A LGPD protege os dados de quem?

18 de setembro de 2026LGPD de Todos14 min de leitura

A LGPD protege os dados da pessoa natural viva, e só. Essa é a linha inteira. Empresa não entra, quem morreu saiu, e todo o resto que parece dúvida é alguém testando essa mesma linha por um lado diferente: a criança entra com regra a mais, a pessoa idosa entra sem regra a mais, a ficha de papel entra do mesmo jeito que o sistema, e o dado que já era público não sai da lei por ser público.

Vale separar duas perguntas que quase todo material trata como uma. "A quem a lei se aplica" é sobre quem tem obrigação de cumprir, e a resposta está nos Arts. 3º e 4º, em o que é a LGPD. "De quem são os dados protegidos" é outra coisa, é sobre quem é titular, e a resposta está no Art. 5º, V. Este texto responde a segunda, que é a que produz as dúvidas de verdade no dia a dia de uma empresa.

1. A linha, em uma frase

A lei protege pessoa, e pessoa na lei quer dizer gente viva. Os dois artigos que desenham isso são curtos e vale ler os dois juntos, porque separados cada um parece dizer menos do que diz.

Repare que "pessoa jurídica" aparece nesse artigo, e é justamente aí que quase todo mundo se perde. Ela aparece como quem trata, não como quem é protegido. A empresa está na lei na posição de quem tem obrigação. Quem a lei protege, na última linha do artigo, é a personalidade da pessoa natural.

Dessas duas frases sai tudo o que vem a seguir. A tabela põe a linha à prova nos oito casos que mais aparecem em pesquisa e em conversa de balcão.

2. Empresa não é titular, mas a sua base empresarial é cheia de gente

CNPJ, razão social, faturamento e endereço da sede não são dados pessoais. Quem vende só para empresa costuma ouvir isso e respirar aliviado. O alívio dura até a primeira vez que alguém abre a planilha de clientes e olha as colunas.

Porque a coluna do CNPJ é só uma. Do lado dela estão o nome do comprador, o celular dele, o e-mail corporativo com nome e sobrenome, o CPF do sócio que assinou o contrato, o nome de quem recebe a nota e o histórico de quem ligou reclamando. Todos esses são dados de pessoas naturais, e cada um deles precisa de base legal, de finalidade e de prazo, exatamente como em uma loja de bairro.

A regra prática que resolve a maioria dos casos é simples: pergunte se o dado aponta para alguém. Se aponta para uma pessoa, é dado pessoal, e o crachá de empresa em volta não muda isso. O endereço contato@empresa.com.br não identifica ninguém sozinho. joao.silva@empresa.com.br identifica.

Existe ainda um caso de fronteira que confunde muita gente, e ele é mais comum no Brasil do que em outros lugares: o microempreendedor individual. O CNPJ do MEI está atrelado ao CPF de uma pessoa, e a razão social costuma ser o nome dela. Ali, o que parece dado de empresa identifica uma pessoa natural, e passa a ser dado pessoal pelo Art. 5º, I. Vale o mesmo para o empresário individual e para boa parte dos profissionais autônomos com CNPJ. O texto sobre o MEI e a LGPD trata do outro lado dessa moeda, que é quando o MEI é quem tem a obrigação.

E o Art. 12, § 2º fecha uma porta que alguém sempre tenta abrir: dados usados para formar o perfil comportamental de uma pessoa natural identificada podem ser considerados dados pessoais, mesmo que isoladamente não pareçam. Juntar migalhas até desenhar alguém não transforma a pessoa em estatística.

3. Quem morreu saiu da lei, e o que ficou no lugar

Os dados de uma pessoa falecida não são dados pessoais para a LGPD. Quem disse isso não foi um comentarista, foi a própria autoridade, em resposta a uma pergunta bem concreta.

Em 2023, a Polícia Rodoviária Federal quis publicar no site dela um memorial com nome, sobrenome, foto e tempo de serviço de servidores já falecidos, para homenageá-los, e perguntou à ANPD se a LGPD atrapalhava. A resposta veio em nota técnica.

O caminho do raciocínio é curto. O Art. 5º, V define titular como pessoa natural, e o Art. 6º do Código Civil diz que a existência da pessoa natural termina com a morte. Sem pessoa natural, não há titular, e sem titular a lei não tem a quem proteger. A nota compara com a lei europeia, que exclui o falecido no Considerando 27 e deixa cada país decidir, e registra que os projetos de lei brasileiros sobre herança digital seguem parados no Congresso. Enquanto isso não muda, a resposta é a que está acima.

O que ficou no lugar da LGPD são três coisas, e nenhuma delas é pequena.

