Lei nº 13.709/2018: o mapa da LGPD e as leis que já mudaram o texto

Quem digita "Lei nº 13.709" no Google normalmente quer uma de duas coisas: o texto da lei ou alguém que explique o que ele diz. O texto bruto está a um clique, mas tem 65 artigos, dezenas de incisos e anotações de alteração espalhadas entre eles. A explicação costuma estar em artigos de 2018 ou cartilhas de 2020, escritos antes de a lei mudar de novo.

Este guia é o mapa de leitura. Mostra como a LGPD está organizada, quais artigos uma empresa realmente consulta no dia a dia, o que cada lei posterior alterou até 2026 e onde ler a versão em vigor. Para cada tema que pede aprofundamento, ele aponta o artigo do nosso blog que trata do assunto.

O que é a Lei nº 13.709/2018?

A Lei nº 13.709, de 14 de agosto de 2018, é a Lei Geral de Proteção de Dados Pessoais (LGPD). Ela regula qualquer operação com dados de pessoas físicas, feita por empresa, órgão público ou pessoa natural com fim econômico, em papel ou no meio digital. O objetivo declarado no art. 1º é proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade.

O nome curto, aliás, veio depois. A ementa original falava só em proteção de dados pessoais; a expressão "Lei Geral de Proteção de Dados Pessoais (LGPD)" entrou na ementa com a Lei 13.853/2019. É um detalhe pequeno, mas mostra o ponto central deste artigo: a lei que você lê hoje não é a que foi sancionada em 2018.

Na prática, a LGPD responde a três perguntas que toda empresa precisa saber responder sobre cada dado que guarda: com que base legal ele foi coletado, para que finalidade, e o que acontece quando o titular pede para ver, corrigir ou apagar. Se a sua empresa ainda não sabe nem quais dados tem, o ponto de partida é o inventário de dados que a maioria das empresas ainda não fez.

Onde ler o texto atualizado da Lei 13.709?

Há duas fontes oficiais. A primeira é o texto compilado do Planalto, que costuma ser a referência citada em contratos e políticas. A segunda é a versão atualizada da Câmara dos Deputados, que traz, ao lado de cada dispositivo, a lei que criou, alterou ou revogou aquele trecho. Para quem quer entender a história do texto, a da Câmara é mais útil.

Evite três tipos de cópia: PDF baixado anos atrás e guardado na rede da empresa, cartilha que reproduz a lei em anexo e sites que mostram a redação antiga e a nova lado a lado sem deixar claro qual vale. Em todos eles você corre o risco de citar um artigo revogado ou um nome de órgão que mudou.

Quando a Lei 13.709 entrou em vigor?

A LGPD não entrou em vigor de uma vez. O art. 65, que já foi reescrito duas vezes, divide a vigência em três datas. É por isso que tanta gente responde essa pergunta de jeitos diferentes, e todos com alguma razão.

Como a lei foi publicada em agosto de 2018, a regra dos 24 meses levou a vigência geral para 2020. As sanções ficaram para agosto de 2021 porque a Lei 14.010, de junho de 2020, adiou especificamente os artigos de punição. Resultado: entre 2020 e 2021, as obrigações já valiam, mas a ANPD ainda não podia multar com base na LGPD.

Como a LGPD está organizada em 10 capítulos?

A lei segue uma lógica que ajuda a ler: primeiro as definições e os princípios, depois quando o tratamento é permitido, os direitos de quem tem os dados, as regras especiais (poder público e transferência para o exterior), as obrigações de quem trata, a segurança, as punições, quem fiscaliza e, por fim, as disposições finais.

Estrutura conferida no texto atualizado da Lei nº 13.709/2018 — Câmara dos Deputados

Dois capítulos raramente interessam a uma empresa privada: o IV, sobre o poder público, e boa parte do IX, que trata da estrutura interna da ANPD. Os outros oito têm algo que toca a operação de marketing, vendas e atendimento.

Quais artigos da LGPD a empresa realmente consulta?

Num projeto de adequação, quase toda dúvida termina em um destes artigos. Vale ler cada um no texto oficial pelo menos uma vez, porque é aqui que as cópias desatualizadas mais enganam.

1. Art. 5º — as definições

São 19 incisos que definem dado pessoal, dado sensível, dado anonimizado, controlador, operador, encarregado, tratamento, consentimento e autoridade nacional, entre outros. Muita discussão interna acaba quando alguém lê a definição. Um exemplo: a lei considera dado pessoal qualquer informação relacionada a pessoa identificada ou identificável, o que inclui identificadores como o cookie que a lei também conta como dado pessoal.

