LGPD na prática: o que pequenas e médias empresas precisam cumprir | Cezar & Cezar Advocacia

A LGPD para pequenas e médias empresas não precisa ser tratada como um projeto impossível, caro ou exclusivo de grandes corporações. Se a sua empresa coleta nome, CPF, telefone, e-mail, endereço, dados de funcionários, informações de clientes ou utiliza ferramentas digitais, provavelmente já realiza algum tipo de tratamento de dados pessoais.

O ponto central é entender que cumprir a Lei Geral de Proteção de Dados Pessoais não significa apenas publicar uma política de privacidade no site. A adequação envolve identificar quais dados são coletados, por que são utilizados, quem pode acessá-los, com quem são compartilhados, por quanto tempo são mantidos e quais medidas existem para protegê-los.

Para pequenas e médias empresas, existe tratamento regulatório diferenciado em determinadas situações. Porém, isso não significa que essas empresas estejam dispensadas de cumprir a LGPD. A própria ANPD estabelece que as flexibilizações não afastam o cumprimento dos princípios, das bases legais, dos direitos dos titulares e das demais regras aplicáveis.

Neste guia, você vai entender de forma prática o que uma pequena ou média empresa precisa fazer para estruturar sua proteção de dados, quais documentos são importantes, como lidar com funcionários, clientes e fornecedores e o que fazer diante de um incidente de segurança.

O que é a LGPD e por que ela se aplica às pequenas e médias empresas?

A Lei nº 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais, estabelece regras para o tratamento de dados pessoais por pessoas físicas e jurídicas, de direito público ou privado.

Na prática, tratamento é um conceito muito amplo. Ele inclui atividades como coletar, armazenar, acessar, utilizar, compartilhar, organizar, transmitir e eliminar informações relacionadas a pessoas naturais.

Isso significa que uma empresa não precisa ser uma grande companhia de tecnologia para estar sujeita à LGPD. Uma loja, clínica, escritório, indústria, comércio, prestadora de serviços ou empresa familiar pode tratar dados pessoais diariamente.

Uma empresa que recebe currículos, mantém cadastro de clientes, envia mensagens pelo WhatsApp, utiliza sistema de gestão, contrata funcionários ou mantém registros financeiros já precisa avaliar como realiza essas atividades.

A própria LGPD estabelece princípios que devem orientar o tratamento dos dados, como finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.

Consulte a Lei Geral de Proteção de Dados no Planalto.

Pequenas empresas precisam cumprir a LGPD?

Sim. O tamanho da empresa não elimina automaticamente a aplicação da LGPD.

Entretanto, a Autoridade Nacional de Proteção de Dados, ANPD, criou regras específicas para determinados agentes de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 estabelece algumas flexibilizações para microempresas, empresas de pequeno porte, startups e outras categorias previstas na regulamentação.

Essas flexibilizações podem simplificar algumas obrigações, mas não criam uma espécie de "LGPD opcional". A empresa continua responsável por observar os princípios da lei, utilizar bases legais adequadas, respeitar os direitos dos titulares e adotar medidas de segurança compatíveis com o risco.

A Resolução CD/ANPD nº 2/2022 estabelece expressamente que a flexibilização das obrigações não isenta os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD.

Consulte a Resolução CD/ANPD nº 2/2022.

O que muda para uma pequena ou média empresa na prática?

O primeiro passo é abandonar a ideia de que adequação à LGPD significa simplesmente criar documentos. Proteção de dados é um processo de gestão.

Uma empresa adequada precisa conseguir responder perguntas básicas sobre seus dados.

• Quais dados pessoais a empresa coleta?
• De quem esses dados são coletados?
• Qual é a finalidade de cada tratamento?
• Qual é a base legal utilizada?
• Quem possui acesso às informações?
• Os dados são compartilhados com terceiros?
• Onde os dados ficam armazenados?
• Por quanto tempo os dados são mantidos?
• Como os titulares podem exercer seus direitos?
• O que a empresa fará se ocorrer um incidente de segurança?

Se a administração não consegue responder essas perguntas, existe um forte indicativo de que o tratamento de dados precisa ser organizado.

Quais são os principais dados pessoais tratados pelas empresas?

Dados pessoais são informações relacionadas a uma pessoa natural identificada ou identificável. O conceito é muito mais amplo do que CPF ou RG.

