LGPD para pequenas empresas: regras práticas e o que fazer no primeiro mês

Muitos gestores ouviram a notícia de que pequenos negócios ganharam regras mais brandas na LGPD (Lei Geral de Proteção de Dados Pessoais) e concluíram, erroneamente, que pequenas empresas estão isentas da lei. Essa interpretação gera uma falsa sensação de segurança que pode custar caro.

A legislação brasileira de proteção de dados não isenta nenhum negócio que lida com dados de pessoas físicas, seja cliente, colaborador ou parceiro comercial. O que existe é uma regulamentação específica da ANPD (Autoridade Nacional de Proteção de Dados) que reduz burocracias pesadas e concede prazos maiores para quem cumpre determinados requisitos. No entanto, os princípios fundamentais, o respeito aos direitos dos titulares e o dever de proteger as informações continuam totalmente de pé.

Este guia explica como funciona o regime diferenciado, o que a sua empresa realmente precisa cumprir e como montar um plano simples de quatro semanas para sair do zero sem se perder em termos técnicos.

Quem se enquadra como agente de tratamento de pequeno porte?

A base para o tratamento diferenciado está na Resolução CD/ANPD número 2/2022. Esse documento define quem são os agentes de tratamento de pequeno porte e estabelece as hipóteses em que os benefícios se aplicam.

Pela resolução, podem se qualificar como agentes de pequeno porte as microempresas e empresas de pequeno porte, startups e outras entidades listadas na norma. Contudo, pertencer a essas categorias não garante a flexibilização de forma automática. O próprio regulamento traz critérios expressos de exclusão nos artigos 2º e 3º.

Uma empresa perde o direito ao regime simplificado se:

1. Realizar tratamento de dados pessoais considerado de alto risco.
2. Auferir receita bruta superior ao limite legal estabelecido para empresa de pequeno porte no artigo 3º, inciso II, da Lei Complementar número 123/2006.
3. Pertencer a grupo econômico de fato ou de direito cuja receita global ultrapasse esse mesmo limite.

Por isso, antes de assumir que a sua empresa tem direito à flexibilização, é indispensável verificar o faturamento global e avaliar se a sua operação se enquadra na definição de alto risco.

O que a ANPD considera tratamento de alto risco?

De acordo com o artigo 4º da Resolução número 2/2022, o tratamento é considerado de alto risco quando preenche, cumulativamente, pelo menos um critério geral e pelo menos um critério específico.

Os critérios gerais envolvem tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares. Já os critérios específicos incluem o uso de tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões tomadas unicamente com base em tratamento automatizado de dados, e o uso de dados sensíveis ou de dados de grupos vulneráveis, como crianças, adolescentes e idosos.

Imagine uma clínica médica de pequeno porte que processa prontuários eletrônicos de milhares de pacientes. Mesmo sendo uma microempresa em faturamento, se a atividade envolver dados sensíveis de saúde em larga escala, ela pode atender aos dois critérios e perder a condição de agente de pequeno porte perante a resolução. Caso tenha dúvidas sobre a classificação da sua atividade, vale confirmar a análise com um advogado especializado.

O que muda na prática: dispensas e obrigações que continuam

Quando a empresa cumpre os requisitos e não realiza tratamento de alto risco, a Resolução CD/ANPD número 2/2022 traz alívios operacionais importantes, sem anular o núcleo da lei.

O artigo 6º da resolução deixa explícito que as dispensas ou flexibilizações não isentam os agentes de pequeno porte de cumprir os demais dispositivos da LGPD, o que inclui os princípios da finalidade e necessidade, o atendimento aos direitos dos titulares e a obrigação de vincular cada tratamento a uma base legal autorizada.

As principais vantagens concedidas pelo regime simplificado são:

• Registro simplificado de operações (artigo 9º): em vez de relatórios complexos e exaustivos, a empresa pode manter um registro mais enxuto das atividades de tratamento que realiza.
• Política simplificada de segurança da informação (artigo 13): a organização pode adotar medidas proporcionais à sua realidade, com uma política que contemple os controles essenciais sem a carga documental exigida de grandes corporações.
• Prazos em dobro (artigo 14): o pequeno porte tem direito a prazos dobrados para atender a determinadas exigências regulamentares, inclusive para responder a solicitações dos titulares de dados.

