LGPD para aplicativos e plataformas digitais: guia prático de conformidade

Resposta rápida: o que um app precisa fazer para a LGPD?

Um aplicativo deve mapear dados e SDKs desde onboarding até exclusão, documentar finalidade e base legal por atividade, separar permissões de iOS/Android da base jurídica da LGPD, manter divulgações da App Store/Google Play coerentes com o comportamento real, revisar crianças e adolescentes, segurança, decisões automatizadas e transferências internacionais.

Permissão do sistema operacional não é base legal da LGPD. E ter uma base legal na LGPD não autoriza ignorar uma permissão obrigatória da plataforma.

Principais conclusões

• OS permission e consentimento LGPD são camadas distintas.
• Apple ATT também é regra de plataforma, não substituto de base legal.
• App Store Privacy e Google Data Safety não substituem aviso de privacidade LGPD.
• IDs de dispositivo, IP e advertising IDs podem ser dados pessoais.
• Hash/pseudonimização não significa anonimização automática.
• Localização não é classificada automaticamente como dado sensível pelo Art. 5º, mas pode ser altamente arriscada.
• Biometria vinculada a pessoa e dados de saúde são sensíveis.
• Crianças/adolescentes exigem Art. 14, ECA Digital e melhor interesse.

Comece com um mapa de dados do aplicativo

Mapeie:

1. instalação;
2. criação de conta;
3. permissões;
4. autenticação;
5. dispositivo/IP;
6. localização;
7. contatos, câmera ou microfone;
8. conteúdo do usuário;
9. pagamentos;
10. analytics;
11. crash reporting;
12. advertising SDKs;
13. push notifications;
14. suporte;
15. IA e perfilamento;
16. exclusão de conta;
17. backend e backups.

Permissão do sistema operacional vs base legal

Uma permissão para câmera, localização ou contatos controla tecnicamente o acesso no dispositivo. Ela não determina por si só a base legal da LGPD.

Exemplo: o app pede permissão de localização. Ainda é necessário explicar finalidade, necessidade, base, retenção e compartilhamento.

O inverso também vale: dizer “temos legítimo interesse” não permite contornar um requisito de permissão de iOS/Android.

Apple ATT

App Tracking Transparency é regra de ecossistema Apple para tracking conforme definição da plataforma. A autorização ATT não é automaticamente consentimento LGPD para qualquer finalidade, e a LGPD não elimina a necessidade de cumprir ATT.

Mantenha as duas análises separadas.

App Store Privacy e Google Data Safety

As lojas exigem declarações próprias sobre coleta, uso e compartilhamento. Essas divulgações são importantes, mas não substituem:

• aviso de privacidade;
• base legal;
• direitos;
• retenção;
• transferências;
• DPA/vendor review.

Inconsistência entre o app real e a declaração da loja é um sinal de governança fraca.

IDs de dispositivo e advertising IDs

Identificadores técnicos podem se relacionar a pessoa ou dispositivo e ser usados para correlação. Não assuma que ID “aleatório” é anônimo.

Se ele permite distinguir, rastrear ou recombinar comportamento, analise como dado pessoal ou pseudonimizado conforme os fatos.

Hash e pseudonimização

Hash de e-mail, telefone ou ID não elimina automaticamente a possibilidade de identificação. Se plataforma ou parceiro consegue comparar o hash com sua própria base, o dado pode continuar pessoal.

Anonimização exige irreversibilidade considerando meios razoáveis e contexto, não apenas aplicação de uma função matemática.

Localização

O Art. 5º, II, não lista localização como categoria sensível por si só. Entretanto, histórico preciso de localização pode revelar religião, saúde, rotina, sexualidade ou outros aspectos de alto impacto.

Trate localização com minimização, granularidade, retenção curta e controles proporcionais.

Biometria e saúde

Dado biométrico vinculado a pessoa natural e dado de saúde são dados sensíveis. A análise deve migrar para Art. 11 e incluir segurança reforçada.

Não use legítimo interesse do Art. 7º como fundamento de biometria.