Dados de clientes

• Nome;
• CPF;
• Telefone;
• E-mail;
• Endereço;
• Dados de pagamento;
• Histórico de compras;
• Registros de atendimento;
• Informações utilizadas para cadastro e relacionamento.

Dados de funcionários

• Dados cadastrais;
• Documentos pessoais;
• Dados bancários;
• Informações trabalhistas;
• Dados de dependentes;
• Informações relacionadas a benefícios;
• Dados de saúde quando necessários e legalmente tratados;
• Registros de jornada e outras informações profissionais.

Dados de fornecedores e parceiros

Também é necessário analisar os dados pessoais presentes em contratos, cadastros, documentos fiscais, contatos comerciais e sistemas utilizados para administrar fornecedores e parceiros.

Uma falha comum é pensar na LGPD apenas como uma obrigação relacionada ao consumidor. Funcionários, candidatos a vagas, fornecedores, representantes e outros indivíduos também podem ser titulares de dados pessoais.

Quais são os dados pessoais sensíveis?

A LGPD estabelece proteção especial para determinados dados pessoais considerados sensíveis.

Entre eles estão informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos ou biométricos quando vinculados a uma pessoa natural.

O tratamento desses dados exige atenção ainda maior porque a própria LGPD estabelece hipóteses específicas para sua utilização.

Isso é especialmente relevante para empresas que trabalham com informações de saúde, biometria, controle de acesso, benefícios ou dados relacionados a funcionários.

Os 10 pontos que uma pequena ou média empresa deve analisar para cumprir a LGPD

1. Fazer um diagnóstico dos dados pessoais

Antes de criar políticas e documentos, a empresa precisa entender a própria realidade.

O diagnóstico deve identificar quais dados entram na empresa, onde ficam armazenados, quem utiliza essas informações e para quais finalidades.

Uma forma prática de começar é mapear os principais processos da empresa.

• Cadastro de clientes;
• Vendas;
• Marketing;
• Atendimento;
• Recursos humanos;
• Financeiro;
• Contabilidade;
• Contratação de fornecedores;
• Controle de acesso;
• Uso de sistemas e plataformas digitais.

Esse levantamento permite enxergar os pontos de maior exposição e definir prioridades.

2. Identificar a finalidade de cada tratamento

Uma das perguntas mais importantes da LGPD é simples: por que a empresa precisa desse dado?

Se a empresa coleta determinada informação, precisa existir uma finalidade legítima e compatível com o tratamento realizado.

Por exemplo, uma empresa pode precisar do CPF para determinada atividade contratual ou fiscal. Isso não significa que possa utilizar esse mesmo dado livremente para qualquer outra finalidade.

A finalidade ajuda a impedir a coleta excessiva e sem justificativa.

3. Definir a base legal adequada

A LGPD não permite que uma empresa simplesmente escolha coletar e utilizar dados pessoais porque considera a informação conveniente.

O tratamento precisa estar fundamentado em uma das hipóteses previstas pela legislação.

Entre as bases legais previstas na LGPD estão o cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e consentimento, entre outras hipóteses.

Consentimento não é a única base legal da LGPD.

Esse é um dos erros mais comuns em projetos de adequação. Tentar resolver todos os tratamentos por meio de termos de consentimento pode gerar documentos inadequados e não necessariamente torna o tratamento regular.

4. Criar um registro das atividades de tratamento

O registro das operações permite organizar as informações sobre os tratamentos realizados pela empresa.

Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 permite que esse registro seja realizado de forma simplificada.

A ANPD disponibiliza modelo específico para auxiliar empresas de pequeno porte nessa organização.

Consulte os materiais da ANPD para agentes de tratamento de pequeno porte.

5. Criar uma política de privacidade adequada à realidade da empresa

A política de privacidade deve explicar de maneira clara como a empresa realiza o tratamento de dados pessoais.

Ela não deve ser simplesmente copiada de outro site. Um documento genérico pode não refletir os sistemas, fornecedores, finalidades e práticas realmente utilizados pela empresa.

Uma política adequada deve ser coerente com o funcionamento real do negócio.

Dependendo da atividade, ela pode abordar informações como dados tratados, finalidades, compartilhamentos, direitos dos titulares, armazenamento, segurança e canais de contato.

6. Organizar o atendimento aos direitos dos titulares

A LGPD garante diversos direitos às pessoas cujos dados são tratados.

