O que é a LGPD? A lei de proteção de dados do Brasil explicada

O Brasil tem mais de 185 milhões de usuários de internet – a quinta maior população online do mundo – e um dos mercados de publicidade digital mais dinâmicos da América Latina. Para publishers e empresas de ad-tech que atendem audiências brasileiras, uma lei define as regras do jogo: a Lei Geral de Proteção de Dados (LGPD).

Promulgada em 2018 e em vigor desde setembro de 2020, a LGPD já superou sua fase introdutória. A autoridade de proteção de dados do Brasil, a ANPD (Autoridade Nacional de Proteção de Dados), tornou-se uma agência reguladora totalmente independente em fevereiro de 2026 e publicou prioridades de fiscalização que visam explicitamente o uso de dados pessoais para publicidade. Para publishers que ainda não alinharam suas práticas, a janela de conformidade está se fechando.

Este guia cobre tudo o que publishers precisam saber: as disposições centrais da LGPD, consentimento e bases legais, as orientações da ANPD sobre cookies e o que elas significam para o seu banner de consentimento, direitos dos titulares, fiscalização, como a lei difere do GDPR na prática e o que você deve fazer agora.

O Que É a LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é o estatuto abrangente de proteção de dados do Brasil. Inspirada no GDPR da União Europeia, ela estabelece um marco unificado para o tratamento de dados pessoais por pessoas físicas, empresas e autoridades públicas.

A lei define três papéis principais:

• Controlador – a entidade que decide por que e como os dados pessoais são tratados. Para publishers, este é tipicamente o operador do site ou aplicativo.
• Operador – a entidade que trata dados pessoais em nome do controlador, como um provedor de analytics ou fornecedor de ad-tech.
• Titular – a pessoa natural cujos dados pessoais estão sendo tratados.

A LGPD tem alcance extraterritorial. Ela se aplica sempre que:

• O tratamento de dados ocorre no Brasil
• O tratamento visa oferecer bens ou serviços a indivíduos localizados no Brasil, ou envolve o tratamento de dados de indivíduos localizados no Brasil
• Os dados pessoais foram coletados no Brasil

Isso significa que qualquer publisher ou plataforma de anúncios com tráfego brasileiro está sujeito à lei, independentemente de onde a empresa esteja sediada.

Princípios Fundamentais

O Artigo 6 da LGPD estabelece dez princípios que regem todo tratamento de dados pessoais:

1. Finalidade – o tratamento deve servir a propósitos legítimos, específicos e explícitos informados ao titular
2. Adequação – o tratamento deve ser compatível com a finalidade informada
3. Necessidade – o tratamento deve ser limitado ao mínimo necessário (minimização de dados)
4. Livre Acesso – os titulares devem ter acesso fácil e gratuito a informações sobre como seus dados são tratados
5. Qualidade dos Dados – os dados pessoais devem ser precisos, claros, relevantes e atualizados
6. Transparência – informações claras, precisas e facilmente acessíveis sobre o tratamento devem ser fornecidas
7. Segurança – medidas técnicas e administrativas devem proteger os dados pessoais
8. Prevenção – medidas devem ser adotadas para prevenir danos decorrentes do tratamento de dados
9. Não Discriminação – os dados não devem ser tratados para fins discriminatórios ou abusivos
10. Responsabilização e Prestação de Contas – os controladores devem demonstrar conformidade

Para publishers, o efeito prático é que toda atividade de tratamento de dados – desde a configuração de cookies até o envio de bid requests – deve ter uma finalidade clara, ser limitada ao estritamente necessário e ser transparente para o usuário.

Bases Legais para o Tratamento

A LGPD prevê dez bases legais para o tratamento de dados pessoais no Artigo 7 – mais que as seis do GDPR. As mais relevantes para publishers são:

• Consentimento – manifestação livre, informada e inequívoca do titular
• Legítimo interesse – necessário para os interesses legítimos do controlador ou de terceiro, desde que não prevaleçam sobre os direitos do titular
• Execução de contrato – necessário para a execução de contrato do qual o titular seja parte
• Obrigação legal – cumprimento de obrigação legal ou regulatória

As seis bases legais restantes – administração pública, pesquisa, exercício de direitos, proteção da vida, tutela da saúde e proteção ao crédito (exclusiva do Brasil) – são menos relevantes no contexto de ad-tech, mas contribuem para a maior flexibilidade da LGPD em comparação com o GDPR.

