A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) nasceu com o propósito de proteger os direitos fundamentais de liberdade e privacidade de todo cidadão brasileiro. Segundo o Ministério Público Federal, seu foco é “a criação de um cenário de segurança jurídica, com a padronização de regulamentos e práticas para promover a proteção aos dados pessoais de todo cidadão que esteja no Brasil, de acordo com os parâmetros internacionais existentes.”
A lei vale para qualquer empresa ou pessoa que trate dados pessoais, no meio digital e no físico. Isso significa que uma concessionária que guarda fichas em papel, uma seguradora que armazena histórico de sinistros ou uma plataforma de inteligência veicular que cruza informações de CPF com dados de veículos: todas estão sujeitas à LGPD.
Para o mercado automotivo, isso é especialmente relevante. Pense nos dados que circulam nesse setor:
- Nome, CPF e endereço do comprador de um veículo;
- Histórico financeiro para financiamento;
- Dados de geolocalização em sistemas de rastreamento;
- Hábitos de direção em seguros por uso (pay-per-use);
- Informações biométricas em sistemas de acesso a veículos conectados.
Todos esses dados exigem tratamento conforme a LGPD.
Quem fiscaliza a LGPD? O papel da ANPD em 2025
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por fiscalizar e aplicar penalidades às empresas que descumprem a lei. E em 2025, a atuação da ANPD entrou em uma nova fase.
Até 2023, o órgão adotou postura predominantemente educativa. A primeira multa da história foi aplicada em julho de 2023 contra a microempresa Telekall Infoservice R$ 14.400, equivalente ao teto legal para aquele porte de empresa, por comercialização irregular de dados para campanhas eleitorais.
O cenário mudou substancialmente a partir de 2024 e 2025:
- A ANPD publicou resoluções que tornaram obrigatória a nomeação e divulgação pública de um DPO (Encarregado de Proteção de Dados) Resolução nº 18/2024
- Foram estabelecidas regras claras para transferências internacionais de dados Resolução nº 19/2024 e Resolução nº 8/2025
- A Portaria ANPD nº 5/2024 passou a exigir que empresas que usam ou desenvolvem Inteligência Artificial documentem fontes de treinamento e garantam explicabilidade algorítmica
- A Deliberação CD-10/2025 introduziu multas diárias por descumprimento de medidas cautelares
- Em julho de 2024, a ANPD suspendeu cautelarmente o tratamento de dados de uma empresa de comunicações por uso irregular de dados para treinar IA, com multa diária de R$ 50 mil
A mensagem é clara: a fase de orientação chegou ao fim. Setores como tecnologia, telecomunicações, saúde e, especialmente, o mercado veicular e de dados automotivos estão sob escrutínio crescente.
Quais são os 10 princípios da LGPD?
A LGPD estabelece 10 princípios que toda empresa deve seguir ao tratar dados pessoais. Conhecê-los é o primeiro passo para a conformidade:
- Finalidade:É obrigatório informar ao titular, de forma clara e explícita, para qual propósito os dados serão usados.
- Adequação:A justificativa da coleta precisa fazer sentido com o tipo de informação solicitada.
- Necessidade:Apenas os dados estritamente necessários para a finalidade declarada devem ser coletados.
- Livre acesso:O titular tem direito de saber quais dados a empresa possui sobre ele, de forma fácil e gratuita.
- Qualidade dos dados:As informações devem ser exatas, claras e atualizadas.
- Transparência:Toda comunicação da empresa — sites, redes sociais, contratos — deve ser clara e verdadeira sobre o uso dos dados.
- Segurança:É dever da empresa proteger os dados de acessos não autorizados e vazamentos.
- Prevenção:A proteção deve ser proativa: pensar nos riscos antes que ocorram problemas, não depois.
- Não discriminação:Os dados não podem ser usados para fins discriminatórios ou ilícitos.
- Responsabilização e prestação de contas:A empresa precisa comprovar, com evidências, todas as medidas adotadas para proteger os dados.
Como a LGPD afeta especificamente o mercado veicular?
O setor automotivo é um dos mais impactados pela LGPD e a tendência é que essa pressão aumente. Veja os principais pontos de atenção:
Concessionárias e lojas de veículos
Qualquer informação coletada de um comprador — CPF, renda, histórico de crédito — precisa ter finalidade declarada e consentimento do titular. Dados de clientes não podem ficar armazenados informalmente em planilhas pessoais de vendedores ou celulares pessoais, uma prática comum que a LGPD veio justamente combater.
Plataformas de dados veiculares e informações cadastrais
Empresas que cruzam dados de CPF com informações de veículos (histórico de multas, sinistros, financiamentos, leilões) operam em um segmento crítico. Em setembro de 2025, o STJ consolidou o entendimento de que a disponibilização indevida de dados cadastrais — como telefone ou histórico de adimplemento — por agências de dados, sem consentimento ou comunicação prévia, gera dano moral presumido e responsabilidade objetiva. Basta o fato da divulgação para gerar direito à indenização.
