A quem se aplica

Explicando de forma simples

Uma pergunta comum quando alguém ouve falar da LGPD pela primeira vez: “isso é para as grandes empresas de internet, né?”.

Não é. A regra da lei é larga e a exceção é estreita.

A LGPD alcança qualquer pessoa ou organização que use dados de pessoas — empresa grande, empresa pequena, profissional autônomo, condomínio, escola, hospital, prefeitura, ministério. Alcança também empresa de fora do Brasil, quando ela oferece produtos ou serviços por aqui ou usa dados de gente que está aqui. E vale para dados no computador e dados no papel: a lei diz “independentemente do meio”, então a ficha de cadastro numa gaveta conta igual.

Existem exceções. São poucas e bem delimitadas — e uma delas, muito provavelmente, é você.

Exemplo do dia a dia

A agenda do seu celular tem os telefones dos seus amigos e da sua família. São dados pessoais de outras pessoas, guardados por você.

Você está descumprindo a LGPD? Não. A lei não se aplica ao uso feito por uma pessoa natural para fins exclusivamente particulares e não econômicos. A sua agenda pessoal é exatamente isso.

Agora mude um detalhe. Você começa a vender bolos por encomenda e passa a manter uma lista com nome, telefone e endereço das clientes, para avisar quando sai uma fornada nova. O uso deixou de ser exclusivamente particular: virou atividade econômica. Aí a LGPD passa a valer para você.

Não significa que a lei vá cair em cima de você com uma multa. Significa que você entra no mesmo jogo das outras: pedir só o necessário, dizer para que usa, não repassar a lista para terceiros sem um motivo permitido e apagar quando alguém pedir.

Quem está dentro — e quem está fora

Está dentro, pela regra geral:

• Empresas privadas de qualquer tamanho, incluindo o microempreendedor individual (MEI) e as microempresas. Elas têm um regulamento próprio da ANPD que simplifica algumas obrigações, mas esse regulamento é explícito ao dizer que a simplificação não isenta ninguém das bases legais, dos princípios da lei nem dos direitos dos titulares.
• Órgãos e entidades públicas — da União, dos Estados, do Distrito Federal e dos Municípios. A lei diz que suas normas gerais são de interesse nacional e devem ser observadas por todos esses entes.
• Pessoas naturais, quando o uso dos dados tem finalidade econômica ou deixa de ser exclusivamente particular.
• Empresas sediadas no exterior, quando oferecem bens ou serviços ao Brasil, tratam dados de quem está aqui ou coletam dados em território nacional. Não adianta o servidor estar em outro país: a lei diz expressamente que se aplica “independentemente do país onde estejam localizados os dados”. E, se houver filial, escritório ou representante no Brasil, é por essa pessoa que a empresa estrangeira é notificada.

Está fora, pelas exceções da lei:

• O seu uso pessoal, quando é exclusivamente particular e não econômico — a agenda do celular, as fotos da família, a lista de aniversários.
• Os usos exclusivamente jornalístico e artístico, e o acadêmico — este último ainda tendo de observar as regras da lei sobre bases legais para dados comuns e para dados sensíveis.
• Segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais, quando esse for o fim exclusivo. Ficar fora da LGPD aqui não quer dizer ficar sem regra: a lei manda que esses casos sejam regidos por legislação específica, que deve prever medidas proporcionais e estritamente necessárias, com devido processo legal e respeito aos princípios de proteção e aos direitos do titular.
• Dados vindos de fora do país que não sejam comunicados nem compartilhados com agentes brasileiros nem transferidos para um terceiro país, desde que o país de origem ofereça grau de proteção adequado ao da LGPD.

Um detalhe da lei que resolve muita dúvida: para saber se um dado foi “coletado no Brasil”, o que importa é onde você estava na hora da coleta. Se você preencheu o formulário estando em território nacional, o dado foi coletado aqui — não importa onde fica a empresa.

E se meus dados forem para fora do Brasil?

Essa é a pergunta que costuma vir logo depois: se o servidor da empresa está em outro país, a lei ainda me protege?