Por Que o Consentimento É o Mais Importante para Publicidade

Embora o legítimo interesse esteja disponível como base legal, as prioridades de fiscalização da ANPD para 2026-2027 visam explicitamente o uso de dados pessoais para publicidade e perfilamento. Mais importante, as orientações da ANPD sobre cookies (abordadas abaixo) deixam claro que o consentimento é a base legal recomendada para cookies não essenciais, incluindo aqueles usados para publicidade comportamental, rastreamento entre sites e perfilamento de audiência.

O legítimo interesse pode sustentar algumas atividades operacionais – detecção de fraude, analytics básico com dados agregados, monitoramento de segurança – mas depender dele para cookies relacionados à publicidade implica risco regulatório crescente. Publishers devem se planejar para o consentimento como base legal primária para o tratamento de dados para publicidade no Brasil.

Requisitos de Consentimento

Quando o consentimento é utilizado como base legal, a LGPD estabelece um padrão elevado. Nos Artigos 7 e 8, o consentimento válido deve ser:

• Livre – o titular deve ter uma escolha genuína; o consentimento não pode ser condição para acessar um serviço, a menos que o tratamento seja necessário para esse serviço
• Informado – o titular deve entender com o que está consentindo
• Inequívoco – indicado por meio de uma ação afirmativa clara
• Específico quanto à finalidade – autorizações genéricas para tratamento amplo de dados são nulas
• Documentado – o ônus da prova recai sobre o controlador

Quando o consentimento é dado por escrito, deve constar em cláusula destacada das demais cláusulas contratuais. O titular tem o direito de revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado.

Para publishers que utilizam cookies e tecnologias de rastreamento: caixas pré-marcadas, banners do tipo “ao continuar navegando” e consentimento por rolagem de página não são válidos. Cada finalidade de tratamento – analytics, publicidade personalizada, rastreamento entre sites – deve ter sua própria solicitação de consentimento. O consentimento deve ser obtido antes do início da coleta de dados.

Orientações da ANPD sobre Cookies: Como Deve Ser o Seu Banner

Em outubro de 2022, a ANPD publicou um guia detalhado sobre o uso de cookies e tecnologias de rastreamento similares. Esta é a referência mais importante para publishers que configuram banners de consentimento para visitantes brasileiros – e, ainda assim, a maioria dos conteúdos sobre LGPD simplesmente a ignora.

O guia estabelece uma abordagem em duas camadas para o consentimento de cookies:

Primeira Camada: O Banner Inicial

A ANPD recomenda que o banner inicial de cookies inclua:

• Três botões com igual destaque: Rejeitar Todos, Configurar Preferências e Aceitar Todos. Os botões de rejeitar e aceitar devem ter o mesmo peso visual – tornar a opção de rejeitar menos visível, menor ou mais difícil de encontrar é considerado um dark pattern.
• Uma breve explicação sobre para que os cookies são usados no site
• Um link para a Política de Cookies completa
• Um link para exercício dos direitos dos titulares
• Idioma português – o banner deve estar em português para visitantes brasileiros

Segunda Camada: Controles Granulares

Quando o usuário clica em “Configurar Preferências”, deve ver um painel detalhado com:

• Toggles por categoria para cada tipo de cookie (analytics, funcionalidade, publicidade)
• Todas as categorias não essenciais desabilitadas por padrão (modelo opt-in)
• Descrições claras de cada categoria e sua finalidade
• Informações sobre os períodos de retenção dos cookies
• Identificação de cookies primários vs. cookies de terceiros em cada categoria

Práticas Irregulares Apontadas pela ANPD

O guia identifica especificamente práticas que a ANPD considera em desconformidade:

