LGPD e envio de arquivos: o que a lei exige

Um envio de arquivos de acordo com a LGPD é aquele em que os dados pessoais são enviados só quando necessário, protegidos por medidas de segurança adequadas, como a criptografia, guardados apenas pelo tempo preciso e tratados por um fornecedor que segue as suas instruções, com qualquer transferência para fora do Brasil apoiada em uma das hipóteses do art. 33. A Lei nº 13.709/2018 não certifica ferramentas: ela cria obrigações para quem envia os dados, e o serviço certo torna essas obrigações muito mais fáceis de cumprir.

Este guia mostra os artigos da LGPD que se aplicam quando você envia arquivos com dados pessoais, como currículos, holerites, laudos, fotos de pessoas ou listas de clientes, as regras da ANPD para incidentes e transferências internacionais, e o paralelo com o RGPD europeu. É informação geral, atualizada em outubro de 2026, e não aconselhamento jurídico: o encarregado de dados (DPO) ou o advogado da sua empresa tem a palavra final no seu caso.

Quando a LGPD se aplica ao envio de arquivos?

Sempre que os arquivos tiverem dados pessoais, ou seja, qualquer “informação relacionada a pessoa natural identificada ou identificável” (art. 5º, I), e o tratamento acontecer no Brasil, tiver como objetivo oferecer bens ou serviços a pessoas no Brasil ou envolver dados coletados aqui (art. 3º). Um contrato com nome e endereço, uma planilha de clientes, a cópia de um RG, uma foto em que as pessoas são reconhecíveis: tudo conta. A definição de tratamento inclui expressamente a transmissão, a distribuição, o armazenamento e a transferência (art. 5º, X), então enviar o arquivo é tratamento, e o armazenamento temporário pelo serviço de transferência também.

Atenção redobrada para os dados pessoais sensíveis (art. 5º, II), como dados de saúde, biométricos, genéticos, de origem racial ou étnica, de convicção religiosa ou de filiação sindical: um laudo médico ou um exame anexado a um e-mail entra nessa categoria.

Os artigos da LGPD que importam no envio de arquivos

Controlador e operador: quem responde pelo quê

Na LGPD, a sua empresa é o controlador, a quem “competem as decisões referentes ao tratamento” (art. 5º, VI). Quando um serviço de transferência armazena arquivos em seu nome, ele atua como operador, que realiza o tratamento “em nome do controlador” (art. 5º, VII) e deve seguir as suas instruções (art. 39). A LGPD não traz uma lista de cláusulas contratuais obrigatórias como o RGPD europeu, mas a ANPD recomenda que as obrigações sobre comunicação de incidentes entre controlador e operador sejam estabelecidas em contrato, e lembra que o operador deve avisar o controlador de um incidente sem demora injustificada. Para uso profissional, confira se o fornecedor publica uma política de privacidade clara, diz onde armazena os arquivos e quais empresas (suboperadores) têm acesso a eles.

A LGPD exige criptografia?

Não com essa palavra. O art. 46 pede medidas de segurança “técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados” e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação. Na prática, a criptografia é o mínimo esperado para enviar dados pessoais pela internet, e ela traz um benefício concreto em caso de incidente: segundo o art. 48, § 3º, ao avaliar a gravidade, a ANPD considera se foram adotadas medidas técnicas que tornem os dados “ininteligíveis” para terceiros não autorizados.

A própria ANPD dá um exemplo: o roubo de um notebook pode ou não gerar risco relevante, e a avaliação depende, entre outros pontos, de os dados estarem ou não protegidos por criptografia. A criptografia de ponta a ponta, em que nem o fornecedor consegue ler os arquivos, é a forma mais forte; veja o que significa criptografia de ponta a ponta.

Por quanto tempo os arquivos podem ficar disponíveis?

Uma pasta compartilhada que fica aberta por anos combina mal com a LGPD: o tratamento termina quando a finalidade foi alcançada ou os dados deixaram de ser necessários (art. 15), e os dados devem então ser eliminados, salvo exceções como o cumprimento de obrigação legal (art. 16). Links de transferência que expiram depois de poucos dias, com arquivos apagados no vencimento, aplicam essa regra por padrão, sem que ninguém precise se lembrar de fazer a limpeza. O guia sobre como proteger link com senha e validade sugere prazos para cada situação.