A figura do encarregado de dados e o canal com o titular

Uma das dúvidas mais comuns entre pequenos empresários diz respeito à contratação de um encarregado de dados, profissional muitas vezes chamado no mercado pela sigla em inglês DPO (Data Protection Officer).

O artigo 11 da Resolução número 2/2022 estabelece que os agentes de tratamento de pequeno porte não são obrigados a indicar um encarregado formal. Porém, essa dispensa vem acompanhada de uma contrapartida direta: quem optar por não indicar encarregado precisa disponibilizar publicamente um canal de comunicação com o titular de dados.

Esse canal serve para que clientes, colaboradores ou parceiros possam exercer seus direitos, como consultar se a empresa guarda seus dados, solicitar correções ou pedir exclusões cabíveis. O mesmo artigo 11 ressalta que a indicação voluntária de um encarregado, mesmo não sendo obrigatória, é reconhecida como boa prática de governança.

Se a sua empresa não tiver um encarregado formal, garanta que exista um meio direto e monitorado para esse contato, como um endereço de e-mail dedicado divulgado no site ou no rodapé de comunicações.

Dados pessoais e bases legais no dia a dia

Para colocar qualquer rotina em ordem, a gestão precisa dominar dois conceitos centrais: o que é dado pessoal e qual é a justificativa legal para guardá-lo.

A LGPD define dado pessoal como qualquer informação relacionada a uma pessoa natural identificada ou identificável. Isso engloba nome, CPF (Cadastro de Pessoas Físicas), telefone, endereço residencial, e-mail pessoal e até o endereço IP (Internet Protocol) de quem navega no site da empresa.

A lei também cria uma categoria especial para os dados sensíveis, que exigem cautela reforçada. São dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, e dados genéticos ou biométricos.

Nenhuma empresa pode coletar dados pessoais apenas por conveniência. Todo tratamento precisa se apoiar em uma das dez bases legais previstas no artigo 7º da LGPD. Para o cotidiano de um negócio de pequeno porte, quatro dessas bases costumam cobrir a maioria dos fluxos:

1. Cumprimento de obrigação legal ou regulatória: quando a empresa guarda dados porque uma lei exige. Exemplo: manter dados de funcionários na folha de pagamento para recolhimento de tributos e envio ao eSocial.
2. Execução de contrato ou procedimentos preliminares: quando o dado é indispensável para prestar o serviço ou entregar a mercadoria contratada. Exemplo: coletar nome e endereço físico para despachar uma encomenda vendida por e-commerce.
3. Consentimento: quando o titular concorda de forma livre, informada e inequívoca com uma finalidade determinada. Exemplo: um formulário no site em que o visitante escolhe receber comunicações promocionais periódicas.
4. Legítimo interesse: quando o tratamento apoia finalidades legítimas da própria empresa, desde que não viole direitos e liberdades fundamentais do indivíduo e atenda a expectativas razoáveis. Exemplo: monitoramento de segurança física do patrimônio na recepção do escritório comercial.

Segurança da informação prática para operações pequenas

Adequação não é apenas papel e política escrita; ela depende de controles técnicos de proteção contra perdas, acessos indevidos e vazamentos. Em outubro de 2021, a ANPD publicou um guia orientativo de segurança da informação voltado justamente aos agentes de tratamento de pequeno porte. Embora a autoridade declare expressamente que esse guia tem caráter educativo e não possui efeito normativo vinculante, ele fornece uma lista clara de prioridades acessíveis a qualquer negócio:

• Backups regulares e isolados: manter cópias de segurança atualizadas dos sistemas operacionais e bancos de dados, testando periodicamente se a restauração funciona.
• Controle rigoroso de acessos: garantir que cada usuário tenha login próprio, sem senhas compartilhadas na equipe, liberando apenas os acessos estritamente necessários para a função de cada um.
• Uso de MFA: exigir a autenticação multifator (sigla em inglês para Multi-Factor Authentication) em todas as contas institucionais, especialmente e-mail corporativo, armazenamento em nuvem e painéis administrativos.
• Treinamento e conscientização: orientar a equipe sobre riscos comuns, como e-mails de phishing e links suspeitos, para evitar que dados sejam expostos por descuido humano.
• Contratos com fornecedores de TI: assegurar que contratos com empresas de hospedagem, desenvolvedores de software e plataformas de nuvem contenham cláusulas claras de proteção de dados e dever de sigilo.