Rastreamento veicular e frotas
Dados de geolocalização, horários e padrões de comportamento de motoristas são dados pessoais. Empresas do setor precisam definir a base legal adequada (geralmente “legítimo interesse” para gestão de frota, ou “consentimento” para controle de desempenho de motoristas), realizar Relatórios de Impacto à Proteção de Dados (RIPD) e garantir transparência.
Veículos conectados
Carros modernos geram dados como localização, comandos de voz e hábitos de direção. Montadoras e seguradoras que utilizam essas informações, em seguros por uso, manutenção preditiva ou personalização de serviços, precisam obter consentimento claro, evitando termos genéricos que escondam finalidades comerciais.
Seguradoras e financeiras automotivas
Quais são as penalidades por descumprir a LGPD?
As sanções previstas pela LGPD incluem:
- Advertência, com prazo para adoção de medidas corretivas;
- Multa de até 2% do faturamento bruto anual da empresa, limitada a R$ 50 milhões por infração;
- Publicização da infração exposição pública da marca como infratora;
- Bloqueio ou eliminação dos dados pessoais relacionados à irregularidade;
- Suspensão parcial ou total das atividades de tratamento de dados.
Para ter dimensão do impacto financeiro: uma empresa com faturamento de R$ 20 milhões ao ano pode ser multada em até R$ 400 mil por infração. Uma empresa de R$ 100 milhões, em até R$ 2 milhões, por infração.
Além das sanções administrativas da ANPD, vazamentos e uso indevido de dados expõem as empresas a ações civis movidas pelos titulares lesados, com indenizações por danos morais, inclusive presumidos, conforme entendimento consolidado pelo STJ em 2025.
Como uma empresa de dados veiculares lida com a LGPD? A experiência da Infocar
A Infocar atua em um dos segmentos que a LGPD mais impacta: tecnologia aplicada ao mercado veicular. Utilizamos inteligência artificial e cruzamento de dados para desenvolver soluções que atendem mais de 10 segmentos do setor automotivo — de seguradoras a lojistas, de despachantes a financeiras.
Para nós, a LGPD não representou um obstáculo, mas a formalização de uma cultura que já praticávamos: tratar dados com responsabilidade é a base de qualquer produto de informação confiável.
A confiança dos nossos clientes está no centro das nossas preocupações. Por isso, nossas ações são transparentes e produzem resultados mensuráveis.
Como a Infocar se preparou para a LGPD?
Nossa adequação passou por adesão de aplicações computacionais até adoção de processos e controles baseados em práticas internacionais de Gerenciamento e Governança de Tecnologia da Informação — ISO 27001/02, COBIT, ITIL e LGPD.
As principais ações implementadas incluem:
Governança e mapeamento
- Mapeamento de dados sensíveis e estrutura de produtos impactados pela LGPD;
- Definição do ciclo de dados da companhia conforme o artigo 5º da LGPD, divulgado em portais;
- Gestão dos registros das operações de tratamento de dados;
- Revisão de contratos legados para adequação à LGPD.
Direitos dos titulares
- Gerenciamento de consentimentos para tratamento de dados pessoais;
- Gerenciamento dos direitos dos titulares de dados;
- Termos de consentimento e confidencialidade com colaboradores, terceiros e fornecedores.
Segurança técnica
- Criptografia de dados sensíveis em banco de dados;
- Análise de vulnerabilidades periódica e gerenciamento de identidades;
- Monitoramento de firewall para proteção do ambiente de TI;
- Segregação de ambientes (Produção, Homologação e Desenvolvimento);
- Soluções de antivírus para proteção dos ativos internos.
Processos e cultura
- Programas contínuos de conscientização e treinamento sobre privacidade para equipes e terceiros;
- Gestão de incidentes de segurança por meio de plataformas especializadas;
- Metodologia de gerenciamento de desenvolvimento de sistemas;
- Divulgação de políticas e materiais em ferramentas internas colaborativas.
LGPD em 2025: o que mudou e o que sua empresa precisa saber agora
Se em 2021 a LGPD era novidade, em 2025 ela é realidade operacional. As principais mudanças recentes que afetam o mercado veicular e de dados são:
DPO obrigatório e público — Desde a Resolução nº 18/2024, toda empresa que trata dados pessoais precisa nomear um encarregado de proteção de dados (DPO) e tornar essa informação pública.
Relatórios de Impacto (RIPD) mais exigidos — Antes pouco solicitados, os RIPDs são agora cobrados com frequência nas auditorias como prova de que a empresa adota políticas consistentes.
IA sob regulação — Empresas que usam inteligência artificial para tomar decisões com base em dados pessoais precisam garantir transparência, possibilidade de revisão humana e documentação das fontes de treinamento.