O titular pode, observadas as regras legais aplicáveis, solicitar informações e providências relacionadas aos seus dados pessoais, como confirmação da existência de tratamento, acesso, correção e outras medidas previstas na legislação.

Por isso, a empresa precisa ter um processo interno para receber, analisar e responder essas solicitações.

Não basta colocar um endereço de e-mail no site. É necessário definir quem receberá a solicitação, quem analisará o pedido, quais informações serão verificadas e como a resposta será registrada.

7. Avaliar os contratos com fornecedores e parceiros

Grande parte dos dados pessoais utilizados por uma empresa passa por terceiros.

É comum utilizar sistemas de gestão, plataformas de marketing, serviços de contabilidade, empresas de tecnologia, armazenamento em nuvem, ferramentas de comunicação e prestadores especializados.

Nessas situações, é necessário compreender qual é o papel de cada parte no tratamento dos dados e quais responsabilidades foram estabelecidas.

Os contratos podem precisar tratar de temas como confidencialidade, segurança da informação, finalidade do tratamento, compartilhamento, incidentes de segurança, eliminação ou devolução de dados e cooperação entre as partes.

Avalie juridicamente os contratos utilizados pela sua empresa

8. Implementar medidas de segurança da informação

A LGPD determina que os agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.

Isso significa que a segurança dos dados não depende apenas de um documento. Ela envolve práticas concretas dentro da empresa.

• Controle de acesso aos sistemas;
• Uso de senhas adequadas;
• Gestão de permissões;
• Atualização de sistemas;
• Proteção de dispositivos;
• Rotinas de backup;
• Controle de documentos físicos;
• Treinamento dos funcionários;
• Gestão de acessos de ex-funcionários;
• Procedimentos para incidentes de segurança.

A ANPD possui um Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, além de checklist e modelo de registro das operações.

Acesse o Guia de Segurança da Informação da ANPD.

9. Criar um procedimento para incidentes de segurança

Uma empresa precisa estar preparada não apenas para prevenir problemas, mas também para reagir quando eles acontecem.

Imagine que um funcionário clique em um link malicioso e permita o acesso indevido a uma conta corporativa. Ou que um computador contendo informações de clientes seja perdido.

Nessas situações, a empresa precisa saber rapidamente o que aconteceu, quais dados foram afetados, quais titulares podem estar envolvidos, quais medidas devem ser adotadas e quem será responsável pela resposta.

A Resolução CD/ANPD nº 15/2024 regulamenta a comunicação de incidentes de segurança. Quando presentes os requisitos previstos na regulamentação, o controlador deve comunicar a ANPD e os titulares afetados no prazo de três dias úteis, ressalvada a existência de prazo específico previsto em legislação.

Consulte as orientações da ANPD sobre comunicação de incidentes de segurança.

10. Treinar os funcionários

Não adianta investir em tecnologia se as pessoas que trabalham na empresa não sabem como proteger os dados.

Um funcionário pode encaminhar uma planilha para o destinatário errado, compartilhar uma senha, deixar documentos expostos ou enviar informações pessoais por um canal inadequado.

Por isso, treinamento e conscientização fazem parte da proteção de dados.

O treinamento deve ser compatível com a realidade da empresa e abordar situações que realmente fazem parte da rotina dos funcionários.

O que uma política de privacidade precisa ter?

Não existe um modelo único que sirva para todas as empresas. A política precisa refletir os tratamentos efetivamente realizados.

Em termos gerais, pode ser necessário explicar:

• Quais categorias de dados pessoais são tratadas;
• Quais são as finalidades;
• Quais bases legais podem fundamentar os tratamentos;
• Como os dados são utilizados;
• Com quem podem ser compartilhados;
• Como ocorre o armazenamento;
• Quais são os direitos dos titulares;
• Como o titular pode entrar em contato com a empresa;
• Como são tratadas questões relacionadas à segurança;
• Quando os dados são eliminados, observadas as obrigações legais aplicáveis.

O principal cuidado é evitar que a política diga uma coisa enquanto a empresa faz outra. Transparência exige coerência entre o documento e a prática.

Pequena empresa precisa ter encarregado de dados?

Essa é uma das dúvidas mais frequentes sobre LGPD para pequenas empresas.

Para determinados agentes de tratamento de pequeno porte que atendam aos requisitos da Resolução CD/ANPD nº 2/2022, a indicação de encarregado não é obrigatória.