Incidentes de segurança: quando comunicar e o que registrar

Nenhum sistema é invulnerável. Quando ocorre um incidente de segurança, a primeira obrigação da gestão é entender a gravidade do evento.

Nem todo incidente exige notificação aos órgãos públicos. De acordo com as diretrizes da ANPD, a comunicação é obrigatória apenas quando o incidente atender a três condições conjuntas: for confirmado, envolver dados pessoais e puder acarretar risco ou dano relevante aos direitos dos titulares. Um problema que não atinja dados de pessoas físicas, ou um evento sem potencial lesivo comprovado, não necessita dessa formalidade externa.

Quando o comunicado é necessário, o fluxo segue regras estritas estabelecidas pela autoridade:

• Como enviar: o comunicado deve ser feito por meio de peticionamento eletrônico no sistema SEI!ANPD (Sistema Eletrônico de Informações da ANPD), submetido pelo encarregado formalmente nomeado ou pelo representante legal da empresa.
• Prazos: a regra geral determina o envio do comunicado inicial em até três dias úteis a partir da confirmação do evento, com prazo de complementação das informações em até vinte dias úteis. No entanto, para os agentes de tratamento de pequeno porte, o artigo 6º, parágrafo 8º, da Resolução CD/ANPD número 15/2024 concede a contagem desses prazos em dobro.
• Guarda de registros: mesmo que um incidente não atinja a gravidade necessária para envio à ANPD, a empresa não pode simplesmente ignorá-lo. O artigo 10 da mesma Resolução número 15/2024 determina que o agente mantenha o registro interno de todos os incidentes ocorridos, inclusive os não comunicados, pelo prazo mínimo de cinco anos.

Roteiro de quatro semanas para sair do zero

Organizar a governança de dados não exige meses de estudo prévio. Dividir o trabalho em tarefas práticas semanais ajuda a construir as primeiras defesas da empresa.

Semana 1: Levantamento e inventário simplificado

Reúna os responsáveis por cada setor (vendas, financeiro, recursos humanos e suporte) para mapear quais dados de pessoas físicas entram no negócio. Anote em uma planilha simples onde esses dados ficam armazenados (planilhas locais, e-mails, sistemas de CRM ou pastas de arquivo) e quem tem acesso a eles.

Semana 2: Definição de bases legais e canal de contato

Analise a lista montada na primeira semana e associe cada fluxo a uma base legal compatível. Se identificar dados coletados sem finalidade clara, elimine o hábito de exigi-los. Crie também o canal direto para atendimento aos titulares, definindo um endereço de e-mail específico e alinhando internamente quem será o encarregado de ler e responder a essas mensagens.

Semana 3: Revisão de segurança e fornecedores

Ative a autenticação em duas etapas em todos os e-mails e sistemas de gestão. Revise as permissões de acesso aos arquivos compartilhados para retirar privilégios desnecessários de ex-colaboradores ou terceiros. Verifique se os contratos com empresas terceirizadas de tecnologia possuem cláusula de confidencialidade e proteção de dados.

Semana 4: Plano simples de resposta a incidentes

Crie um documento objetivo de uma página determinando o que fazer se um computador for infectado ou se um arquivo vazar: quem deve ser avisado imediatamente na empresa, como desconectar a máquina da rede e onde anotar o ocorrido para cumprir a exigência de guarda do histórico por cinco anos. Guarde esse procedimento em local acessível à gestão.

Próximos passos e validação

Adotar esse roteiro inicial reduz vulnerabilidades imediatas e cria um histórico documental valioso para demonstrar boa-fé perante clientes e autoridades. No entanto, lembre-se de que nenhum guia genérico substitui a análise jurídica e contábil aprofundada: confirme sempre o enquadramento do seu negócio com um advogado ou contador da sua confiança.

Como o cenário regulatório evolui continuamente, acompanhe as publicações oficiais na página de regulamentações da ANPD para se manter a par de novas resoluções e atualizações normativas que possam impactar o setor de pequenas empresas.

O próximo passo concreto para esta semana é sentar com os líderes de cada setor da empresa e listar todas as ferramentas e planilhas que contêm dados de clientes e colaboradores.