1. Exibir apenas um botão “Aceitar” sem opção de rejeitar
2. Tornar o botão de rejeitar menos destacado que o de aceitar (menor, cor diferente, escondido)
3. Impedir ou dificultar a rejeição de cookies não necessários
4. Habilitar cookies não essenciais por padrão antes do consentimento
5. Não oferecer controles granulares na segunda camada
6. Não disponibilizar mecanismo para exercício dos direitos dos titulares
7. Dificultar a alteração das preferências de cookies após a escolha inicial
8. Exibir a política de cookies apenas em idioma estrangeiro
9. Granularidade excessiva que causa fadiga de decisão
10. Vincular o consentimento à aceitação total dos termos de uso (cookie walls)

Se o seu banner de cookies atual para visitantes brasileiros consiste em um único botão “OK” ou “Entendi” – como ainda é comum em muitos grandes sites de publishers brasileiros – ele não atende às recomendações da ANPD.

Como Isso Se Relaciona com o TCF

Se você já usa uma CMP compatível com o TCF para visitantes europeus, a boa notícia é que o modelo de consentimento por fornecedor do TCF é mais granular do que o exigido pela ANPD. Uma CMP que atende aos padrões do TCF pode satisfazer os requisitos de consentimento por categoria da LGPD – mas ainda precisa ser configurada adequadamente para visitantes brasileiros. Especificamente, deve exibir o banner em português, apresentar os botões de rejeitar/configurar/aceitar com igual destaque, incluir um link para direitos dos titulares e manter os cookies não essenciais desativados por padrão. Sua CMP deve gerenciar essas configurações regionais automaticamente com base na localização do visitante.

Como a LGPD Difere do GDPR na Prática

Se você já está em conformidade com o GDPR, muitos conceitos da LGPD serão familiares. Mas as diferenças práticas importam – especialmente na forma como você configura o gerenciamento de consentimento.

Configurando Sua CMP para Visitantes Brasileiros

Publishers com audiências globais precisam que sua CMP esteja configurada para os requisitos específicos de cada região. Para visitantes brasileiros, isso significa:

• Idioma português para todo o texto de consentimento, botões e política de cookies
• Igual destaque dos botões para as opções de rejeitar, configurar e aceitar
• Cookies não essenciais desativados por padrão (modelo opt-in)
• Link para direitos dos titulares no banner
• Controles granulares por categoria na segunda camada

Uma CMP multi-regulação gerencia essas configurações regionais automaticamente, detectando a localização do visitante e exibindo a experiência de consentimento adequada – seja um fluxo compatível com o TCF para visitantes da UE, um fluxo configurado para a LGPD para visitantes brasileiros ou uma experiência em conformidade com o CCPA para californianos.

Direitos dos Titulares

O Artigo 18 da LGPD confere aos titulares nove direitos:

1. Confirmação – o direito de confirmar se seus dados pessoais estão sendo tratados
2. Acesso – o direito de acessar seus dados pessoais mantidos pelo controlador
3. Correção – o direito de ter dados incompletos, inexatos ou desatualizados corrigidos
4. Anonimização, bloqueio ou eliminação – para dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
5. Portabilidade dos dados – o direito de transferir dados pessoais a outro controlador
6. Eliminação de dados consentidos – quando o consentimento é revogado
7. Informação sobre compartilhamento – o direito de saber quais entidades receberam seus dados
8. Informação sobre consequências do consentimento – o direito de entender as consequências de recusar o consentimento
9. Revogação do consentimento – o direito de revogar o consentimento a qualquer momento

Os controladores devem responder a essas solicitações em prazo razoável, de forma clara e completa, e sem custos para o titular. Para publishers, isso significa ter processos operacionais para lidar com solicitações de acesso, correção e eliminação de usuários brasileiros. Se você já atende DSARs para o GDPR, o processo da LGPD será familiar – embora os direitos específicos e os prazos sejam diferentes.

Dados Sensíveis

A LGPD define dados pessoais sensíveis (Artigo 5, II) como dados relativos a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos. O Artigo 11 rege como dados sensíveis podem ser tratados, e uma restrição fundamental se aplica: o legítimo interesse não pode ser usado como base legal para o tratamento de dados sensíveis. Apenas o consentimento ou exceções legais específicas (obrigação legal, saúde pública, pesquisa, prevenção de fraude) estão disponíveis.

