A Lei Geral de Proteção de Dados (LGPD) entrará em vigor nos próximos dias, colocando o Brasil entre as nações que adotaram modernas medidas de proteção à privacidade, cumprindo requisito para seu ingresso na OCDE (Organização para Cooperação de Desenvolvimento Econômico).

A lei protege dados pessoais apenas de pessoas físicas, não protegendo as jurídicas.

Dados pessoais são os que identificam o perfil e as preferências da pessoa, incluindo nome e dados gerais de identificação. Serão sensíveis sempre que disserem respeito a raça, etnia, convicção religiosa ou política, filiação a sindicato ou organização de caráter religioso, filosófico ou político —ou, ainda, referente à saúde, vida sexual, dado genético ou biométrico.

Esses dados só podem ser usados com o consentimento inequívoco de seu titular, o qual deverá ser informado pela empresa interessada, salvo se o uso for para fins não econômicos ou com objetivo jornalístico, artístico ou acadêmico.

Tratamento de dados é qualquer forma de utilização, tais como coleta, processamento, armazenamento, compartilhamento, transferência ou eliminação. Para tanto, exige a presença de três novas figuras: controlador, operador e encarregado.

Controlador é a pessoa física ou jurídica que fixa a finalidade específica para o recolhimento dos dados pessoais. Nenhum dado pode ser colhido sem sua prévia fixação (princípio da finalidade).

Por exemplo: a loja que recebe os dados do consumidor é uma controladora desses dados, já que deles necessita para a cobrança e entrega. Os únicos dados que podem ser colhidos são os estritamente necessários para essa operação.

Ao armazenar tais dados, a empresa deverá deixar registrado em seus arquivos que os mantêm exclusivamente para esse fim.

O operador é a pessoa física ou jurídica contratada pela controladora para efetuar em seu nome o tratamento dos dados. No exemplo da loja, será quem recebe as informações cadastrais para efetuar a entrega do produto, não podendo se servir dessas informações para nenhum outro objetivo.

A loja que detém os dados é a controladora; a entregadora que os recebeu, a operadora.

Encarregado é o profissional responsável por zelar pelas regras de tratamento de dados, fiscalizando a controladora e a operadora. Atua como um consultor ou ouvidor, devendo ficar junto ao controlador em função de assessoramento, além de realizar o contato entre a empresa controladora e a operadora e os órgãos públicos de fiscalização.

A coleta será restrita às informações necessárias para o negócio (princípio da necessidade) —se a empresa recolher dados pessoais para emitir nota fiscal, não poderá aproveitá-los para nenhum outro fim.

O titular tem direito de acesso às informações de seus dados em poder da empresa, que terá 15 dias para responder, a partir da solicitação.

Sobre o tratamento de dados pessoais de crianças e adolescentes, este deverá ser realizado em seu melhor interesse, sendo exigido consentimento específico, em destaque, por pelo menos um de seus pais ou pelo responsável legal.

Em caso de violação à lei, pode ser aplicada multa de até 2% do faturamento da empresa, limitada ao máximo de R$ 50 milhões, além de advertência e outras sanções de ordem administrativa impostas pela Autoridade Nacional de Proteção de Dados Pessoais, sem prejuízo da ação fiscalizatória dos Procons, já que o titular dos dados é um consumidor.

Recomenda-se, com urgência, o desenvolvimento de programas internos de compliance, bem como a formação de grupos de trabalho para desenvolvimento de tecnologia da informação (TI), a fim de evitar graves prejuízos à empresa decorrentes da violação da lei.​