2. Art. 6º — os princípios

A boa-fé e dez princípios: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. O de necessidade é o que mais pesa no marketing: coletar só o mínimo necessário para a finalidade informada.

3. Arts. 7º e 11 — as bases legais

O art. 7º lista as dez hipóteses em que um dado pessoal pode ser tratado, do consentimento à proteção do crédito, passando por contrato, obrigação legal e legítimo interesse. O art. 11 faz o mesmo para dados sensíveis, com regras mais estreitas. Consentimento não é a única base, e nem sempre a melhor: o teste de legítimo interesse antes do e-mail promocional mostra quando outra base serve.

4. Art. 18 — os direitos do titular

Nove direitos que o titular pode exigir do controlador: confirmação de que há tratamento, acesso, correção, anonimização ou eliminação do excesso, portabilidade, eliminação dos dados tratados com consentimento, informação sobre compartilhamento, informação sobre a possibilidade de negar o consentimento e revogação. O § 6º obriga a avisar quem recebeu o dado para que repita a correção ou exclusão, que é onde muitas empresas falham, como mostramos no artigo sobre o pedido de exclusão que não chega ao CRM.

5. Art. 37 — o registro das operações

Uma frase só: controlador e operador devem manter registro das operações de tratamento, "especialmente quando baseado no legítimo interesse". É a base legal do inventário de dados e, na prática, a primeira coisa que a ANPD pede quando abre uma fiscalização.

6. Art. 41 — o encarregado

O controlador deve indicar um encarregado, divulgar publicamente a identidade e o contato dele, preferencialmente no site, e dar a ele quatro atribuições: receber reclamações dos titulares, receber comunicações da ANPD, orientar funcionários e cumprir o que for definido em norma. O § 3º permite à ANPD dispensar a indicação conforme o porte, e as regras de quem pode ocupar o papel estão no nosso guia sobre quem pode ser o encarregado.

7. Arts. 46 a 49 — segurança e incidentes

O art. 46 exige medidas técnicas e administrativas de segurança desde a concepção do produto ou serviço. O 47 estende o dever de segurança a qualquer pessoa que participe do tratamento, mesmo depois que ele termina. O 48 obriga a comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante, em prazo definido pela agência, e lista o conteúdo mínimo da comunicação. O 49 pede que os sistemas já nasçam estruturados para cumprir a lei.

8. Art. 52 — as sanções

Advertência, multa simples de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização, bloqueio, eliminação, suspensão parcial do banco de dados, suspensão da atividade e proibição do tratamento. Os critérios de dosimetria estão no § 1º e foram detalhados pela ANPD em regulamento próprio, explicado no artigo sobre as sanções e a primeira multa da LGPD.

Quais leis já alteraram a LGPD?

Quatro leis mudaram o texto da LGPD entre 2019 e 2026, e uma quinta teve dispositivos acrescentados à LGPD vetados. Cada uma deixou uma anotação no texto atualizado, e é por elas que se descobre se uma cópia está em dia.

Notas de alteração do texto atualizado da Lei nº 13.709/2018 — Câmara dos Deputados

Um detalhe que explica muita confusão: três sanções do art. 52 (suspensão parcial do banco de dados, suspensão da atividade e proibição do tratamento) foram vetadas pelo Presidente da República em 2019 e depois restabelecidas pelo Congresso, com publicação no Diário Oficial em 20 de dezembro de 2019. Textos escritos naquele intervalo listam só seis sanções.

Qual a diferença entre a Lei 13.709 e a Lei 13.853?

A Lei 13.709 é a LGPD em si. A Lei 13.853 é uma lei de alteração: ela não substitui a LGPD, mas mudou dezenas de dispositivos dela. Não existe "LGPD nova" e "LGPD antiga" convivendo; existe um texto só, com redação atualizada.

A 13.853 nasceu da conversão da Medida Provisória 869, editada em dezembro de 2018, poucos meses depois da sanção. O motivo principal era a autoridade fiscalizadora: os artigos que a criavam tinham sido vetados na sanção (o art. 55 aparece como vetado até hoje), e a lei precisava de alguém para aplicá-la. Foi a 13.853 que inseriu os arts. 55-A em diante e criou a ANPD.

Por isso, quando um documento cita "a Lei 13.853", quase sempre está falando de um trecho da LGPD com a redação que a 13.853 deu. A forma correta de citar é a própria LGPD: "art. 7º, VIII, da Lei 13.709/2018".

O que a Lei 15.352/2026 mudou na prática?

