Leis de Privacidade
A LGPD do Brasil e a PIPEDA do Canadá estão em vigor hoje, e cada uma fixa os seus próprios prazos. O Complyanz mantém o registro das operações de tratamento, acompanha cada solicitação de titular em relação ao prazo legal, registra o encarregado e as transferências internacionais e inicia a contagem de incidente certa para cada lei. A ISO 27701 é uma opção, não um requisito.
Duas leis, um programa de privacidade
O que cada lei exige, e quando
Estes são os prazos fixados pela LGPD e pelas resoluções da ANPD, e pela PIPEDA e o seu regulamento sobre violações das medidas de segurança. O Complyanz calcula cada um a partir da data que inicia a contagem.
| Lei | Obrigação | Prazo |
|---|---|---|
| LGPD | Confirmar a existência de tratamento ou dar acesso em formato simplificado | Imediatamente (art. 19, I). Agentes de tratamento de pequeno porte têm até 15 dias. |
| LGPD | Fornecer declaração clara e completa do tratamento: origem, critérios e finalidade | Em até 15 dias da solicitação (art. 19, II), ou 30 para agentes de tratamento de pequeno porte |
| LGPD | Comunicar um incidente de segurança à ANPD | 3 dias úteis a partir do conhecimento de que dados pessoais foram afetados (Resolução CD/ANPD nº 15/2024), ou 6 para agentes de tratamento de pequeno porte |
| LGPD | Comunicar o incidente aos titulares afetados | 3 dias úteis, ou 6 para agentes de tratamento de pequeno porte |
| LGPD | Complementar a comunicação à ANPD | 20 dias úteis a partir da comunicação, ou 40 para agentes de tratamento de pequeno porte |
| LGPD | Registrar todo incidente de segurança, inclusive os não comunicados | Manter o registro por no mínimo 5 anos |
| PIPEDA | Responder a um pedido de acesso por escrito | 30 dias (s. 8(3)), prorrogáveis por até mais 30 com aviso dado dentro dos primeiros 30 (s. 8(4)); sem resposta até lá, o pedido é considerado recusado (s. 8(5)) |
| PIPEDA | Notificar o OPC sobre uma violação que crie risco real de dano significativo e notificar as pessoas afetadas | Assim que for viável depois de concluir que a violação ocorreu (s. 10.1). Não há um número fixo de dias. |
| PIPEDA | Manter registro de toda violação das medidas de segurança, reportada ou não | 24 meses a partir do dia em que se conclui que a violação ocorreu (s. 10.3) |
Os demais direitos da LGPD, como correção ou eliminação, ainda não têm prazo fixado em regulamento; por isso o Complyanz aplica 15 dias como regra interna e a identifica como não oficial. Os dias úteis seguem os feriados nacionais do Brasil no horário de Brasília, e pontos facultativos como o Carnaval contam como dias úteis, de modo que a data exibida é a mais antecipada e, por isso, a mais segura.
Tudo o que as duas leis pedem que você demonstre
O que está no escopo, e o que não está
Comece por qualquer framework e adicione os outros depois
As obrigações da LGPD, os princípios da PIPEDA e os controles da ISO 27701 se sobrepõem. O Complyanz mantém uma tabela de correspondência entre eles, para que, ao adicionar um framework, você veja quais requisitos se relacionam com o trabalho já feito e possa reaproveitar as evidências. As correspondências são a nossa leitura, não uma equivalência oficial, e o reaproveitamento é sempre decisão sua.
Incluído no plano Completo ou como adicional
O módulo Leis de Privacidade cobre a LGPD e a PIPEDA. Ele está incluído no plano Completo e pode ser adicionado a qualquer outro plano, com preço pelo número de pessoas no escopo, como os próprios planos.
Perguntas frequentes sobre leis de privacidade
Precisamos da ISO 27701?
Não. A ISO 27701 é uma norma voluntária e certificável, e nem a LGPD nem a PIPEDA a exigem. Você pode conduzir qualquer uma das leis no Complyanz sem ela. Se adicioná-la depois, a tabela de correspondência mostra quais controles se relacionam com o trabalho já feito; as correspondências são a nossa leitura, não uma equivalência oficial.
O Complyanz certifica que estamos em conformidade?
Não. O Complyanz não certifica, atesta nem garante a conformidade com a LGPD ou a PIPEDA. Ele organiza os registros, prazos e documentos que mostram como você cumpre as leis; se você as cumpre, cabe à ANPD, ao OPC e aos tribunais decidir. O seu encarregado também não precisa de certificação.
Em quanto tempo devemos comunicar um incidente de segurança pela LGPD?
Pela Resolução CD/ANPD nº 15/2024, o incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares afetados em 3 dias úteis a partir do momento em que o controlador toma conhecimento de que dados pessoais foram afetados, ou 6 para agentes de tratamento de pequeno porte. A comunicação à ANPD pode ser complementada em 20 dias úteis (40 para agentes de pequeno porte). Todo incidente, comunicado ou não, deve ser registrado, e o registro mantido por no mínimo cinco anos.
Existe prazo para notificar violações pela PIPEDA?
Não há um número fixo de dias. A violação das medidas de segurança que crie risco real de dano significativo deve ser notificada ao Escritório do Comissário de Privacidade do Canadá (OPC), e as pessoas afetadas notificadas, assim que for viável depois de a organização concluir que a violação ocorreu. O Complyanz mostra há quanto tempo cada notificação está em aberto, em vez de uma contagem regressiva. Toda violação, atinja ou não esse limiar, deve ser registrada, e o registro mantido por 24 meses.
Podemos transferir dados pessoais do Brasil para a Europa?
Sim, a decisão de adequação é uma das hipóteses legais para a transferência internacional de dados, nos termos do art. 33 da LGPD. A Resolução CD/ANPD nº 32/2026 reconhece a União Europeia como adequada, abrangendo os Estados-membros da UE e os países do EEE, exceto para fins de segurança pública, defesa e matéria penal, e deve ser reavaliada em até quatro anos. Para outros destinos, um caminho comum são as cláusulas-padrão contratuais da ANPD, que os contratos existentes tiveram de incorporar até 23 de agosto de 2025. O Canadá não tem decisão de adequação pela LGPD.
Vocês cobrem a Lei 25 de Québec ou o Projeto de Lei C-36?
Não. Québec, Alberta e Colúmbia Britânica têm suas próprias leis de privacidade para o setor privado, substancialmente similares à PIPEDA, e a Lei 25 de Québec tem regime próprio; este módulo cobre apenas a PIPEDA. O Projeto de Lei C-36, que criaria uma nova Protecting Privacy and Consumer Data Act, foi apresentado em junho de 2026 e não é lei. O Complyanz modela a PIPEDA tal como está em vigor hoje.
Monte seu programa de privacidade
Crie uma organização, responda ao perfil de privacidade e veja quais obrigações da LGPD e da PIPEDA se aplicam a você, e por quê.