LGPD para Pequenas Empresas: o que Realmente É Obrigatório

"LGPD é coisa de banco e de big tech." A frase é comum entre donos de pequenos negócios e costuma ser dita por quem guarda, numa planilha ou no celular, nome, telefone, CPF e histórico de centenas de clientes. A lei não faz distinção de porte para se aplicar. O que muda para a pequena empresa é a forma de cumprir. Para organizar essa adequação dentro de uma estrutura mais ampla de compliance, conheça a área de Compliance Empresarial para PMEs.

A LGPD se aplica a pequenas empresas?

Sim. A Lei 13.709/2018 se aplica a qualquer pessoa física ou jurídica que trate dados pessoais com finalidade econômica, independentemente do porte. Cadastro de clientes, ficha de funcionários, lista de fornecedores e formulário de contato do site já são tratamento de dados pessoais.

O primeiro caso de multa aplicada pela ANPD a uma empresa privada, em 2023, recaiu sobre uma microempresa. A sanção foi limitada pelo faturamento da empresa, mas mostrou que o porte reduz o valor da multa, e não a exposição à fiscalização.

O que a ANPD simplificou para as pequenas empresas?

A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para os agentes de tratamento de pequeno porte, categoria que inclui microempresas, empresas de pequeno porte e startups. O benefício não alcança quem realiza tratamento de alto risco para os titulares, como o tratamento em larga escala de dados sensíveis, nem quem ultrapassa os limites de faturamento previstos.

O que continua obrigatório para qualquer empresa?

O núcleo da lei não foi flexibilizado. Toda empresa precisa:

1. Ter base legal para cada tratamento. Consentimento é apenas uma das hipóteses do art. 7º da LGPD. A execução de contrato, o cumprimento de obrigação legal e o legítimo interesse, por exemplo, também autorizam o tratamento, e cada finalidade precisa estar amparada em uma delas.

2. Ser transparente. Informar ao titular, de forma clara, quais dados coleta, para quê e com quem compartilha, geralmente por meio de uma política de privacidade.

3. Atender os direitos dos titulares previstos no art. 18, como acesso, correção, eliminação e informação sobre compartilhamento.

4. Adotar medidas de segurança para proteger os dados contra acessos não autorizados e vazamentos (art. 46).

5. Comunicar incidentes de segurança que possam gerar risco ou dano relevante à ANPD e aos titulares (art. 48).

A exigência é a mesma para todo pequeno negócio?

Não, e é aqui que a adequação precisa ser proporcional. Uma barbearia com agenda de clientes não tem o mesmo nível de exposição que uma clínica que trata dados de saúde, classificados pela lei como dados sensíveis e sujeitos a regras mais restritivas (art. 11). Um pacote padronizado de documentos, sem mapear os dados que a empresa realmente trata, costuma produzir papéis que não correspondem à operação e, por isso, pouco protegem.

O ponto de partida correto é o mapeamento: quais dados a empresa coleta, de quem, para qual finalidade, onde ficam guardados e com quem são compartilhados. É a partir dele que se decide o que documentar e o que corrigir.

Como o escritório pode ajudar

A adequação começa pela verificação do enquadramento como agente de pequeno porte e pelo mapeamento dos dados tratados, e resulta em documentos e rotinas proporcionais ao risco real: política de privacidade, canal de atendimento ao titular, registro simplificado e procedimento para incidentes. Conheça a área de Compliance Empresarial para PMEs e agende uma avaliação da situação da sua empresa.