LANGPD: Lei Brasileira de Dados
1) A quem se aplica o LGPD e quem é quem
O LGPD se aplica ao tratamento de dados pessoais (PD) no Brasil, visando residentes no Brasil ou associado à oferta de bens/serviços e monitoramento do comportamento em seu território.
Papéis:- Controlador (Controlador): identifica alvos e ferramentas de processamento.
- Operador (Operador): processa o PD por ordem do controlador.
- Encarregado (DPO): contato de proteção de dados; O ANPD pode isentar as PME da obrigatoriedade, mas o iGaming/Fintech normalmente é designado.
2) Princípios de Processamento (Núcleo WOLFPD)
Meta e compatibilidade de metas
Necessidade e minimização
Transparência e não discriminação
Qualidade dos dados (precisão, relevância)
Segurança e prevenção de danos
Responsabilização (prova de cumprimento)
3) Fundamentos legais (base legal)
Matriz para cenários típicos iGaming/fintech:4) Categorias especiais e crianças
Dados sensíveis sobre saúde, biometria, religião, opiniões políticas, etc., exigem fundamentos separados e medidas reforçadas.
Crianças e adolescentes: para <13 - consentimento do pai/tutor; processamento exclusivamente para o melhor interesse deles, sem perfis compulsivos.
5) Direitos das entidades (padrão de transação)
Confirmação do processamento e acesso aos dados
Corrigir imprecisões
Anônima/bloqueio/remoção de dados redundantes/processados ilegalmente
Portabilidade (para outro provedor)
Informações sobre os destinatários, os objetivos e as consequências da rejeição
Revogar o consentimento é tão fácil quanto fornecer
Pedido de revisão de decisões automatizadas que afetam os interesses do sujeito
Prazo: responda sem atraso indevida, mantenha o registro de solicitação (DSR) e verifique o requerente.
6) Segurança e incidentes
Implemente medidas organizacionais e técnicas: criptografia, RBAC/ABAC, DLP, revistas, arquivos WORM, testes de recuperação.
Quando um incidente com risco de danos às entidades é uma notificação adequada à ANPD e às entidades (contendo a natureza do incidente, categorias de dados, medidas tomadas). Prazos/formatos orientem sobre os riscos e recomendações da ANPD.
7) Transferências
Permitidos se houver um mecanismo:- Adequação (países/organizações reconhecidos pela ANPD)
- Ferramentas contratuais (reservas padrão, regras corporativas)
- Certificação/Impressão de conformidade
- Consentimento explícito do sujeito, quando apropriado
- Outros fundamentos do LGPD (cumprimento do contrato, proteção da vida, etc.)
- Prática: criptografia pré-transferência, separação de chaves, pseudonimização e minimização de campos.
8) RIPD (brasileiro DPIA) e documentação
Relatório de Impacto a Defesa de Dados Pessoais (RIPD) é obrigatório para ganhos de risco (perfis em larga escala, biometria, novas fontes/parceiros). Contém:1. descrição das operações; 2) fundamentos e necessidade; 3) riscos para os direitos/liberdades; 4) medidas de mitigação; 5) risco residual e plano.
Também mantenha um registro de operações, uma política de privacidade, notificações públicas, um registro de incidentes, um registro de transferências para o exterior.
9) Cookies/SDK e marketing
Um banner de concordância com categorias compreensíveis (obrigatórias/funcionais/analista/marketing).
Documente os objetivos e o prazo de armazenamento; respeite a rejeição/crítica e não perfilhe as crianças.
O analista/agregação de servidor é preferível aos pixels abertos; limite «sharing» com terceiros sem base.
10) Contratos com operadoras e terceiros
Os contratos devem:- Limitar o processamento às instruções do controlador;
- Proibir o uso secundário e onward transfers sem autorização;
- Exigir segurança, notificação de incidentes, assistência com DSR e remoção;
- Revelar subprocessadores e dar direito de auditoria;
- Fixar a geografia de processamento e os mecanismos de transferência.
11) Soluções automáticas e perfis
Se a decisão tiver um efeito substancial legal/similar (por exemplo, antifrod e limites RG), o sujeito tem direito a informações sobre a lógica dentro de limites razoáveis e a uma revisão humana. Recomenda-se armazenar reason codes, versionalizar modelos/regras e realizar bias-auditorias.
12) Sanções ANPD e responsabilidade
Alertas e medidas corretivas
Declaração pública de violação
Bloquear/remover dados pessoais
Multas: até 2% da receita no Brasil por ano (período anterior), até 50 milhões de BRL por violação (teto)
Adicionalmente, pode haver responsabilidades civis e processos coletivos.
13) Matriz de alvos → bases → armazenamento
14) Folha de cheque de conformidade (operacional)
Políticas e notificações
- Confidence Policy atual (objetivos, categorias de PD, direitos, canais de solicitação, transferências para o exterior).
- Notice at coleção em pontos de coleta (cookies/formulários/SDK).
- Ordem de processamento de dados infantis.
Direitos das entidades (DSR)
- Canais de consulta (formulário/correio), comprovação, SLA e registro.
- Procedimentos de transferência, remoção, correção, cancelamento de marketing.
Segurança
- Criptografia in transit/at rest, KMS/HSM, rotação de chaves.
- RBAC/ABAC, JIT, revistas, DLP, testes de recuperação.
- Incidente playbook e notificações ANPD/entidades.
Vendedores
- DPA com operadores/terceiros; Registro de subprocessadores.
- A geografia do processamento e o mecanismo de transferência.
- Auditar e controlar SDK/pixels.
RIPD/Registro
- Registro de operações; RIPD para ganhos arriscados.
- A matriz de retenção e o pipeline de remoção/anonimato.
15) Métricas e controle
DSR SLA (% no prazo), média/95 percentil
Consent Coverage и Opt-out Honor Rate
Retenção Adherence (excluído por gráficos)
Access/Export Violations e Delta por bairros
Invidente MTTD/MTTR e repetível
Vendor Compliance Rate (auditorias, encerramento de observações)
RIPD Coverage (proporção de risco com relatórios atuais)
16) Mapa de trânsito de implementação (6 passos)
1. Data maping: fontes de PD, fluxos, objetivos, bases legais, vendedores.
2. Políticas/notificações: Private Policy, banner de concordâncias, Notice at coleção.
3. Processos DSR: canais, verificações, modelos, registro, métricas.
4. Segurança: criptografia, acessibilidade, logs, DLP, plano IR.
5. Vendedores e transferências de fronteiras: DPA, subprocessadores, mecanismos, testes.
6. RIPD/retensno: relatórios de alto risco, matriz de retenha, remoção/anonimato.
17) Diferenças entre o WOLFPD e o GDPR (resumido)
Os motivos adicionais de «proteção do crédito», «proteção da vida» estão claramente destacados.
RIPD é um equivalente funcional DPIA, mas com foco na prática local ANPD.
Multas - teto de 50 milhões de BRL por violação; o modelo de sanções é diferente do GDPR.
Crianças/adolescentes: controle de «melhor interesse», políticas rigorosas de perfil e marketing.
Resultado
A conformidade com o LGPD não é apenas um banner sobre cookie, mas sim um sistema de gerenciamento do ciclo de vida de dados: fundamentos corretos, minimização e segurança, notificações transparentes, processos DSR em funcionamento, contratos com vendedores, RIPD para ganhos de risco e disciplina de transmissão. Ao incorporar esses circuitos «padrão», você reduz os riscos legais e de reputação, preserve as parcerias e a confiança dos usuários - sem comprometer a velocidade do produto e a conversão.