Transferências internacionais regulamentadas — A Resolução nº 8/2025 detalha as salvaguardas para exportação de dados ao exterior, incluindo cláusulas contratuais padrão aprovadas pela ANPD.
Fiscalização mais ativa — A “fase educativa” chegou ao fim. A expectativa para o ciclo 2025-2026 é de auditorias mais frequentes, especialmente nos setores de tecnologia, telecomunicações, saúde e dados financeiros.
Conclusão
A LGPD não é uma tendência passageira, é parte de uma transformação global que coloca a privacidade no centro das operações corporativas. Para o mercado veicular, que lida com um volume crescente de dados sensíveis em um contexto de digitalização acelerada, conformidade não é opção: é requisito de operação.
A base da lei continua simples: peça autorização antes de tratar dados, seja transparente sobre o uso, proteja as informações e esteja pronto para responder. Empresas que incorporam esses princípios à sua cultura, como a Infocar faz desde antes da lei entrar em vigor, não apenas evitam penalidades, mas constroem uma relação de confiança com clientes e parceiros que se traduz em vantagem competitiva real.
FAQ — Perguntas Frequentes sobre LGPD no mercado veicular
O que é a LGPD, em termos simples?
A LGPD (Lei nº 13.709/2018) é a lei brasileira que regula como empresas e órgãos públicos coletam, armazenam, usam e compartilham dados pessoais de cidadãos. Ela vale tanto para processos digitais quanto físicos, e tem como objetivo garantir privacidade, transparência e segurança no uso de informações pessoais.
A LGPD vale para concessionárias de veículos?
Sim. Qualquer empresa que colete ou trate dados de pessoas físicas está sujeita à LGPD, incluindo concessionárias, lojas de carros usados, despachantes, seguradoras e financeiras automotivas. Isso inclui desde fichas de cadastro de clientes até o envio de ofertas por e-mail ou WhatsApp.
Quais dados de veículos são protegidos pela LGPD?
Dados do veículo em si (placa, chassi, cor, modelo) são informações públicas e não são protegidos pela LGPD. O que a lei protege são os dados da pessoa física associada ao veículo: nome, CPF, endereço, histórico financeiro, geolocalização do condutor e dados comportamentais de direção.
Quais são as multas por descumprir a LGPD?
As penalidades incluem advertência, multa de até 2% do faturamento bruto anual limitada a R$ 50 milhões por infração, publicização da infração, bloqueio dos dados e suspensão das atividades de tratamento. Além disso, vazamentos podem gerar ações civis com indenizações por danos morais, que o STJ consolidou como presumidos em casos de compartilhamento indevido de dados cadastrais.
O que é o DPO e minha empresa precisa ter um?
O DPO (Data Protection Officer), ou Encarregado de Proteção de Dados, é o profissional responsável por garantir a conformidade da empresa com a LGPD. Desde a Resolução nº 18/2024 da ANPD, é obrigatório nomear um DPO e divulgar publicamente seus dados de contato. Empresas que tratam dados pessoais em qualquer volume precisam cumprir essa exigência.
O que é o RIPD e quando minha empresa precisa fazer um?
O Relatório de Impacto à Proteção de Dados (RIPD) é um documento que descreve as atividades de tratamento de dados que podem gerar riscos para os titulares e as medidas adotadas para mitigá-los. Em 2025, a ANPD passou a solicitá-lo com maior frequência em auditorias como comprovação de conformidade. É especialmente recomendado para empresas que tratam dados sensíveis ou realizam decisões automatizadas com base em dados pessoais.
Como a LGPD afeta o rastreamento veicular?
Dados de geolocalização de motoristas são dados pessoais sob a LGPD. Empresas de rastreamento precisam definir a base legal do tratamento (geralmente “legítimo interesse” para gestão de frota), garantir transparência com os motoristas, realizar RIPD e ter contratos claros com todos os agentes envolvidos (fabricantes de hardware, plataformas de software, contratantes).
A Infocar está adequada à LGPD?
Sim. A Infocar implementou um programa abrangente de conformidade com a LGPD, baseado em normas internacionais como ISO 27001/02, COBIT e ITIL. Isso inclui criptografia de dados sensíveis, gestão de consentimentos, treinamento de equipes, análise periódica de vulnerabilidades, gestão de incidentes e revisão contratual. Nossa política de privacidade e o contato do DPO estão disponíveis em infocar.com.br.
O que fazer se minha empresa ainda não está adequada à LGPD?
O primeiro passo é mapear quais dados pessoais sua empresa coleta e como eles são tratados (Data Mapping). Em seguida: revise contratos com fornecedores e clientes, nomeie um DPO, implemente política de privacidade clara, treine sua equipe e adote medidas técnicas de segurança (criptografia, controle de acesso, backups). O custo da adequação é significativamente menor do que o custo de uma sanção ou de um vazamento.
