A LGPD protege dados pessoais de pessoas naturais, em qualquer suporte (físico ou digital), que identifiquem ou possam identificar o titular. Dados de pessoas jurídicas não são considerados dados pessoais para fins da lei. Dados anonimizados não são pessoais, salvo se a anonimização puder ser revertida.

A lei se aplica a pessoas físicas e jurídicas, de direito público ou privado, que realizem operações de tratamento de dados pessoais em meio analógico ou digital no território nacional. Não se aplica: (a) ao tratamento por pessoa natural para fins exclusivamente particulares e não econômicos (ex.: agenda pessoal); (b) a atividades exclusivamente jornalísticas, artísticas ou acadêmicas; (c) a tratamentos voltados à segurança pública, defesa nacional, segurança do Estado ou à prevenção e repressão de infrações penais.

A LGPD entrou em vigor em 18 de setembro de 2020. As sanções administrativas são aplicáveis desde 1º de agosto de 2021 e, permanecem plenamente vigentes e exigíveis, orientando a atuação de organizações públicas e privadas na proteção de dados pessoais.

Controlador e operador podem ser responsabilizados por danos decorrentes de violação à LGPD. O operador responde solidariamente quando descumpre a lei ou deixa de seguir instruções lícitas do controlador; controladores diretamente envolvidos no tratamento que causou o dano também respondem solidariamente. Não haverá responsabilização se o agente comprovar: (i) que não realizou o tratamento a ele atribuído; (ii) que, embora tenha tratado dados, não houve violação; ou (iii) culpa exclusiva do titular ou de terceiro.