A primeira: o Código Civil protege o nome e a imagem, e o Art. 12, parágrafo único dá legitimidade ao cônjuge sobrevivente e a parente em linha reta ou colateral até o quarto grau para exigir que a lesão cesse. A própria nota da ANPD diz que são esses os instrumentos adequados, e não a proteção de dados. Usar a foto de um cliente falecido em uma peça de publicidade continua sendo problema, só que de outra lei.

A segunda, e é a que mais pega empresa desprevenida: a ficha de quem morreu quase nunca fala só dele. Ela traz o telefone do filho, o nome do cônjuge, o contato de emergência e, na área da saúde, o histórico familiar de doença. Essas pessoas estão vivas, são titulares, e para elas a lei vale inteira. Tratar o cadastro como liberado porque o titular morreu é o caminho mais curto entre uma pergunta simples e um incidente.

A terceira: morte não apaga prazo de guarda de outras leis. Obrigação fiscal continua, prazo de prontuário continua, e quem manda ali é a lei de cada setor. O texto sobre por quanto tempo guardar os dados percorre esses prazos, e o texto sobre LGPD para clínicas e consultórios trata do caso do prontuário, que tem prazo próprio de vinte anos.

4. Criança, adolescente e pessoa idosa

A LGPD só separa por idade em um lugar, e esse lugar é o Art. 14. Fora dele, todo adulto é titular igual, com os mesmos direitos e sem etapa a mais.

Duas coisas dessa passagem costumam passar batidas. A primeira é que o melhor interesse vale para criança e adolescente, enquanto o consentimento dos pais é exigido para criança. A segunda é que o artigo não existe sozinho: ele manda aplicar também a legislação pertinente, e ali entram o Estatuto da Criança e do Adolescente e, desde 2025, o ECA Digital. O detalhe está em dados de crianças e adolescentes na LGPD e em o ECA Digital se aplica à minha empresa.

Do outro lado da vida, a pergunta aparece com frequência e a resposta desaponta quem espera regra especial: a LGPD não dá à pessoa idosa um regime próprio. Ela é titular como qualquer adulto, com os direitos do Art. 18 e nada além. O Estatuto da Pessoa Idosa protege outros aspectos da vida dela, mas não muda a régua de proteção de dados.

O que muda de verdade é a prática, e aí a diferença é grande. O princípio do livre acesso e a exigência de informação clara, adequada e ostensiva pesam mais quando a pessoa tem menos familiaridade com tela. Um canal de atendimento ao titular que só existe como formulário na internet cumpre a lei no papel e falha com metade das pessoas que precisariam usá-lo. O texto sobre a LGPD e os dados de pessoas idosas percorre esse ponto com calma.

5. O papel conta, e o dado público não sai da lei

Duas crenças sobrevivem à leitura da lei e derrubam adequação: a de que a LGPD é assunto de internet, e a de que dado público é terra de ninguém. As duas caem no mesmo artigo de abertura e em um parágrafo do Art. 7º.

Sobre o papel, a palavra que resolve está no Art. 1º, e é inclusive. A lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais. Inclusive quer dizer "também", e não "apenas". Ficha de cadastro preenchida à mão, caderno de fiado, livro de visitantes na portaria, prontuário de papel, lista impressa no balcão e pasta no arquivo de aço são tratamento de dados pessoais, com as mesmas obrigações de qualquer sistema.

Essa é a parte que mais fica de fora da adequação, e não por má fé: ninguém pensa na gaveta como banco de dados. O teste é o mesmo do sistema, e são três perguntas. Quem tem acesso àquela gaveta. Por quanto tempo aquele papel fica ali. O que acontece com ele quando o prazo acaba.

Sobre o dado público, a confusão é com o Art. 7º, § 4º, que dispensa o consentimento para dados tornados manifestamente públicos pelo titular. Dispensa de consentimento não é dispensa da lei, e o parágrafo anterior deixa isso claro.

Ou seja, a finalidade original limita o uso novo. Um telefone que a pessoa publicou para receber contato de cliente não vira lista de disparo de campanha só porque estava visível. E o § 4º, mesmo dispensando o consentimento, ressalva expressamente os direitos do titular e os princípios da lei, o que mantém de pé a finalidade, a necessidade e o direito de oposição. Raspar página aberta para montar base continua sendo tratamento, com todas as obrigações de um. O texto sobre promoção por WhatsApp e e-mail mostra o que sustenta um envio e o que não sustenta.

6. O que fazer com isso na segunda de manhã

A linha só serve se virar uma pergunta que a sua equipe faz sozinha. E ela cabe em uma frase: esse dado aponta para alguém vivo? Se aponta, é dado pessoal, e o resto da adequação se aplica.

1. Abra a sua lista de clientes e conte as colunas de gente. Se você vende para empresa, o exercício é revelador: quase sempre há mais colunas de pessoa do que de CNPJ.
2. Inclua o papel no inventário. Gaveta, pasta, caderno e prancheta entram na mesma lista do sistema, com as mesmas três perguntas de acesso, prazo e descarte.
3. Marque onde há menor de idade. Se houver, o Art. 14 muda o jogo e o consentimento dos pais entra em cena para criança.
4. Olhe as bases que vieram de fonte pública. Pergunte para que aquele dado foi publicado, e se o seu uso cabe dentro daquela finalidade.
5. Pare de tratar cadastro de falecido como liberado. Olhe quem mais aparece naquela ficha, porque quase sempre aparece gente viva.

Nada disso exige software novo. Exige alguém percorrendo a lista com a pergunta certa na mão, e depois registrando o que foi decidido, que é o que sobra como prova quando alguém perguntar. O texto sobre como comprovar a adequação mostra o que serve de prova de verdade.

7. Perguntas frequentes

A LGPD protege os dados de empresas e o CNPJ?

Não protege. O Art. 1º diz que a lei existe para proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, e o Art. 5º, V define titular como a pessoa natural a quem os dados se referem. CNPJ, razão social, faturamento e endereço da sede não são dados pessoais. O detalhe que derruba quase toda empresa é outro: a base de clientes pessoa jurídica é cheia de dado pessoal, porque o nome do comprador, o e-mail dele e o telefone do sócio são dados de pessoas naturais. Não existe base empresarial sem gente dentro.

A LGPD se aplica aos dados de uma pessoa falecida?

Não se aplica. A ANPD firmou isso na Nota Técnica nº 3/2023/CGF/ANPD: os dados relativos a uma pessoa falecida não constituem dados pessoais para fins de LGPD. O caminho é o Art. 5º, V, que define titular como pessoa natural, somado ao Art. 6º do Código Civil, segundo o qual a existência da pessoa natural termina com a morte. Isso não libera fazer o que se quiser, porque nome e imagem seguem protegidos pelo Código Civil e a família tem legitimidade para reclamar. E a ficha de quem morreu quase sempre traz dado de gente viva, como o telefone do filho e o contato de emergência, e para essas pessoas a lei vale inteira.

A LGPD vale só para dados na internet?

Não. O Art. 1º diz que a lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais. A palavra é inclusive, e não apenas. Ficha de papel na gaveta, caderno de fiado, livro de visitantes na portaria, formulário preenchido à mão na recepção e a lista impressa no balcão são tratamento de dados pessoais, com as mesmas obrigações de um sistema. Essa é a parte que mais fica de fora da adequação, porque ninguém pensa no papel como banco de dados.

Dado que já é público continua protegido pela LGPD?

Continua. O Art. 7º, § 3º manda que o tratamento de dados cujo acesso é público considere a finalidade, a boa-fé e o interesse público que justificaram aquela disponibilização. O § 4º dispensa o consentimento para dados tornados manifestamente públicos pelo titular, mas ressalva os direitos dele e os princípios da lei. Ou seja, ter achado o telefone em uma página aberta não autoriza usá-lo para qualquer coisa: a finalidade original limita o uso novo, e raspar uma lista pública para montar base de disparo continua sendo tratamento com todas as obrigações.

A LGPD protege mais os dados de pessoa idosa?

A LGPD não cria um regime próprio por idade fora do Art. 14, que trata de criança e de adolescente. A pessoa idosa é titular como qualquer adulto, com os mesmos direitos do Art. 18 e sem etapa a mais. O que muda é a prática: o princípio do livre acesso e a exigência de informação clara e adequada pesam mais quando a pessoa tem menos familiaridade com tela, e um canal que só existe em formulário na internet atende mal quem prefere telefone ou balcão.

Quem é o titular de dados pessoais na LGPD?

É a pessoa natural a quem se referem os dados objeto de tratamento, pelo Art. 5º, V. Na prática da empresa, isso inclui cliente, funcionário, candidato a vaga, fornecedor pessoa física, sócio de cliente pessoa jurídica, visitante do site e quem aparece na câmera. O Art. 17 reforça dizendo que toda pessoa natural tem assegurada a titularidade dos seus dados pessoais, e é desse ponto que partem os direitos do Art. 18. Titular não é quem coletou nem quem guarda: é sempre a pessoa de quem o dado fala.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 1º, 5º, I e V, 6º, 7º, §§ 3º e 4º, 12, § 2º, 14, 17 e 18 · Lei nº 10.406/2002 (Código Civil), Arts. 6º, 12 e 20 · Nota Técnica nº 3/2023/CGF/ANPD

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.