Muita pequena empresa ainda trata a LGPD como “coisa de empresa grande” ou como um texto que se coloca no rodapé do site e pronto. Não é. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para qualquer empresa que trate dados pessoais, do escritório com cinco pessoas à rede com várias filiais, e as sanções administrativas estão em vigor desde agosto de 2021.
A boa notícia é que, para micro e pequenas empresas, a adequação é bem mais simples do que parece. Neste artigo explicamos o que é obrigatório, o que a ANPD flexibilizou para os pequenos e um roteiro prático para começar.
O que conta como dado pessoal
Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, placa do carro, foto, endereço IP. Na prática, sua empresa trata dados pessoais quando cadastra clientes, emite nota fiscal, guarda currículos, mantém a folha de pagamento ou recebe contatos pelo site e pelo WhatsApp.
Alguns dados são considerados sensíveis e exigem cuidado redobrado: informações de saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical e vida sexual. Clínicas, laboratórios, academias e empresas que usam ponto biométrico precisam prestar atenção especial a esse ponto.
O que a ANPD simplificou para pequenas empresas
A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para os chamados agentes de tratamento de pequeno porte, que inclui microempresas, empresas de pequeno porte e startups. Entre as flexibilizações:
- Encarregado (DPO): a indicação pode ser dispensada, desde que a empresa mantenha um canal para os titulares exercerem seus direitos;
- Registro das operações de tratamento: pode ser feito de forma simplificada;
- Prazos: alguns prazos de atendimento à ANPD e aos titulares são contados em dobro.
Atenção: o regime simplificado não vale para quem realiza tratamento de alto risco, por exemplo, uso de dados sensíveis em larga escala ou monitoramento sistemático de pessoas. E a flexibilização não dispensa o essencial, que listamos a seguir.
O que continua obrigatório para todas as empresas
1. Ter uma base legal para cada uso de dados
A LGPD prevê dez bases legais. Para a maioria das PMEs, as mais usadas são: execução de contrato (dados necessários para prestar o serviço ou vender o produto), cumprimento de obrigação legal (nota fiscal, folha de pagamento), legítimo interesse e consentimento. Um erro comum é achar que tudo depende de consentimento: muitas vezes não depende, mas é preciso saber qual base se aplica a cada caso.
2. Ser transparente
O cliente tem o direito de saber quais dados você coleta, para quê, com quem compartilha e por quanto tempo guarda. Isso normalmente fica na política de privacidade, que precisa refletir o que a empresa realmente faz, e não ser um modelo copiado da internet.
3. Atender os direitos dos titulares
Qualquer pessoa pode pedir para acessar, corrigir ou excluir seus dados, entre outros direitos. A empresa precisa de um canal para receber esses pedidos e de um processo para respondê-los.
4. Proteger os dados
A lei exige medidas técnicas e administrativas de segurança. Na prática: controle de acesso por cargo, autenticação em duas etapas, backup, atualização de sistemas e cuidado com dados enviados por e-mail e WhatsApp. É aqui que LGPD e TI se encontram.
5. Comunicar incidentes
Se houver um vazamento que possa causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e as pessoas afetadas. O regulamento da ANPD sobre o tema (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis para essa comunicação, contados do conhecimento do incidente. Por isso vale ter um plano pronto antes que algo aconteça.
Quais são os riscos de ignorar a LGPD
A ANPD pode aplicar advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), publicização da infração e bloqueio ou eliminação dos dados envolvidos. Além das sanções administrativas, a empresa pode responder judicialmente por danos aos titulares.
Para as PMEs, porém, o risco mais imediato costuma ser comercial: empresas maiores já exigem cláusulas de proteção de dados de seus fornecedores, e um incidente pode custar a confiança de clientes que levaram anos para conquistar.
Por onde começar: um roteiro em 8 passos
- Mapeie os dados: liste quais dados pessoais a empresa coleta, onde ficam (sistemas, planilhas, e-mail, WhatsApp, papel) e quem acessa.
- Defina a base legal de cada uso.
- Revise o site: formulários, banner de cookies e política de privacidade.
- Controle os acessos: contas individuais, autenticação em duas etapas e bloqueio imediato quando alguém sai da empresa.
- Garanta backup e segurança dos sistemas e dispositivos.
- Monte um plano de resposta a incidentes: quem faz o quê se houver um vazamento.
- Ajuste contratos com fornecedores que tratam dados em seu nome (contabilidade, sistemas, nuvem).
- Treine a equipe: a maioria dos incidentes começa com um clique em um e-mail falso.
Erros comuns que vemos nas empresas
- Copiar a política de privacidade de outro site;
- Tratar a LGPD só como assunto jurídico (ou só de TI), quando ela exige as duas coisas;
- Esquecer dos dados que circulam em planilhas e no WhatsApp pessoal dos colaboradores;
- Fazer a adequação uma vez e nunca mais revisar.
Como a MSAYTECH pode ajudar
A MSAYTECH une TI e Direito no mesmo time: mapeamos os dados, ajustamos sistemas, site e documentos e treinamos a equipe, para que o que está escrito na política seja o que de fato acontece nos sistemas. Conheça a nossa adequação à LGPD, os treinamentos para equipes e os serviços de segurança da informação.
Fale com a MSAYTECH e receba um diagnóstico inicial sem custo.
Falar no WhatsAppEste conteúdo é informativo e não substitui a análise do caso concreto da sua empresa.