Para publishers, a implicação é direta: se suas operações de ad-tech envolvem categorias que possam ser classificadas como dados sensíveis – segmentação de conteúdo de saúde, segmentos de interesse político, rastreamento de localização precisa – você deve se basear no consentimento, não no legítimo interesse.

ANPD e Fiscalização

A Autoridade Nacional de Proteção de Dados (ANPD) é a autoridade de proteção de dados do Brasil, responsável por interpretar, supervisionar e fiscalizar o cumprimento da LGPD.

Independência da ANPD: Um Ponto de Virada

Em fevereiro de 2026, a Lei 15.352/2026 transformou formalmente a ANPD em uma agência reguladora independente com autonomia funcional, técnica, decisória, administrativa e financeira plenas. Esse é um marco significativo. Anteriormente, a ANPD operava como órgão subordinado com independência e recursos limitados, o que restringia sua capacidade de fiscalização.

A ANPD agora independente está preenchendo 200 novos cargos de especialistas. Seu arsenal de fiscalização inclui o poder de suspender ou proibir atividades de tratamento conforme o Artigo 52, e sua nova equipe de inspeção tem poderes operacionais para ordenar o encerramento de operações e apreender bens durante investigações.

Estrutura de Penalidades

O quadro de sanções da LGPD no Artigo 52 inclui:

• Advertência com prazo para adoção de medidas corretivas
• Multa simples de até 2% do faturamento da empresa no Brasil (excluídos tributos), limitada a R$50 milhões (~USD 10 milhões) por infração
• Multa diária para compelir a conformidade
• Publicização da infração
• Bloqueio ou eliminação dos dados pessoais envolvidos
• Suspensão parcial ou total do banco de dados ou da atividade de tratamento por até seis meses
• Proibição das atividades de tratamento

Embora as multas da LGPD sejam menores que os 4% do faturamento global do GDPR, o poder de suspender atividades de tratamento ou publicizar infrações pode ser igualmente disruptivo para o negócio de um publisher.

Prioridades de Fiscalização 2026-2027

A ANPD publicou suas áreas prioritárias para o biênio 2026-2027:

1. Direitos dos titulares – com atenção especial ao uso de dados sensíveis para publicidade e usos secundários de dados pessoais para publicidade direcionada
2. Proteção de crianças e adolescentes – verificação de idade, privacidade por padrão, bloqueio de conteúdo inadequado
3. Poder público – conformidade com a LGPD e compartilhamento de dados por entidades governamentais
4. IA e tecnologias emergentes – biometria, tratamento de alto risco, privacidade por design

A primeira prioridade é um sinal que publishers não devem ignorar: a ANPD está focando em como dados pessoais são usados para publicidade. Combinado com a nova independência da agência e recursos ampliados, o cenário de fiscalização no Brasil está mudando.

Transferência Internacional de Dados

A LGPD restringe transferências internacionais de dados pessoais nos Artigos 33-36. Para publishers que trabalham com fornecedores de ad-tech que tratam dados fora do Brasil, isso é diretamente relevante.

As transferências são permitidas quando:

• O país de destino oferece nível adequado de proteção de dados (conforme determinado pela ANPD)
• O controlador fornece garantias adequadas, incluindo Cláusulas Contratuais Padrão (SCCs) ou Normas Corporativas Globais (BCRs)
• O titular fornece consentimento específico e informado para a transferência

Um prazo crítico expirou em 23 de agosto de 2025: o fim do período de adaptação para implementação das SCCs aprovadas pela ANPD conforme a Resolução CD/ANPD nº 19/2024. Todas as transferências internacionais de dados agora devem utilizar SCCs aprovadas ou outro mecanismo válido.

Em janeiro de 2026, Brasil e UE firmaram uma decisão de adequação mútua, reconhecendo os respectivos marcos de proteção de dados como fornecendo proteção adequada. Isso simplifica os fluxos de dados entre as duas jurisdições, mas também cria responsabilidade adicional – ambos os lados se comprometeram com revisões periódicas do acordo.

