LGPD para Pequenas Empresas: Guia Simplificado de Adequação

A maior parte do que uma pequena empresa ouve sobre LGPD é vendida por quem tem interesse em fazer o problema parecer maior do que ele é. O resultado é um mercado onde o dono de uma empresa de 25 funcionários acredita que precisa de um DPO contratado, de um projeto de seis meses e de software de mapeamento de dados, quando a lei e a própria Autoridade Nacional de Proteção de Dados dizem algo bem diferente. Existe um regime específico para empresas do porte da sua, ele reduz obrigações formais de maneira relevante, e quase ninguém o menciona.

Este guia trata da adequação sob a ótica de quem tem orçamento apertado e nenhuma estrutura jurídica interna. Não é um artigo sobre controles técnicos, esse assunto está no texto sobre implementação técnica da LGPD, nem uma comparação com a regulação europeia, tema do comparativo entre LGPD e GDPR. Aqui o foco é: o que a lei obriga, o que a ANPD dispensa para empresa pequena, e em que ordem fazer as coisas para sair do zero com o mínimo de dinheiro e de tempo.

O que a Lei Realmente Exige de uma Empresa Pequena

A Lei nº 13.709/2018 não tem faixa de isenção por porte. Ela se aplica a toda operação de tratamento de dados pessoais realizada no Brasil, e tratamento é praticamente qualquer coisa que se faça com o dado: coletar, guardar, usar, compartilhar, eliminar. Uma planilha de clientes com nome e telefone já é tratamento de dados pessoais. O grupo de WhatsApp com os dados de entrega também.

Retiradas as camadas de complexidade que consultorias adicionam, a lei cobra de qualquer empresa cinco coisas concretas:

• Ter uma base legal para cada tratamento. O art. 7º lista dez hipóteses que autorizam tratar dados pessoais comuns, e o art. 11 lista as hipóteses mais restritas para dados sensíveis, como saúde, biometria e opinião política. Tratar dado sem se encaixar em nenhuma hipótese é a infração de base.
• Informar o titular. A pessoa precisa saber, de forma acessível, quais dados são coletados, para quê, com quem são compartilhados e como exercer os direitos dela. Isso é o que a política de privacidade deveria fazer, em vez de existir apenas como enfeite no rodapé do site.
• Atender aos direitos do titular. O art. 18 garante confirmação de tratamento, acesso, correção, portabilidade, eliminação e informação sobre compartilhamento, entre outros. Se alguém pedir, a empresa responde, e responde no prazo.
• Manter registro das operações de tratamento. O art. 37 obriga controlador e operador a manter esse registro. É o famoso inventário de dados, e ele é a fundação de tudo o mais.
• Adotar medidas de segurança e comunicar incidentes relevantes. Medidas técnicas e administrativas proporcionais ao risco, e aviso à ANPD e aos titulares quando o incidente puder gerar risco ou dano relevante.

Repare no que não está nessa lista: não há exigência de certificação, de ferramenta específica, de consultoria externa ou de auditoria anual. A lei é indiferente a como a empresa cumpre, desde que cumpra e consiga demonstrar que cumpriu.

O Regime de Pequeno Porte: o que a ANPD Dispensa e Quando a Dispensa Some

Em janeiro de 2022 a ANPD aprovou a Resolução CD/ANPD nº 2, que criou um regime diferenciado para o que a norma chama de agentes de tratamento de pequeno porte. A definição alcança microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado inclusive sem fins lucrativos e pessoas naturais equiparadas, desde que realizem tratamento de dados assumindo obrigações típicas de controlador ou operador.