SDKs de terceiros

Cada SDK pode coletar mais do que o time de produto imagina. Para cada um, registre:

• fornecedor;
• versão;
• finalidade;
• eventos;
• identificadores;
• países;
• retenção;
• compartilhamento;
• possibilidade de desligamento;
• consentimento/permissão necessária;
• contrato e papel.

Revise SDKs de analytics, ads, crash, attribution, chat e mapas.

Crianças e adolescentes

O Art. 14 exige melhor interesse. Em 2026, o ECA Digital (Lei 15.211/2025) está em vigor e aumenta a relevância de design e proteção para produtos digitais direcionados ou provavelmente acessados por crianças/adolescentes.

A ANPD mantém agenda de regulamentação e orientações sobre age assurance. Não trate consentimento parental como única questão; avalie design, minimização, publicidade, perfilamento, idade e salvaguardas.

Decisões automatizadas e IA

O Art. 20 é relevante quando decisões tomadas unicamente com base em tratamento automatizado afetam interesses. Nem toda recomendação de conteúdo ou personalização ativa automaticamente esse regime.

Mapeie:

• decisão;
• dados de entrada;
• efeito;
• possibilidade de revisão;
• explicação e transparência;
• fornecedor/modelo;
• retenção de prompts;
• uso para treinamento.

Exclusão de conta

Apple e Google possuem requisitos de plataforma relacionados à exclusão de contas em determinados contextos. Isso não é idêntico ao direito de eliminação da LGPD.

Quando o usuário exclui a conta, determine:

• o que é eliminado do backend;
• o que é preservado legitimamente;
• o que fica em backup;
• o que terceiros receberam;
• quando a exclusão é propagada.

Desinstalar o aplicativo não apaga automaticamente dados do servidor.

Transferências internacionais

SDKs e backend frequentemente enviam dados para múltiplos países. Identifique localização de cloud, analytics, crash, ads, suporte e IA.

Uma SDK com endpoint nos EUA pode criar questão de Art. 33 mesmo que o app seja publicado por empresa brasileira.

Segurança mobile

Revise:

• armazenamento local;
• tokens;
• transporte TLS;
• secrets no app;
• autenticação;
• jailbreak/root risk conforme contexto;
• API authorization;
• logging sensível;
• screenshots/caches;
• push notification content;
• proteção de backend.

Checklist de 20 pontos

1. Escopo LGPD.
2. Data map mobile/backend.
3. Inventário de permissões.
4. Base legal por finalidade.
5. SDK inventory.
6. App Store Privacy.
7. Google Data Safety.
8. ATT quando aplicável.
9. IDs de dispositivo.
10. Localização.
11. Biometria/saúde.
12. Crianças/adolescentes.
13. Cookies/webviews.
14. Ads e attribution.
15. IA/automação.
16. Direitos.
17. Exclusão de conta.
18. Transferências.
19. Segurança.
20. Revisão a cada release relevante.

Erros comuns

“O usuário deu permissão, então temos consentimento LGPD.”

Não necessariamente.

“ATT aprovado resolve a LGPD.”

Não.

“Data Safety é nossa política de privacidade.”

Não substitui aviso completo.

“Hash torna o ID anônimo.”

Não automaticamente.

“Desinstalou o app, os dados foram apagados.”

Normalmente não.

Perguntas frequentes

Localização é dado sensível?

Não é listada automaticamente como categoria sensível no Art. 5º, II, mas pode ser de alto risco conforme contexto.

Advertising ID é dado pessoal?

Pode ser quando relacionado ou relacionável a pessoa/dispositivo identificável.

Apps infantis precisam só de consentimento dos pais?

Não. Melhor interesse, design, minimização e regras do ECA Digital também importam.

Fontes oficiais

• LGPD — texto compilado
• ANPD — Regulamentações e materiais sobre crianças/adolescentes
• Documentação atual de privacidade e tracking da Apple e Google deve ser verificada conforme a versão do app e serviços utilizados.