Dados de Crianças e Adolescentes

A LGPD impõe proteções específicas para dados de crianças e adolescentes no Artigo 14:

• O tratamento de dados pessoais de crianças (menores de 12 anos) exige consentimento específico e em destaque de pelo menos um dos pais ou responsável legal
• O tratamento de dados de adolescentes (12-17 anos) deve ser realizado em seu melhor interesse, com escrutínio reforçado
• Os controladores devem empregar esforços razoáveis para verificar que o consentimento foi dado por um dos pais ou responsável
• A coleta de dados deve ser limitada ao estritamente necessário

As prioridades da ANPD para 2026-2027 visam explicitamente dados de crianças, particularmente no contexto do Estatuto Digital da Criança e do Adolescente (ECA Digital), que introduz requisitos adicionais para provedores de tecnologia. Publishers com conteúdo provavelmente acessado por menores devem implementar salvaguardas adequadas.

O Que Publishers Devem Fazer Agora

1. Implemente Gerenciamento de Consentimento em Conformidade com a LGPD

Implemente uma CMP que atenda visitantes brasileiros com um fluxo de consentimento que siga as recomendações da ANPD: idioma português, três botões com igual destaque (rejeitar/configurar/aceitar), toggles por categoria com cookies não essenciais desativados por padrão e um mecanismo persistente para alteração de preferências. Se você já usa uma CMP para o GDPR, certifique-se de que ela suporta fluxos segmentados por geolocalização que exibam o banner adequado com base na localização do visitante.

2. Faça uma Auditoria das Suas Práticas de Dados

Mapeie todos os dados pessoais coletados de usuários brasileiros – cookies, identificadores de dispositivo, endereços IP, dados comportamentais e dados transmitidos em leilões programáticos. Documente a base legal para cada atividade de tratamento e identifique todos os terceiros que recebem dados.

3. Nomeie um Encarregado de Proteção de Dados

A LGPD exige que os controladores nomeiem um Encarregado (DPO). A Resolução ANPD nº 2/2022 isenta agentes de tratamento de pequeno porte – microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados – desde que mantenham um canal de comunicação para os titulares. Contudo, essa isenção não se aplica se o agente de pequeno porte realizar tratamento de alto risco (tratamento em larga escala ou tratamento que possa afetar significativamente direitos fundamentais). A maioria dos publishers com tráfego brasileiro relevante precisará nomear um Encarregado. Publique as informações de contato do Encarregado e certifique-se de que ele possa atender solicitações de titulares e interagir com a ANPD.

4. Atualize os Avisos de Privacidade

Elabore políticas de privacidade e cookies claras, em português, que descrevam quais dados você coleta, a base legal para cada atividade de tratamento, quais terceiros recebem dados e como os titulares podem exercer seus direitos.

5. Revise as Transferências Internacionais de Dados

Confirme que SCCs aprovadas pela ANPD ou outros mecanismos válidos de transferência estão em vigor para todos os fluxos internacionais de dados envolvendo dados pessoais de usuários brasileiros.

6. Estruture Processos para Direitos dos Titulares

Implemente fluxos de trabalho para atender solicitações de acesso, correção, eliminação, portabilidade e revogação de consentimento de usuários brasileiros. Se você já tem processos de DSAR para o GDPR, estenda-os para cobrir os direitos específicos da LGPD.

Como o Clickio Consent Ajuda na Conformidade com a LGPD

O Clickio Consent é uma plataforma de gerenciamento de consentimento multi-regulação desenvolvida para publishers. Ele oferece as funcionalidades necessárias para atender aos requisitos da LGPD em conjunto com sua conformidade existente com o GDPR.

Fluxos de Consentimento Multi-Regulação com Segmentação Geográfica

O Clickio Consent gerencia múltiplos marcos regulatórios a partir de uma única implementação. Ele detecta automaticamente a localização do visitante e exibe a experiência de consentimento adequada – fluxos compatíveis com o TCF para visitantes da UE/EEE e fluxos apropriados para a LGPD para visitantes brasileiros – eliminando a necessidade de implantações separadas de CMP.