O que muda para quem se enquadra:

• Dispensa de indicar encarregado. A obrigação formal de nomear um encarregado, o cargo que o mercado chama de DPO, é afastada. Em contrapartida, a empresa permanece obrigada a disponibilizar um canal de comunicação com os titulares de dados. Ou seja: você não precisa do cargo, precisa do e-mail publicado e efetivamente atendido.
• Prazos contados em dobro. Os prazos de resposta a requisições de titulares e de comunicação de incidentes à ANPD são dobrados para o agente de pequeno porte, reconhecendo que não existe estrutura dedicada para reagir em 24 horas.
• Política de segurança simplificada. A norma admite uma política de segurança da informação simplificada, compatível com o porte e com o volume de operações, no lugar do arcabouço documental de uma corporação.
• Registro simplificado das operações. O registro do art. 37 pode ser mantido em formato simplificado, e a ANPD se comprometeu a disponibilizar formulário próprio para esse fim.

A leitura correta desse regime é: a ANPD reduziu a burocracia, não o dever de proteger. Um agente de pequeno porte que sofre vazamento por não ter feito o básico continua sujeito às sanções do art. 52, que vão de advertência a multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de bloqueio e eliminação dos dados envolvidos.

O Erro Mais Comum: Achar que Tudo Precisa de Consentimento

Se existe um único equívoco que atrasa mais adequações de PME, é este. A crença de que a LGPD exige consentimento para tudo leva a empresa a espalhar caixinhas de aceite pelo site, a mandar e-mail pedindo autorização para uma base de clientes inteira e, o pior, a construir uma operação inteira sobre uma base legal frágil.

Consentimento é uma das dez hipóteses do art. 7º, e é a que mais dá trabalho, porque precisa ser livre, informado, inequívoco, específico para uma finalidade e, sobretudo, revogável a qualquer momento. Você entrega ao titular um botão de desligar a sua operação. Na maioria dos tratamentos rotineiros de uma empresa, outras bases servem melhor e são mais estáveis:

• Cumprimento de obrigação legal ou regulatória. Emitir nota fiscal, guardar documentos fiscais pelo prazo legal, cumprir obrigação trabalhista. Não se pede consentimento para emitir NF-e.
• Execução de contrato ou de procedimentos preliminares. Cadastrar o cliente para entregar o produto que ele comprou, ou tratar dados de quem pediu um orçamento.
• Legítimo interesse. Cobre prevenção a fraude, segurança do titular e usos que o titular razoavelmente espera. Exige avaliação documentada de necessidade e balanceamento com os direitos do titular, e não serve como base curinga para qualquer coisa.
• Exercício regular de direitos em processo. Guardar comunicação com um cliente para se defender de uma futura reclamação.

Consentimento fica bem onde ele é honesto: marketing direto para quem não é cliente, cookies não essenciais, uso de imagem. Para o resto, mapear a base correta é um exercício de uma tarde que evita retrabalho e reduz risco.

Adequação em Seis Passos, na Ordem que Funciona

Passo 1: inventário. Uma planilha com sete colunas resolve: que dado, de quem, para que finalidade, com qual base legal, onde fica armazenado, com quem é compartilhado, por quanto tempo é guardado. Preencha por área, conversando meia hora com cada responsável. Este passo não pode ser terceirizado, porque quem sabe onde os dados estão é quem trabalha com eles. Todo o resto depende dele.

Passo 2: descarte o que não deveria existir. O inventário quase sempre revela currículos de processos seletivos encerrados há anos, planilhas de clientes antigos no computador de alguém que já saiu, cópias de documentos em grupos de mensagem. Dado que não existe não vaza, não gera direito de titular e não entra em comunicação de incidente. Eliminar é a medida de segurança mais barata que existe.

Passo 3: base legal por finalidade. Volte à planilha e preencha a coluna da base legal para cada linha. As que só se sustentam em consentimento merecem revisão. As que caem em legítimo interesse merecem um parágrafo justificando a necessidade e o balanceamento.

Passo 4: política de privacidade e canal do titular. Escreva uma política que descreva o que a planilha mostrou, em linguagem que um cliente entenda, e publique um e-mail de contato para exercício de direitos. Não copie a política de outra empresa: ela descreve tratamentos que você não faz e omite os que você faz, o que é pior do que não ter política nenhuma diante de uma fiscalização.

Passo 5: os controles de segurança que sustentam a promessa. A política afirma que os dados estão protegidos, então isso precisa ser verdade. Na prática de PME, o conjunto mínimo é autenticação multifator em e-mail e sistemas críticos, controle de quem acessa o quê, backup com restauração testada e registro de acesso. É o mesmo conjunto do nosso checklist de segurança para PMEs, e a parte de recuperação está detalhada no guia sobre backup para PMEs sem equipe de TI.

Passo 6: fornecedores. Quem processa dados pessoais por conta da sua empresa é operador, e a responsabilidade não desaparece por estar terceirizada. Contabilidade, sistema de gestão, agência de marketing, plataforma de e-commerce. Cláusula de proteção de dados no contrato e uma verificação mínima de quem é o fornecedor resolvem a maior parte do problema.

O Relógio de Três Dias Úteis

Em abril de 2024 a ANPD publicou a Resolução CD/ANPD nº 15, que fechou uma lacuna importante: a lei falava em comunicar o incidente em prazo razoável, e razoável não é prazo. A resolução fixou três dias úteis, contados do conhecimento do incidente, para comunicar a ANPD e os titulares afetados quando houver risco ou dano relevante. Para agentes de tratamento de pequeno porte enquadrados no regime da Resolução nº 2/2022, esse prazo é contado em dobro.

Três dias úteis é pouco tempo para descobrir o que aconteceu. E a comunicação não é um aviso genérico: a ANPD pede descrição dos dados afetados, número aproximado de titulares envolvidos, medidas técnicas de proteção que estavam em uso, riscos decorrentes e medidas adotadas para reverter ou mitigar. Uma empresa que não tem inventário não consegue responder a nenhuma dessas perguntas dentro do prazo, e o descumprimento do prazo é uma infração separada e adicional ao incidente em si.

Vale a pena escrever antes, com calma, uma página com quem decide, quem comunica, quem é o contato jurídico e qual o texto-base do aviso ao titular. É a diferença entre reagir e improvisar, e custa uma hora.

Como a Fiscalização Chega até Você na Prática

A ANPD não faz varredura ativa de pequenas empresas. Na prática, a fiscalização chega por três portas: denúncia de titular que não teve o pedido atendido, comunicação de incidente feita pela própria empresa, e reclamação encaminhada por outro órgão, tipicamente um Procon.

A primeira porta é a mais comum e a mais evitável. Um ex-funcionário ou um cliente irritado que pede a eliminação dos dados e não recebe resposta em prazo razoável tem um caminho fácil e gratuito até o regulador. O canal de atendimento ao titular, aquele e-mail que a Resolução nº 2/2022 continua exigindo mesmo de quem está dispensado do encarregado, é literalmente a barreira que impede a denúncia.

Um dado ajuda a calibrar expectativa: a primeira sanção pecuniária aplicada pela ANPD, em julho de 2023, foi contra a Telekall Infoservice, uma microempresa, e somou R$ 14.400. O valor é baixo, e não é esse o ponto. O ponto é que a primeira empresa multada no país foi uma microempresa, o que desmonta a ideia de que a autoridade só olha para grandes bases de dados. Discutimos como dimensionar esse tipo de risco dentro do orçamento de segurança de uma PME.

Perguntas Frequentes

Conclusão

Adequação à LGPD em empresa pequena não é um projeto, é uma sequência curta de decisões documentadas. O inventário revela o que existe, o descarte reduz a superfície, a base legal por finalidade dá sustentação jurídica, a política e o canal do titular fecham a porta da denúncia, os controles de segurança tornam a promessa verdadeira e o contrato com fornecedor cobre o que está fora de casa. O regime da Resolução nº 2/2022 dispensa boa parte da formalidade, desde que a empresa não faça tratamento de alto risco, e o prazo de três dias úteis da Resolução nº 15/2024 é o lembrete de que a adequação precisa estar pronta antes do incidente, não depois. Se você fizer só o primeiro passo desta lista, já estará à frente da maioria, porque é o passo de que todos os outros dependem.