# Referência Normativa LGPD — Encode rígido

Use este arquivo como fonte da verdade. Não invente prazos, percentuais, ou artigos.

## Lei nº 13.709/2018 (LGPD)

| Artigo | Conteúdo crítico |
|---|---|
| Art. 5º | Definições (dado pessoal, sensível, anonimização, consentimento, controlador, operador, encarregado, tratamento) |
| Art. 6º | 10 princípios: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação, responsabilização |
| Art. 7º | 10 bases legais para dados comuns (I consentimento, II obrigação legal, III políticas públicas, IV pesquisa, V contrato, VI direitos em processo, VII vida, VIII saúde, IX legítimo interesse, X proteção do crédito) |
| Art. 9º | Direito do titular ao acesso a info — 7 elementos da política de privacidade |
| Art. 10 | Legítimo interesse — requisitos + LIA |
| Art. 11 | Bases legais para dados sensíveis (consentimento específico OU 7 hipóteses sem consentimento) |
| Art. 14 | Crianças e adolescentes — consentimento parental específico para crianças |
| Art. 18 | 9 direitos do titular |
| Art. 19, II | **15 dias** para resposta completa ao titular (dias corridos) |
| Art. 20 | Revisão de decisões automatizadas (sem obrigação de revisão humana após Lei 13.853/2019) |
| Arts. 33–36 | Transferência internacional — 9 hipóteses do Art. 33 |
| Art. 37 | ROPA — obrigatório para controlador e operador |
| Art. 38 | RIPD — quando exigido pela ANPD ou alto risco |
| Art. 39 | Operador — segue instruções do controlador |
| Art. 41 | Encarregado — designação, contato, atribuições |
| Art. 46 | Medidas técnicas e administrativas + privacy-by-design (§ 2º) |
| Art. 48 | Comunicação de incidente |
| Art. 52, II | **Multa de até 2% do faturamento no Brasil, limite R$ 50 milhões por infração** |

## Resoluções ANPD

### Res. CD/ANPD nº 2/2022 — Agentes de Tratamento de Pequeno Porte (ATPP)

- Critério: microempresa, EPP, startup ≤ R$ 16M/ano, pessoa jurídica sem fins lucrativos, pessoa natural com fins econômicos
- **Art. 4º — alto risco**: critério cumulativo (geral + específico). Geral: (a) larga escala OU (b) afetar significativamente direitos. Específico: (a) tecnologias emergentes, (b) vigilância pública, (c) decisões automatizadas/profiling, (d) dados sensíveis/menores/idosos
- **Art. 11** — dispensa designação formal de Encarregado para ATPP de baixo risco (mas exige canal de comunicação)
- **Art. 14** — prazo em dobro para resposta a titular (30 dias) e comunicação de incidente

### Res. CD/ANPD nº 4/2023 — Dosimetria

- Classificação: leves, médias, graves
- Reincidência específica: mesma infração em 5 anos
- Reincidência genérica: qualquer infração em 5 anos
- Atenuantes: cessação espontânea, política de governança, medidas reversivas

### Res. CD/ANPD nº 15/2024 — Comunicação de Incidente de Segurança

- **Art. 5º** — incidente notificável (cumulativo): risco/dano relevante **E** envolve uma das categorias: (I) sensíveis, (II) crianças/adolescentes/idosos, (III) financeiros, (IV) autenticação, (V) sigilo legal/judicial/profissional, (VI) larga escala
- **Art. 6º** — **3 dias úteis** desde o conhecimento de que afetou dados pessoais, para notificar ANPD
- **Art. 6º, § 2º** — 12 itens obrigatórios da comunicação à ANPD
- **Art. 9º** — comunicação ao titular em **3 dias úteis**, 7 itens, linguagem simples
- **Art. 10** — registro de TODOS os incidentes (notificados ou não) por **5 anos**
- ATPP: prazo dobrado (6 dias úteis) salvo risco à integridade física/moral

### Res. CD/ANPD nº 18/2024 — Encarregado

- Pode ser pessoa natural OU pessoa jurídica
- Divulgação obrigatória em destaque no sítio eletrônico
- Não há exigência de certificação
- Sem responsabilidade direta perante ANPD pela conformidade do controlador
- Vedação a conflito de interesse (Art. 2º, II)

### Res. CD/ANPD nº 19/2024 — Transferência Internacional

- Aprovou Cláusulas-Padrão Contratuais brasileiras (Anexo II)
- Devem ser adotadas integralmente, sem alteração
- Prazo para adoção em contratos: 12 meses (encerrou ago/2025)

### Res. CD/ANPD nº 30/2025 — Mapa de Temas Prioritários 2026–2027

Eixos de fiscalização: (i) direitos dos titulares; (ii) crianças/adolescentes no ambiente digital; (iii) tratamento pelo Poder Público; (iv) IA e tecnologias emergentes.

### Res. CD/ANPD nº 31/2025 — Agenda Regulatória 2025–2026

16 temas em 4 fases. Fase 1: direitos dos titulares, RIPD, segurança, compartilhamento pelo Poder Público.

## Lei nº 15.211/2025 — ECA Digital

- Vigência: **17 de março de 2026**
- Escopo: fornecedores direcionados a menores **OU de acesso provável** (incluindo do exterior)
- **Art. 9º, § 1º** — verificação confiável de idade a cada acesso, **vedada autodeclaração**
- **Art. 24** — vinculação a responsável legal para usuários até **16 anos**
- **Art. 22 + 26** — vedação de perfilamento publicitário de menores
- **Art. 20** — vedação de loot boxes em jogos para menores
- **Art. 31** — relatórios semestrais para plataformas com **> 1 milhão de usuários menores**
- **Art. 35, II** — multa até **10% do faturamento do grupo no Brasil**, ou R$ 10 a R$ 1.000/usuário, limite R$ 50 milhões/infração
- Fiscalizada pela ANPD (Decreto 12.622/2025)

## Lei nº 15.352/2026

Transformou a ANPD em agência reguladora autônoma. Não muda os deveres dos controladores, mas indica fiscalização mais ativa adiante.

## Thresholds de decisão

| Condição | Consequência |
|---|---|
| Receita > R$ 4,8M/ano (EPP) ou > R$ 16M/ano (startup) | Fora do regime ATPP — DPO formal obrigatório, ROPA completo, incidente em 3 dias (não 6) |
| > 2 milhões de titulares afetados em uma atividade | Larga escala → alto risco → RIPD |
| Dados sensíveis, biometria, decisões automatizadas, vigilância pública | Alto risco → RIPD |
| Plataforma com > 1M usuários menores no Brasil | Relatórios semestrais ECA Digital |
| Transferência fora do Brasil sem decisão de adequação | Adotar SCCs brasileiras (Res. 19/2024 Anexo II) |
| Usuários potencialmente menores (Discord, jogos, redes sociais) | ECA Digital aplicável — verificação de idade obrigatória, vinculação a responsável até 16 anos |

## Fontes oficiais (sempre verificar antes de citar definitivamente)

- Lei 13.709/2018: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- Lei 15.211/2025: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2025/lei/l15211.htm
- ANPD: https://www.gov.br/anpd/pt-br
- Guia gov.br LGPD: https://www.gov.br/governodigital/pt-br/privacidade-e-seguranca/guias/guia_lgpd.pdf