Suporte Multi-Idioma

Com suporte para mais de 26 idiomas, incluindo português, o Clickio Consent pode atender visitantes brasileiros com uma experiência de consentimento totalmente localizada – atendendo à exigência da ANPD de que as informações sobre cookies sejam fornecidas no idioma do usuário.

Coleta de Consentimento por Finalidade

O Clickio Consent apresenta aos usuários escolhas claras para cada categoria de tratamento de dados – analytics, publicidade personalizada, rastreamento entre sites – em vez de agrupar tudo em uma única ação de “aceitar todos”. Isso está alinhado com a exigência da LGPD de consentimento específico por finalidade e com as orientações da ANPD sobre controles por categoria.

Registro de Consentimento

A LGPD atribui ao controlador o ônus de provar que o consentimento válido foi obtido. O Clickio Consent mantém automaticamente um registro completo de auditoria dos eventos de consentimento – quando o consentimento foi dado, para quais finalidades e quando foi revogado.

Google Consent Mode v2

Para publishers que usam Google Ad Manager, AdSense ou Google Analytics, o Clickio Consent comunica os sinais de consentimento diretamente aos serviços do Google via Consent Mode v2, garantindo que a veiculação de anúncios e o analytics se ajustem automaticamente com base no status de consentimento de cada usuário.

Perguntas Frequentes

A LGPD se aplica a publishers fora do Brasil?

Sim. A LGPD tem alcance extraterritorial. Se você coleta dados pessoais de indivíduos localizados no Brasil – mesmo por meio de cookies configurados quando um usuário brasileiro visita seu site – a lei se aplica independentemente de onde sua empresa esteja sediada.

Posso usar a mesma CMP para visitantes da UE e do Brasil?

Sim – você precisa de uma CMP, mas ela deve ser configurada de forma diferente para cada região. Visitantes brasileiros precisam de idioma português, layout de botões em conformidade com a ANPD e um link para direitos dos titulares. Uma CMP multi-regulação detecta a localização do visitante e exibe a configuração correta automaticamente.

A fiscalização da LGPD está se intensificando?

Sim. A ANPD conquistou independência plena em fevereiro de 2026, está preenchendo 200 novos cargos de especialistas e publicou prioridades de fiscalização que visam explicitamente o uso de dados pessoais para publicidade. Publishers que organizarem seu gerenciamento de consentimento agora estarão bem posicionados à medida que a fiscalização se intensificar.

Como a LGPD é diferente do GDPR?

Os princípios centrais são semelhantes, mas as diferenças práticas importam para publishers. A LGPD tem 10 bases legais (vs. 6), exige banners de consentimento em português com requisitos de design específicos da ANPD, exige um Encarregado para a maioria dos controladores (com isenções para agentes de tratamento de pequeno porte) e inclui tanto penalidades monetárias quanto o poder de suspender atividades de tratamento de dados. Veja a tabela comparativa acima para detalhes.

E o CCPA – preciso cumprir essa lei também?

Se você atende tráfego dos EUA, o CCPA provavelmente também se aplica. Cada lei de privacidade tem seus próprios requisitos, por isso uma CMP multi-regulação é a abordagem mais prática para publishers com audiência global.

Conclusão

A LGPD do Brasil rege um dos maiores mercados digitais do mundo, e o cenário regulatório está evoluindo rapidamente. Com a ANPD agora operando como agência totalmente independente e prioridades de fiscalização visando explicitamente práticas de dados relacionadas à publicidade, a janela de conformidade para publishers está se fechando.

A boa notícia é que, se você já tem uma CMP implementada para o GDPR, estendê-la para cobrir a LGPD é simples – trata-se de configurar a experiência de consentimento correta para visitantes brasileiros: idioma português, design de banner em conformidade com a ANPD e coleta adequada de consentimento. Uma CMP multi-regulação pode gerenciar a LGPD junto com sua conformidade existente com o GDPR e o CCPA a partir de uma única implementação.

O momento de agir é agora. Faça uma auditoria das suas práticas de dados, implemente gerenciamento de consentimento em conformidade com a LGPD para seu tráfego brasileiro e garanta que seus avisos de privacidade e processos de direitos dos titulares estejam prontos.