Entretanto, a dispensa não significa ausência de responsabilidade. A empresa que não indicar encarregado deve disponibilizar um canal de comunicação com o titular para atender às finalidades previstas na regulamentação.

Além disso, a indicação de encarregado pode representar uma medida de boas práticas e governança.

Para empresas que não se enquadram na hipótese de dispensa, a análise deve considerar as regras gerais da LGPD e a regulamentação específica da ANPD.

A ANPD também regulamentou a atuação do encarregado por meio da Resolução CD/ANPD nº 18/2024.

Consulte as regulamentações vigentes da ANPD.

LGPD e funcionários: o que a empresa precisa observar?

A relação trabalhista envolve uma quantidade significativa de dados pessoais.

Desde o processo seletivo até o encerramento do contrato de trabalho, a empresa pode tratar informações cadastrais, bancárias, profissionais, previdenciárias e, em determinadas situações, dados sensíveis.

Por isso, o programa de proteção de dados deve alcançar o departamento de recursos humanos e não apenas o setor de tecnologia.

Durante o processo seletivo

A empresa deve avaliar quais informações realmente precisa solicitar aos candidatos e qual será a finalidade de cada coleta.

Também é importante estabelecer critérios para armazenamento e eliminação de currículos e documentos recebidos durante processos seletivos, considerando as finalidades existentes e as obrigações legais aplicáveis.

Durante o contrato de trabalho

O acesso aos dados deve ser compatível com as funções exercidas pelo funcionário.

Um colaborador do setor comercial, por exemplo, não necessariamente precisa ter acesso a todas as informações existentes no sistema de recursos humanos.

Esse princípio de acesso conforme a necessidade reduz a exposição desnecessária dos dados.

Após o desligamento

O encerramento do vínculo profissional também exige atenção.

É importante revisar acessos a sistemas, e-mails, plataformas, arquivos compartilhados e demais recursos que possam permitir acesso a informações pessoais.

LGPD e contratos empresariais

A proteção de dados também precisa aparecer na gestão contratual.

Quando uma empresa compartilha dados pessoais com fornecedores ou utiliza serviços que envolvem tratamento de dados, é importante avaliar as responsabilidades de cada parte.

Um contrato bem estruturado pode estabelecer regras para acesso, segurança, confidencialidade, compartilhamento, subcontratação, incidentes e encerramento do tratamento.

Isso é especialmente importante quando o fornecedor possui acesso a informações de clientes ou funcionários.

Fale com a Cezar & Cezar Advocacia sobre a adequação contratual da sua empresa

LGPD e marketing: o que a empresa precisa observar?

Marketing é uma das áreas que mais utiliza dados pessoais.

Campanhas de e-mail, mensagens, formulários, programas de relacionamento, anúncios direcionados, cookies e ferramentas de análise podem envolver tratamento de dados pessoais.

O fato de uma empresa possuir o telefone ou e-mail de uma pessoa não significa que qualquer utilização desse dado seja automaticamente permitida.

É necessário avaliar a finalidade, a base legal, a transparência e os demais princípios aplicáveis ao tratamento.

Cookies também exigem atenção

Sites e plataformas podem utilizar cookies e tecnologias semelhantes para diferentes finalidades.

A empresa deve avaliar quais tecnologias são utilizadas, quais informações são coletadas, quais finalidades existem e como o usuário é informado sobre essas práticas.

A ANPD possui orientação específica sobre cookies e proteção de dados pessoais.

Consulte os materiais educativos da ANPD sobre proteção de dados.

LGPD e WhatsApp: a empresa pode usar dados de clientes?

O uso do WhatsApp para comunicação empresarial não afasta a aplicação da LGPD.

Se a empresa utiliza o aplicativo para enviar informações a clientes, negociar produtos, prestar atendimento ou realizar outras atividades que envolvam dados pessoais, o tratamento precisa ser analisado conforme a LGPD.

Um dos principais cuidados é evitar o compartilhamento indiscriminado de dados pessoais em grupos ou conversas que envolvam pessoas sem necessidade de acesso às informações.

Também é importante estabelecer orientações internas sobre o uso de aparelhos pessoais, contas corporativas, armazenamento de arquivos e encaminhamento de informações.

O que acontece se a empresa sofrer um vazamento de dados?

