--- title: "O que é privacy by design e onde a LGPD exige essa prática" description: "Entenda o que é privacy by design, onde a LGPD cobra essa prática e a diferença entre medida de segurança e tratamento irregular." url: "https://wikijuridica.com.br/lgpd/privacy-by-design/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:fd6afcd137b2ff19ea9d0327596e22e5d37805e94122be1eb0434a8634ff01ce" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei 13.709/2018 (LGPD), art. 46" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art46" verified_at: "2026-07-15" claim: "dever de medidas de segurança desde a concepção do produto ou serviço" - name: "Lei 13.709/2018 (LGPD), art. 44" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art44" verified_at: "2026-07-15" claim: "padrão de tratamento irregular por ausência da segurança esperada pelo titular" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # O que é privacy by design e onde a LGPD exige essa prática Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Adicionar um aviso de privacidade depois que o sistema já está pronto é diferente de desenhar o sistema para coletar só o dado necessário desde a primeira versão do projeto. Essa segunda abordagem tem nome técnico — privacy by design — e não é apenas boa prática de mercado: encontra respaldo direto no texto da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm). ## A base no art. 46 O artigo exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. O §2º do artigo reforça que essas medidas devem ser observadas desde a fase de concepção do produto ou serviço até a sua execução — é esse trecho que fundamenta juridicamente o conceito de privacy by design. ## O que muda em relação a uma medida de segurança pontual Colocar uma senha forte num banco de dados já pronto é medida de segurança; decidir, antes de programar a tela de cadastro, que o formulário só vai pedir e-mail e telefone — não CPF, não data de nascimento completa — porque a finalidade do produto não exige mais do que isso, é privacy by design. A diferença está no momento da decisão: antes ou depois de o sistema existir. ## Quando a ausência de design vira tratamento irregular O art. 44 considera irregular o tratamento que deixa de fornecer a segurança que o titular pode legitimamente esperar, levando em conta as circunstâncias relevantes, entre elas o resultado e os riscos que razoavelmente dele se esperam. Um sistema que nunca pensou em privacidade desde a concepção tende a coletar dado em excesso e a armazenar sem critério — exatamente o padrão que esse artigo trata como falha jurídica, não apenas técnica. ## Privacidade por padrão, o outro lado do conceito Ao lado do privacy by design, a prática de mercado reconhece a privacidade por padrão: as configurações iniciais de um produto devem vir ajustadas para o nível mais protetivo possível, deixando para o usuário a decisão consciente de abrir mão de privacidade, e não o contrário. Um aplicativo que já nasce compartilhando localização com terceiros por padrão, exigindo que o usuário garimpe um menu de configurações para desativar isso, contraria essa lógica, mesmo que tecnicamente ofereça a opção de desligar o compartilhamento. ## Custo de corrigir depois é maior que projetar antes Empresas que só pensam em privacidade depois de um incidente costumam enfrentar retrabalho de engenharia significativo — remover campo de coleta de um banco de dados já populado é mais custoso do que simplesmente não coletar esse campo desde o início. Esse argumento prático, e não apenas o jurídico, é o que tem levado equipes de produto a incorporar avaliação de privacidade já na fase de especificação de um novo sistema. ## Proveniência - [Lei 13.709/2018 (LGPD), art. 46](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art46) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever de medidas de segurança desde a concepção do produto ou serviço - [Lei 13.709/2018 (LGPD), art. 44](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art44) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: padrão de tratamento irregular por ausência da segurança esperada pelo titular --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Anonimização e pseudonimização na LGPD: a diferença que importa](https://wikijuridica.com.br/lgpd/anonimizacao-vs-pseudonimizacao/index.md) - [Responsabilidade civil na LGPD: objetiva ou subjetiva?](https://wikijuridica.com.br/lgpd/responsabilidade-objetiva-ou-subjetiva/index.md) - [ANPD: o que é e o que faz a autoridade de proteção de dados](https://wikijuridica.com.br/lgpd/anpd-o-que-e/index.md) - [Controlador e operador na LGPD: quem decide e quem executa](https://wikijuridica.com.br/lgpd/controlador-vs-operador/index.md) - [Segurança da informação na LGPD: o que a empresa deve adotar](https://wikijuridica.com.br/lgpd/seguranca-informacao-o-que-exigido/index.md) - [Política de privacidade: o que a LGPD exige do texto](https://wikijuridica.com.br/lgpd/politica-privacidade-o-que-conter/index.md) - [Cookies e consentimento: os avisos de privacidade dos sites](https://wikijuridica.com.br/glossario/cookies-consentimento/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/privacy-by-design/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. O que é privacy by design e onde a LGPD exige essa prática. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/privacy-by-design/ Versão do conteúdo: sha256:fd6afcd137b2ff19ea9d0327596e22e5d37805e94122be1eb0434a8634ff01ce Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-privacy-by-design", "type": "webpage", "title": "O que é privacy by design e onde a LGPD exige essa prática", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/privacy-by-design/", "language": "pt-BR", "version": "sha256:fd6afcd137b2ff19ea9d0327596e22e5d37805e94122be1eb0434a8634ff01ce", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: