A aplicação da Lei Geral de Proteção de Dados no tempo possui algumas peculiaridades.
Por conter, na sua maior parte, normas de direito material, a entrada em vigor da LGPD produz efeitos gerais e imediatos, respeitados o ato jurídico perfeito, o direito adquirido e a coisa julgada (art. 6º da Lei de Introdução às Normas do Direito Brasileiro – Decreto-Lei nº 4.657/42).
Logo, os atos praticados antes da entrada em vigor da LGPD observam as leis anteriores, mas os efeitos produzidos a partir da vigência da Lei Geral de Proteção de Dados se subordinam às suas normas, exceto se o negócio jurídico tiver previsto uma forma diferente de execução (art. 2.035 do Código Civil).
Por exemplo, os bancos de dados criados antes do término do período de vacância da LGPD deveriam se adequar às leis existentes, mas devem ser adaptados atualmente à Lei Geral de Proteção de Dados, considerando a produção dos efeitos do tratamento realizado anteriormente e que sobre esse banco de dados serão realizadas atividades de tratamento a partir da entrada em vigor da nova lei.
Além disso, a LGPD possui um longo período de vacância: promulgada no dia 14 de agosto de 2018 e publicada em 15 de agosto de 2018, inicialmente entraria em vigor após o decurso de dezoito meses de sua publicação (art. 65).
Em regra, caso não haja nenhuma regra expressa, o período de vacância das leis no Brasil é de 45 dias a partir da publicação (art. 1º do Decreto-Lei nº 4.657/42).
Logo, o prazo inicialmente fixado é muito superior ao normalmente estipulado entre as datas de publicação e de início da vigência. Recorda-se que, por exemplo, a vacatio legis de um ano do Código Civil (art. 2.044) e do Código de Processo Civil (art. 1.045) e de 180 dias do Código de Defesa do Consumidor (art. 118).
Além disso, mesmo antes do início de sua vigência, a LGPD já foi alterada pela Medida Provisória nº 869/2018 (para, entre outros fins, suprir a lacuna existente em virtude do veto sobre as regras de instalação da ANPD), convertida na Lei nº 13.853/2019 – que, inclusive, alterou a ementa da lei para Lei Geral de Proteção de Dados Pessoais (LGPD) –, pela Medida Provisória nº 959/2020, pela Lei nº 14.010/2020 e pela Lei nº 14.058/2020, derivada da conversão desta última MP.
As cinco normas modificadoras da LGPD alteraram as suas regras de vacatio legis, isto é, do prazo definido para o início da vigência da lei.
Na sua redação original, o art. 65 da LGPD previa que “esta Lei entra em vigor após decorridos 18 (dezoito) meses de sua publicação oficial”.
Com a primeira alteração, realizada pela Medida Provisória nº 869/2018 e a Lei nº 13.853/2019, a vacância passou a ser de 24 meses, exceto para os dispositivos sobre a criação da Autoridade Nacional de Proteção de Dados (ANPD), que entraram em vigor no dia 28 de dezembro de 2018 (arts. 55-A a 55-L e arts. 58-A e 58-B).
Outra mudança foi realizada pela Medida Provisória nº 959/2020, que substituiu a primeira regra (24 meses a partir da publicação) por um dia fixo: 3 de maio de 2021.
Em seguida, a Lei nº 14.010/2020, acrescentou o inciso I-A entre os incisos I e II do art. 65 da LGPD, para acrescentar uma nova exceção à regra da entrada em vigor no dia 03/05/2021, relativa às sanções administrativas previstas nos arts. 52, 53 e 54, que entrarão em vigor apenas no dia 1º de agosto de 2021.
Contudo, a alteração promovida pela Medida Provisória nº 959/2020 não foi convertida em lei, por ter sido excluída pelo Senado Federal no dia 26/08/2020 (último dia do prazo constitucional para a conversão da medida provisória em lei).
Com isso, a entrada em vigor da maior parte das normas da LGPD ocorreu no dia 18 de setembro de 2020, data da publicação da Lei nº 14.058/2020, derivada da conversão da MP 959/2020 (exceto os dispositivos sobre a criação da ANPD, vigentes desde 28/12/2018, e os dispositivos acerca das sanções administrativas, vigentes a partir de 01/08/2021).
Portanto, e observadas as regras de aplicação da lei no tempo acima referidas, a maior parte das normas da LGPD entrou em vigor no país em 18 de setembro de 2020 (e caso não haja novas alterações na vacatio legis), com a sua vigência integral concretizada em 1º de agosto de 2021, quando a Autoridade Nacional de Proteção de Dados poderá aplicar as sanções administrativas previstas na lei.