Transferência internacional: e se os arquivos ficarem fora do Brasil?

Guardar arquivos com dados pessoais em servidores no exterior é uma transferência internacional de dados, permitida só nas hipóteses do art. 33, como países ou organismos com grau de proteção adequado (inciso I) ou garantias como as cláusulas-padrão contratuais (inciso II). A Resolução CD/ANPD nº 19/2024 regulamentou esses mecanismos e trouxe o texto das cláusulas-padrão, que devem ser usadas sem modificações.

Para a Europa, o cenário ficou mais simples em 2026: pela Resolução nº 32/2026, a ANPD reconheceu a União Europeia como adequada, e, segundo a Comissão Europeia, Brasil e UE adotaram decisões de adequação mútuas. Até outubro de 2026, a página da ANPD não listava nenhum outro país adequado, então, para destinos como os Estados Unidos, o caminho usual continua sendo as cláusulas-padrão ou outra hipótese do art. 33.

E o RGPD? O equivalente europeu da LGPD

A LGPD se inspirou no Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD, ou GDPR em inglês), e as duas leis falam a mesma língua: necessidade ou minimização, segurança, prazo de conservação, registro, transferências internacionais. Se a sua empresa oferece serviços a pessoas na União Europeia, ou se você trabalha em Portugal, é o RGPD que se aplica a esses dados. As diferenças que mais pesam no envio de arquivos:

Em Portugal, a CNPD recebe as notificações de violação de dados por um formulário próprio no seu site, dentro das 72 horas do RGPD, e lembra que toda violação deve ser documentada, mesmo quando não precisa ser notificada.

Checklist: como escolher um serviço de envio adequado à LGPD

• Uma política de privacidade clara, que diga quem trata os dados, para quê e com quais suboperadores.
• Local de armazenamento informado, e uma base legal para a transferência quando ele fica fora do Brasil (a União Europeia, por exemplo, é considerada adequada pela ANPD).
• Criptografia em trânsito e em repouso, e criptografia de ponta a ponta disponível para arquivos sensíveis.
• Prazo de validade com exclusão automática, senha e limite de downloads.
• Controle de acesso do lado de quem envia: verificação em duas etapas, papéis na equipe.
• Um jeito de apagar uma transferência na hora se ela foi para a pessoa errada.

Checklist: como usar o serviço de acordo com a LGPD

1. 1

   Passo 1

   Envie o mínimo

   Mande só os documentos e dados de que o destinatário precisa; oculte o resto, como números de CPF que não são necessários.

2. 2

   Passo 2

   Proteja

   Use uma senha enviada por outro canal e criptografia de ponta a ponta para dados sensíveis, como saúde, ou documentos de identidade.

3. 3

   Passo 3

   Limite no tempo

   Escolha uma validade curta e um limite de downloads igual ao número de destinatários.

4. 4

   Passo 4

   Confira o destinatário

   Verifique o endereço: a ANPD cita o envio para o destinatário incorreto como exemplo típico de incidente.

5. 5

   Passo 5

   Faça a limpeza

   Apague cópias locais e anexos enviados de que não precisa mais.

6. 6

   Passo 6

   Documente

   Inclua a ferramenta no registro das operações de tratamento (art. 37) e mantenha a regra interna curta e conhecida por todos.

Se um arquivo foi para a pessoa errada: o que a ANPD exige

Retire o acesso ao link imediatamente, verifique se os arquivos foram baixados e avalie o risco para as pessoas envolvidas, considerando o tipo de dado, a quantidade de titulares e se os dados estavam criptografados. Se o incidente puder acarretar risco ou dano relevante, o art. 48 obriga o controlador a comunicá-lo à ANPD e aos titulares. Pela Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis, ressalvado prazo diferente previsto em legislação específica, e as informações podem ser complementadas, de forma fundamentada, em até vinte dias úteis.

A comunicação à ANPD é feita pelo encarregado ou por um representante do controlador, pelo peticionamento eletrônico do SEI!ANPD. A comunicação ao titular deve usar linguagem simples e trazer, entre outras informações, a natureza dos dados afetados, os riscos, as medidas adotadas e um contato. O checklist para enviar arquivos com segurança ajuda a evitar que isso aconteça.

Situações comuns e a configuração recomendada

Para ver como esses recursos se combinam no Transfr, consulte a página de transferência de arquivos segura.