Leis de Privacidade
A LGPD do Brasil e a PIPEDA do Canadá já estão em vigor, e cada uma fixa os seus próprios prazos. O Complyanz mantém o registo das operações de tratamento, acompanha cada pedido de titular face ao prazo legal, regista o encarregado e as transferências internacionais e inicia a contagem de incidente adequada a cada lei. A ISO 27701 é uma opção, não um requisito.
Duas leis, um programa de privacidade
O que cada lei exige, e quando
Estes são os prazos fixados pela LGPD e pelas resoluções da ANPD, e pela PIPEDA e o seu regulamento sobre violações das medidas de segurança. O Complyanz calcula cada um a partir da data que inicia a contagem.
| Lei | Obrigação | Prazo |
|---|---|---|
| LGPD | Confirmar a existência de tratamento ou dar acesso em formato simplificado | Imediatamente (art. 19, I). Agentes de tratamento de pequeno porte têm até 15 dias. |
| LGPD | Fornecer declaração clara e completa do tratamento: origem, critérios e finalidade | No prazo de 15 dias a contar do pedido (art. 19, II), ou 30 para agentes de tratamento de pequeno porte |
| LGPD | Comunicar um incidente de segurança à ANPD | 3 dias úteis a contar do conhecimento de que foram afetados dados pessoais (Resolução CD/ANPD n.º 15/2024), ou 6 para agentes de tratamento de pequeno porte |
| LGPD | Comunicar o incidente aos titulares afetados | 3 dias úteis, ou 6 para agentes de tratamento de pequeno porte |
| LGPD | Complementar a comunicação à ANPD | 20 dias úteis a partir da comunicação, ou 40 para agentes de tratamento de pequeno porte |
| LGPD | Registar todos os incidentes de segurança, incluindo os não comunicados | Conservar o registo durante pelo menos 5 anos |
| PIPEDA | Responder a um pedido de acesso por escrito | 30 dias (s. 8(3)), prorrogáveis por até mais 30 com aviso dado dentro dos primeiros 30 (s. 8(4)); sem resposta até lá, o pedido é considerado recusado (s. 8(5)) |
| PIPEDA | Notificar o OPC sobre uma violação que crie risco real de dano significativo e notificar as pessoas afetadas | Logo que seja viável depois de concluir que a violação ocorreu (s. 10.1). Não há um número fixo de dias. |
| PIPEDA | Manter registo de todas as violações das medidas de segurança, reportadas ou não | 24 meses a partir do dia em que se conclui que a violação ocorreu (s. 10.3) |
Os restantes direitos da LGPD, como a retificação ou a eliminação, ainda não têm prazo fixado em regulamento; por isso o Complyanz aplica 15 dias como regra interna e identifica-a como não oficial. Os dias úteis seguem os feriados nacionais do Brasil na hora de Brasília, e os pontos facultativos, como o Carnaval, contam como dias úteis, pelo que a data apresentada é a mais antecipada e, por isso, a mais segura.
Tudo o que as duas leis pedem que demonstre
O que está no âmbito, e o que não está
Comece por qualquer referencial e acrescente os restantes mais tarde
As obrigações da LGPD, os princípios da PIPEDA e os controlos da ISO 27701 sobrepõem-se. O Complyanz mantém uma tabela de correspondência entre eles, para que, ao acrescentar um referencial, veja que requisitos se relacionam com o trabalho já feito e possa reutilizar as evidências. As correspondências são a nossa leitura, não uma equivalência oficial, e a reutilização é sempre decisão sua.
Incluído no plano Completo ou como adicional
O módulo Leis de Privacidade cobre a LGPD e a PIPEDA. Está incluído no plano Completo e pode ser acrescentado a qualquer outro plano, com preço em função do número de pessoas no âmbito, tal como os próprios planos.
Perguntas frequentes sobre leis de privacidade
Precisamos da ISO 27701?
Não. A ISO 27701 é uma norma voluntária e certificável, e nem a LGPD nem a PIPEDA a exigem. Pode conduzir qualquer uma das leis no Complyanz sem ela. Se a acrescentar mais tarde, a tabela de correspondência mostra que controlos se relacionam com o trabalho já feito; as correspondências são a nossa leitura, não uma equivalência oficial.
O Complyanz certifica que estamos em conformidade?
Não. O Complyanz não certifica, atesta nem garante a conformidade com a LGPD ou a PIPEDA. Organiza os registos, prazos e documentos que mostram como cumpre as leis; se as cumpre, cabe à ANPD, ao OPC e aos tribunais decidir. O seu encarregado também não precisa de certificação.
Em quanto tempo temos de comunicar um incidente de segurança ao abrigo da LGPD?
Nos termos da Resolução CD/ANPD n.º 15/2024, o incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares afetados no prazo de 3 dias úteis a contar do momento em que o controlador toma conhecimento de que foram afetados dados pessoais, ou 6 para agentes de tratamento de pequeno porte. A comunicação à ANPD pode ser complementada em 20 dias úteis (40 para agentes de pequeno porte). Todos os incidentes, comunicados ou não, devem ser registados, e o registo conservado durante pelo menos cinco anos.
Existe prazo para notificar violações ao abrigo da PIPEDA?
Não há um número fixo de dias. A violação das medidas de segurança que crie risco real de dano significativo deve ser notificada ao Gabinete do Comissário de Privacidade do Canadá (OPC), e as pessoas afetadas notificadas, logo que seja viável depois de a organização concluir que a violação ocorreu. O Complyanz mostra há quanto tempo cada notificação está em aberto, em vez de uma contagem decrescente. Todas as violações, atinjam ou não esse limiar, devem ser registadas, e o registo conservado durante 24 meses.
Podemos transferir dados pessoais do Brasil para a Europa?
Sim, a decisão de adequação é um dos fundamentos legais de uma transferência internacional de dados, nos termos do art. 33 da LGPD. A Resolução CD/ANPD n.º 32/2026 reconhece a União Europeia como adequada, abrangendo os Estados-Membros da UE e os países do EEE, exceto para fins de segurança pública, defesa e matéria penal, e deve ser reavaliada no prazo de quatro anos. Para outros destinos, uma via comum são as cláusulas-padrão contratuais da ANPD, que os contratos existentes tiveram de incorporar até 23 de agosto de 2025. O Canadá não tem decisão de adequação ao abrigo da LGPD.
Cobrem a Lei 25 do Quebeque ou o Projeto de Lei C-36?
Não. O Quebeque, Alberta e a Colúmbia Britânica têm as suas próprias leis de privacidade para o setor privado, substancialmente semelhantes à PIPEDA, e a Lei 25 do Quebeque tem regime próprio; este módulo cobre apenas a PIPEDA. O Projeto de Lei C-36, que criaria uma nova Protecting Privacy and Consumer Data Act, foi apresentado em junho de 2026 e não é lei. O Complyanz modela a PIPEDA tal como está em vigor atualmente.
Construa o seu programa de privacidade
Crie uma organização, responda ao perfil de privacidade e veja que obrigações da LGPD e da PIPEDA se lhe aplicam, e porquê.