A LGPD não faz distinção de porte. Uma empresa com cinco funcionários que guarda cadastro de clientes está sujeita à mesma lei que uma multinacional. O que muda é a proporcionalidade das medidas — e é justamente aí que a maioria dos projetos de adequação erra, propondo estruturas incompatíveis com a realidade do negócio.
A ANPD editou regulamentação específica para agentes de tratamento de pequeno porte, com obrigações simplificadas. O que não existe é dispensa.
1. Saber quais dados você tem
Nenhuma medida faz sentido antes disso. O inventário não precisa ser um sistema: uma planilha bem-feita resolve para a maioria das empresas pequenas. Para cada conjunto de dados, registre:
- Que dado é coletado (nome, CPF, e-mail, endereço, dado de saúde…)
- De quem (cliente, funcionário, fornecedor, candidato)
- Por que — a finalidade concreta, não genérica
- Onde fica armazenado (sistema, planilha, papel, nuvem)
- Quem tem acesso
- Por quanto tempo é mantido
- Com quem é compartilhado
Este levantamento costuma revelar surpresas: currículos de candidatos guardados há anos, planilhas com CPF em drives compartilhados, cadastros duplicados em sistemas antigos.
2. Definir a base legal de cada tratamento
Todo tratamento precisa se apoiar em uma das bases legais da lei. O erro mais comum é presumir que tudo depende de consentimento — o que não é verdade e cria trabalho desnecessário.
- Execução de contrato — dados do cliente necessários para entregar o serviço
- Obrigação legal — dados de funcionários exigidos pela legislação trabalhista e fiscal
- Legítimo interesse — usos compatíveis com a expectativa do titular, mediante avaliação documentada
- Consentimento — reservado a usos que não se enquadram nas demais, como marketing não solicitado
Pedir consentimento para algo que já está amparado em contrato não aumenta a conformidade: cria a obrigação de sustentar um consentimento que pode ser revogado.
3. Publicar um aviso de privacidade honesto
O documento precisa dizer, em linguagem clara: quem é a empresa, que dados coleta, para quê, com quem compartilha, por quanto tempo guarda, quais são os direitos do titular e como exercê-los.
Modelo copiado da internet que menciona práticas inexistentes é pior que a ausência do documento — vira prova de declaração falsa.
4. Ter um canal para o titular
A lei garante ao titular acesso, correção, eliminação, portabilidade e revogação de consentimento. Basta um e-mail dedicado, divulgado no aviso de privacidade, e alguém responsável por respondê-lo dentro do prazo.
Agentes de pequeno porte não são obrigados a indicar encarregado formalmente, mas devem manter o canal de comunicação.
5. Segurança proporcional
Não se espera criptografia de nível bancário de uma empresa com dez pessoas. Espera-se o básico bem feito:
- Senhas individuais, sem contas compartilhadas
- Autenticação em duas etapas nos serviços que suportam
- Acesso restrito por função — nem todo mundo precisa ver tudo
- Backup regular, testado ao menos uma vez
- Antivírus e sistema operacional atualizados
- Descarte seguro de papéis e de equipamentos
6. Contratos com fornecedores
Contabilidade, sistema de gestão, hospedagem, agência de marketing: todos processam dados em nome da empresa. Os contratos precisam prever obrigações de proteção, restrição de uso à finalidade contratada e dever de comunicar incidentes.
A responsabilidade não se transfere com a terceirização.
7. Plano mínimo para incidentes
Vazamentos acontecem. Ter definido antecipadamente quem é comunicado, como se avalia o risco e em que prazo se notifica a ANPD e os titulares transforma uma crise em procedimento.
O que deixar para depois
Empresas pequenas costumam ser convencidas a comprar estruturas que não usam. Relatório de impacto completo, comitê de privacidade, software de gestão de consentimento e certificações raramente se justificam num primeiro momento.
Comece pelo inventário, pelas bases legais, pelo aviso e pelo canal. Isso já coloca a empresa em situação substancialmente melhor que a média.
Em resumo
Adequação à LGPD em empresa pequena não é projeto de meses. É saber quais dados existem, por que são tratados, informar isso com honestidade, atender o titular e proteger o que se guarda com medidas proporcionais.
Uma revisão jurídica dos contratos com fornecedores e do aviso de privacidade costuma ser o investimento de maior retorno nessa etapa.
Os três lugares onde os dados costumam estar esquecidos
- Currículos de candidatos. Processos seletivos antigos acumulam dados sensíveis sem finalidade vigente. Defina prazo de descarte e cumpra-o.
- Grupos de mensagens. Conversas com clientes em aplicativos concentram dados fora de qualquer sistema, no celular pessoal de funcionários. Vale definir política de uso e de saída.
- Planilhas em drives compartilhados. Costumam ter permissão aberta a toda a equipe e sobreviver a quem as criou.
O inventário de dados quase sempre revela esses três focos. Resolvê-los tem impacto de conformidade maior que qualquer documento adicional.
Sanções e proporcionalidade
A LGPD prevê advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação dos dados. A ANPD tem aplicado gradação, considerando porte, boa-fé, cooperação e adoção de política de boas práticas.
Na prática, para empresas pequenas, o risco mais concreto costuma não ser a multa administrativa, e sim a ação individual de titular pedindo indenização, e a exigência de conformidade por clientes corporativos em processos de contratação.
Perguntas frequentes
Preciso de encarregado (DPO)?
Agentes de tratamento de pequeno porte estão dispensados de indicar encarregado formalmente, mas devem manter canal de comunicação com titulares e com a ANPD.
Preciso de banner de cookies?
Se o site usa apenas cookies estritamente necessários ao funcionamento, não. Havendo cookies de análise ou de publicidade, o consentimento prévio é exigido, com opção real de recusa.
Posso enviar e-mail marketing para clientes?
Para clientes ativos, o envio pode se apoiar em legítimo interesse, desde que relacionado ao serviço contratado e com opção clara de descadastramento. Para listas compradas, não há base legal.
Quanto tempo devo guardar os dados?
Pelo tempo necessário à finalidade, respeitados prazos legais de guarda — fiscais, trabalhistas, contábeis. Depois disso, a eliminação é obrigação, não faculdade.
Este conteúdo tem finalidade informativa e não constitui consulta ou parecer jurídico. Cada situação exige análise individualizada por profissional habilitado.
