando os fluxos essenciais tiverem responsável identificado e quando as lacunas críticas estiverem classificadas por impacto e esforço.

Também nessa primeira fase, a empresa deve confirmar um canal para titulares, localizar a política de privacidade vigente, identificar contas com acesso privilegiado, verificar se existem bases exportadas sem controle e definir quem recebe relatos de incidentes. Se houver risco alto imediato, como acesso aberto a uma base sensível ou fornecedor sem controle sobre informações essenciais, a correção não deve esperar o fim dos 30 dias.

Até a segunda rodada, em aproximadamente 90 dias, o resultado esperado é diferente: transformar as prioridades em controles executados e evidenciados. Isso pode incluir revisão de permissões, atualização de avisos, ajustes contratuais com fornecedores críticos, procedimento de atendimento aos titulares, regra de retenção para os fluxos mais relevantes, treinamento da equipe e teste do plano de resposta a incidentes. A segunda rodada está concluída quando cada ação tem evidência, como registro de revisão, versão aprovada, contrato analisado, lista de presença ou resultado de teste.

A ordem deve ser adaptada ao risco. Um negócio de baixo volume, sem dados sensíveis e com poucos fornecedores pode começar com uma pessoa responsável, uma planilha de inventário, controles básicos de acesso e um canal de atendimento. Já uma clínica, fintech, empresa de recursos humanos ou plataforma que analisa grandes volumes pode precisar priorizar dados sensíveis, segregação de acesso, avaliação de impacto, contratos especializados e validação jurídica e técnica.

Para evitar um plano genérico, atribua a cada ação um responsável, uma data interna, um critério de conclusão e uma indicação de esforço. Uma escala simples de baixo, médio e alto esforço é suficiente para começar, desde que os critérios sejam aplicados de modo consistente. Registre também o motivo da prioridade: impacto potencial, probabilidade, dependência operacional ou exigência de fornecedor. A revisão deve ser periódica, porque novos produtos, campanhas, integrações e mudanças de fornecedor alteram o mapa de tratamento.

Perguntas frequentes

A LGPD foi criada em 2018 ou começou a valer em 2020?

As duas afirmações podem estar corretas, desde que se refiram a eventos diferentes. A Lei nº 13.709/2018 foi sancionada em 14 de agosto de 2018 e publicada no Diário Oficial da União em 15 de agosto de 2018. A maior parte da lei entrou em vigor em 18 de setembro de 2020.

Quando começaram a valer as sanções administrativas da LGPD?

As sanções administrativas previstas na LGPD passaram a ser aplicáveis em 1º de agosto de 2021, após alteração legislativa específica. Isso não significa que a proteção de dados só tenha se tornado relevante nessa data; a maior parte das obrigações já estava em vigor desde 18 de setembro de 2020.

A LGPD se aplica a pequenas empresas?

O porte, sozinho, não elimina a necessidade de avaliar a lei. Uma pequena empresa que coleta, armazena, usa ou compartilha dados pessoais deve analisar seus tratamentos, riscos e eventuais regras específicas aplicáveis à sua realidade. O porte pode influenciar a forma e a complexidade das medidas, mas não substitui a análise.

Minha empresa precisa se adequar mesmo que não venda dados pessoais?

Sim. A ausência de venda não encerra a análise. Cadastro de clientes, folha de pagamento, currículos, atendimento, armazenamento em nuvem, controles de acesso e envio de campanhas são exemplos de operações que podem envolver tratamento de dados pessoais.

Uma finalidade documentada impede o uso posterior do dado em campanhas?

Não existe uma resposta automática. O uso posterior exige examinar a finalidade original, a base legal, a compatibilidade entre os tratamentos, a expectativa do titular, a transparência e as circunstâncias concretas. Um dado coletado para uma compra não deve ser tratado como autorização universal para publicidade, mas a conclusão depende da análise jurídica do caso.

Ter uma política de privacidade significa que a empresa já está adequada?

Não. A política comunica práticas, mas precisa refletir processos reais. Também são necessários controles de acesso, gestão de fornecedores, atendimento aos titulares, retenção coerente, segurança, registro de decisões e revisão periódica.

Por onde uma pequena empresa deve começar a adequação à LGPD?

Comece mapeando os fluxos mais relevantes, identificando finalidades, bases legais, acessos, fornecedores e riscos. Em seguida, revise transparência, segurança e atendimento aos titulares, documente decisões e priorize correções conforme impacto, urgência e esforço. Prazos de 30 e 90 dias podem ser usados como referências internas, não como imposições da LGPD.

Todo incidente precisa ser comunicado à ANPD e aos titulares?

A empresa deve avaliar cada ocorrência. A necessidade, o prazo, o destinatário e o conteúdo da comunicação dependem do risco ou dano relevante, do tipo de dado, das pessoas afetadas e da regulamentação vigente da ANPD. O procedimento deve incluir contenção, investigação, registro e decisão fundamentada, sem tratar todos os incidentes como iguais.

Conclusão

Saber quando foi criada a LGPD é útil, mas a resposta completa exige distinguir criação, publicação, vigência e sanções. A lei foi sancionada em 14 de agosto de 2018, publicada no Diário Oficial em 15 de agosto de 2018, entrou em vigor em 18 de setembro de 2020 e teve as sanções administrativas aplicáveis a partir de 1º de agosto de 2021. Para a empresa, a referência mais produtiva hoje é a operação concreta: quais dados são tratados, para qual finalidade, com qual base legal, por quem, durante quanto tempo e com quais controles. Um plano interno de 30 e 90 dias pode organizar o trabalho, mas deve ser ajustado ao porte, ao risco e à capacidade disponível.

A adequação não se resume a publicar uma política; ela exige decisões coerentes, responsáveis definidos, segurança praticada, fornecedores acompanhados e revisão contínua.

Fontes

1. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
2. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
3. Aviso de Privacidade — ANPD. Agência Nacional de Proteção de Dados (ANPD). Exemplo oficial de como a ANPD estrutura um Aviso de Privacidade, informando sobre o tratamento de dados pessoais dos visitantes do site.
4. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
5. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.
6. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.