Protege. E aqui vale inverter a intuição: o dado sair do Brasil não o tira da LGPD. A lei tem um capítulo só para isso, e a regra é restritiva — a transferência internacional só é permitida nas situações que o art. 33 lista. Não é livre por padrão.

Entre essas situações, duas explicam quase tudo o que acontece no dia a dia.

A primeira é a empresa comprovar garantias de que vai cumprir os princípios, os seus direitos e o regime de proteção da LGPD — por cláusulas contratuais, normas corporativas globais do grupo, ou selos e certificações. O ônus é dela: não basta afirmar, tem de comprovar.

A segunda é o destino ser um país ou organismo com grau de proteção adequado ao da nossa lei. E foi exatamente isso que mudou em 26 de janeiro de 2026, num movimento que passou despercebido fora do meio jurídico: Brasil e União Europeia reconheceram a adequação um do outro, no mesmo dia, por dois atos separados — uma resolução da ANPD, para o fluxo daqui para lá, e uma decisão da Comissão Europeia, para o fluxo de lá para cá. Na prática, os dados circulam entre os dois lados sem precisar de instrumento adicional. Os dois atos preveem revisão em quatro anos, e a decisão brasileira não alcança transferências feitas para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou investigação criminal.

Vale registrar o tamanho disso: até a última conferência deste texto, a União Europeia era o único organismo ou país reconhecido como adequado pela ANPD. Para todo o resto do mundo — inclusive os Estados Unidos, onde estão muitos dos serviços que você usa —, a empresa depende de um dos outros caminhos do art. 33.

Um deles aparece para você de vez em quando, e merece atenção: o seu consentimento. Mas não serve um “aceito os termos” genérico. A lei exige consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente essa finalidade das outras. Ou seja: se você nunca foi avisado de que os dados iriam para fora, não foi o seu “sim” que autorizou aquilo.

O que você pode fazer?

• Não aceite “somos pequenos, a LGPD não vale para nós”. Vale. O que existe para o pequeno negócio é um regulamento da ANPD com obrigações simplificadas — e ele diz, com todas as letras, que a simplificação não afasta os seus direitos.
• Cobre também de órgão público. Prefeitura, escola estadual, posto de saúde e ministério estão sujeitos à lei. O pedido é o mesmo que você faria a uma empresa, pelo canal de atendimento ao cidadão do órgão.
• Não desista por a empresa ser estrangeira. Se o serviço é oferecido no Brasil ou você estava aqui quando entregou o dado, a lei alcança. Procure a política de privacidade em português e o contato do encarregado; havendo escritório ou representante no país, é por ele que a empresa responde.
• Separe o seu uso pessoal do uso econômico. Se você vende, presta serviço ou faz uma rifa e mantém uma lista de contatos por causa disso, trate essa lista com cuidado: peça só o necessário, guarde em lugar protegido e não repasse.
• Procure “transferência internacional” na política de privacidade. É o trecho que diz se os seus dados saem do país e com que fundamento. Não achando, pergunte ao canal de privacidade — e lembre que você também tem direito de saber com quem seus dados foram compartilhados.
• Na dúvida sobre um caso concreto, procure a ANPD. A agência publica guias e orientações em gov.br/anpd, inclusive material voltado a agentes de pequeno porte.

Resumo

A LGPD vale para quase todo mundo que usa dados de pessoas: empresas de qualquer tamanho, órgãos públicos das três esferas, pessoas naturais em atividade econômica e empresas estrangeiras que atuem ou coletem dados no Brasil — em meio digital ou no papel. As exceções são poucas e específicas: o uso exclusivamente particular e não econômico, os fins jornalístico, artístico e acadêmico, os fins exclusivos de segurança pública e investigação criminal (que seguem legislação própria) e certos dados vindos de fora do país. Ser pequeno não isenta: simplifica. E sair do Brasil não tira o dado da lei: a transferência internacional só é permitida nas situações do art. 33 — com garantias comprovadas pela empresa, para destino de proteção adequada, ou com consentimento específico e em destaque para a transferência. Desde 26 de janeiro de 2026, Brasil e União Europeia se reconhecem mutuamente como adequados; para o resto do mundo, a empresa precisa de um dos outros caminhos.