A mudança mais recente transformou a ANPD em agência reguladora. Segundo o Balanço ANPD 6 anos, publicado pela própria agência, a Medida Provisória 1.317, de 17 de setembro de 2025, convertida na Lei 15.352 em 25 de fevereiro de 2026, estabeleceu a ANPD como autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira.

Para a empresa, o efeito é menos sobre as obrigações e mais sobre quem as cobra. As bases legais, os direitos e as sanções continuam os mesmos. O que muda é a estrutura de quem fiscaliza, que ganhou autonomia de agência e, pelo mesmo balanço, novas frentes de atuação, como o ECA Digital. Para entender o que isso significa no dia a dia de uma fiscalização, veja o artigo sobre a ANPD e o ofício que a empresa não respondeu.

Por que os trechos vetados confundem quem lê a lei?

O texto atualizado mantém a marcação de tudo o que foi vetado ou revogado, para preservar a numeração. Isso é correto do ponto de vista legislativo, mas confunde quem lê sem saber o que procurar. Um artigo que aparece como "(VETADO)" não tem conteúdo nenhum; ele só ocupa o número.

• Vetos de 2018: arts. 28, 55, 56, 57, 58 e 59 aparecem como vetados desde a sanção original.
• Vetos derrubados: os incisos X, XI e XII do art. 52 foram vetados em 2019 e restabelecidos pelo Congresso, por isso valem.
• Vetos de 2025: a Lei 15.134 tentou incluir uma Seção III-A no Capítulo II, um art. 14-A e um § 2º-A no art. 52; tudo foi vetado e nada disso está em vigor.
• Revogações: os §§ 1º e 2º do art. 7º foram revogados em 2019, e parágrafos do art. 55-A, em 2022. Quem cita esses trechos cita lei que não existe.

A regra prática é simples: se o dispositivo vem acompanhado de "(VETADO)" ou "(Revogado)", ignore o conteúdo de qualquer cópia que ainda o mostre.

Quais os erros mais comuns ao citar a LGPD?

Em contratos, políticas de privacidade e termos de consentimento, os mesmos erros aparecem com frequência. Quase todos vêm de copiar modelo pronto sem conferir no texto vigente.

1. Chamar a ANPD de "Autoridade Nacional", nome que a Lei 15.352/2026 trocou por Agência Nacional.
2. Dizer que o consentimento é obrigatório para todo tratamento, quando ele é uma das dez bases do art. 7º.
3. Citar a Lei 13.853 como se fosse outra lei de proteção de dados, e não uma alteração da LGPD.
4. Listar só seis sanções, esquecendo as três restabelecidas pelo Congresso em 2019.
5. Afirmar que a LGPD "não pune ainda", argumento que perdeu validade em 1º de agosto de 2021.
6. Indicar encarregado sem publicar o contato, quando o art. 41, § 1º, pede divulgação clara, de preferência no site.

Uma política de privacidade montada a partir de modelo pronto costuma carregar vários desses erros de uma vez.

O que muda na leitura da lei por tipo de empresa?

Os artigos são os mesmos para todos, mas a ordem de leitura muda conforme o que a empresa faz com dados. A tabela abaixo indica por onde cada perfil deve começar.

Organização da Alliance Comunicação a partir do texto da Lei nº 13.709/2018.

Para quem tem dados sensíveis ou rotinas de alto risco, como pontuação de leads, o próximo passo é o relatório de impacto previsto no art. 38. Para quem usa ferramentas fora do Brasil, a leitura obrigatória é sobre transferência internacional de dados.

Por onde começar a aplicar a Lei 13.709 hoje?

Ler a lei inteira não é o primeiro passo; saber quais artigos tocam a sua operação é. Um roteiro curto para a primeira semana:

1. Salve o link do texto atualizado e substitua qualquer PDF antigo guardado na rede da empresa.
2. Leia os arts. 5º e 6º inteiros: definições e princípios resolvem metade das dúvidas.
3. Liste os dados que cada área coleta e, para cada um, a base legal do art. 7º ou do art. 11.
4. Confira se a política de privacidade usa o nome atual da ANPD e publica o contato do encarregado.
5. Teste o caminho de um pedido de titular do art. 18, do e-mail recebido até a exclusão no último sistema.

Se você quer ver como a proteção de dados se encaixa no restante do seu marketing, o diagnóstico gratuito de marketing da Alliance leva cerca de 30 minutos e aponta onde estão as lacunas. E, quando a adequação pedir mão de obra especializada, a Alliance tem um serviço de adequação à LGPD que parte do mapeamento de dados e chega aos documentos e processos.