A LGPD foi muito inspirada na GDPR europeia, então dá pra reaproveitar a ideia geral. O problema é reaproveitar o texto. Boa parte do boilerplate de privacidade que circula em inglês embute regras que simplesmente não são as do Brasil — e a ANPD avalia substância, não tradução. Aqui vão os sete deslizes que eu mais vejo em projeto de dev brasileiro.
1. O prazo de incidente não são 72 horas
Esse é o campeão. A GDPR fala em 72 horas pra notificar a autoridade, e esse número grudou na cabeça de todo mundo. Na LGPD, o prazo é definido pela ANPD na Resolução CD/ANPD nº 15/2024: a comunicação deve ser feita em 3 dias úteis a partir do conhecimento do incidente. “Dias úteis” e “horas corridas” são coisas diferentes — e copiar o texto europeu coloca o prazo errado no seu plano de resposta.
2. São 10 bases legais, não 6
A GDPR tem 6 bases legais. A LGPD tem 10 pra dados pessoais comuns (art. 7º) e uma lista própria pra dados sensíveis (art. 11). Tem hipóteses que não existem lá fora — como proteção do crédito. Se você mapeou suas coletas pensando nas seis europeias, provavelmente forçou “consentimento” onde cabia “execução de contrato” ou “legítimo interesse”.
3. Consentimento não é a base padrão
Herança da leitura apressada da GDPR: a ideia de que todo tratamento precisa de consentimento. Não precisa. Consentimento é uma base entre dez, e é das mais frágeis — pode ser revogada a qualquer momento. Mandar o e-mail de confirmação de pedido é execução de contrato. Guardar nota fiscal é obrigação legal. Pedir consentimento pra isso é errado e ainda te obriga a parar tudo quando a pessoa revoga.
4. DPO obrigatório pra todo mundo
Outra importação automática. Na prática brasileira, o agente de tratamento de pequeno porte está dispensado de nomear um Encarregado pela Resolução CD/ANPD nº 2/2022 — mas precisa manter um canal de atendimento ao titular. Botar “nosso DPO é fulano@empresa.com” num SaaS de uma pessoa, copiado de template, costuma ser teatro. Escrevi em detalhe sobre quem precisa de DPO aqui.
5. “Anonimização” e “pseudonimização” trocadas
Pseudonimizar (trocar o nome por um id, mas conseguir reverter) é diferente de anonimizar (tornar irreversível, ao ponto de não ser mais dado pessoal). Dado anonimizado de verdade sai do escopo da LGPD; dado pseudonimizado continua dentro. Muita gente diz “a gente anonimiza” quando na verdade só pseudonimiza, e segue achando que está fora da lei. Não está.
6. Direito ao esquecimento como na Europa
A LGPD dá ao titular o direito de pedir eliminação dos dados (art. 18), mas isso convive com exceções: você pode — e às vezes deve — reter dado pra cumprir obrigação legal ou exercer direito em processo. “Apagar tudo na hora porque o usuário pediu” pode te colocar em outra encrenca. O direito existe, mas não é absoluto, e o desenho europeu não cola 1:1.
7. Citar o EDPB e ignorar a ANPD
Vi política brasileira citando o regulador europeu e o texto da GDPR. Quem fiscaliza aqui é a ANPD, e as regras de detalhe vêm das resoluções dela — sobre incidentes, pequeno porte, dosimetria de multa, cookies. É lá que está o que a autoridade vai cobrar de você. Boilerplate europeu não te protege de uma fiscalização brasileira.
O resumo pra quem vai codar agora
Antes de colar qualquer template em inglês no seu projeto, troque três coisas de cabeça: prazo de incidente é em dias úteis (Resolução 15/2024), nem todo tratamento precisa de consentimento, e DPO nem sempre é obrigatório. Só com isso você já evita os erros que mais aparecem — e que mais entregam que a política foi copiada.
Conteúdo técnico-informativo, não substitui orientação jurídica.