Um vazamento ou outro incidente de segurança não deve ser tratado como um problema exclusivamente de tecnologia.

A empresa precisa avaliar a natureza do incidente, os dados envolvidos, os titulares afetados, os riscos existentes e as medidas necessárias para reduzir os impactos.

A LGPD estabelece obrigações relacionadas à segurança dos dados e à comunicação de incidentes que possam causar risco ou dano relevante aos titulares.

Além disso, a ANPD regulamentou o procedimento de comunicação por meio da Resolução CD/ANPD nº 15/2024.

O prazo regulatório de três dias úteis torna ainda mais importante que a empresa possua um procedimento interno de resposta a incidentes.

Esperar o problema acontecer para descobrir quem deve agir pode aumentar significativamente a dificuldade de resposta.

Quais são as penalidades previstas pela LGPD?

A LGPD prevê diversas sanções administrativas que podem ser aplicadas pela ANPD após procedimento administrativo e observados os critérios legais.

Entre as sanções estão advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação de dados, além de outras medidas previstas no art. 52 da lei.

A multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.

Isso não significa que toda irregularidade resulte automaticamente em uma multa nesse valor. A própria legislação determina que sejam considerados fatores como gravidade, natureza da infração, boa-fé, dano, reincidência, cooperação, adoção de mecanismos internos e medidas corretivas.

Por isso, adequação à LGPD também significa demonstrar que a empresa possui mecanismos de prevenção, segurança e governança.

Consulte o art. 52 da LGPD e as sanções administrativas previstas em lei.

Exemplo prático: uma pequena loja que nunca revisou seus dados

Imagine uma empresa de comércio que possui milhares de cadastros antigos de clientes, utiliza uma plataforma de vendas, envia mensagens promocionais e mantém planilhas compartilhadas entre diferentes funcionários.

A empresa pode acreditar que está adequada simplesmente porque publicou uma política de privacidade no site.

Entretanto, ao analisar a operação, pode descobrir que antigos funcionários ainda possuem acesso a determinadas ferramentas, que os dados são compartilhados com fornecedores sem regras contratuais claras e que não existe procedimento para responder solicitações dos titulares.

Esse exemplo demonstra uma diferença fundamental: conformidade não é apenas documentação, mas organização da operação real.

Exemplo prático: uma clínica que trata dados sensíveis

Agora imagine uma pequena clínica que armazena informações de pacientes, documentos, dados de contato e informações relacionadas à saúde.

Nesse caso, a análise precisa ser ainda mais cuidadosa porque dados referentes à saúde são considerados dados pessoais sensíveis pela LGPD.

Além das bases legais específicas, a empresa precisa avaliar controles de acesso, armazenamento, compartilhamento, segurança, fornecedores e procedimentos para incidentes.

O tamanho reduzido da clínica não elimina a necessidade de proteção adequada. O nível de segurança deve considerar também a natureza e o risco dos dados tratados.

Exemplo prático: empresa que utiliza vários fornecedores digitais

Considere uma empresa que utiliza sistema de gestão, plataforma de pagamentos, ferramenta de marketing, armazenamento em nuvem e serviço externo de recursos humanos.

Mesmo sem desenvolver nenhuma dessas tecnologias, a empresa pode estar envolvida em diversos fluxos de dados pessoais.

O trabalho de adequação deve analisar os fornecedores, os contratos, os acessos, as responsabilidades e os fluxos de compartilhamento.

Esse cenário demonstra por que LGPD também é uma questão de gestão contratual e empresarial.

Quais documentos uma pequena empresa pode precisar para se adequar à LGPD?

Não existe uma lista universal de documentos obrigatórios que possa ser aplicada indistintamente a todas as empresas.

A documentação deve ser definida conforme o porte, atividade, volume de dados, riscos e estrutura do negócio.

Dependendo do caso, podem ser necessários:

• Registro das atividades de tratamento;
• Política de privacidade;
• Política de segurança da informação;
• Procedimento para atendimento aos titulares;
• Procedimento de resposta a incidentes;
• Regras internas para funcionários;
• Termos e cláusulas contratuais relacionadas à proteção de dados;
• Políticas relacionadas a cookies e tecnologias semelhantes;
• Documentos relacionados à governança e boas práticas;
• Registros de treinamentos e medidas de conscientização.

O mais importante é que os documentos sejam compatíveis com os processos reais da empresa.

Como implementar a LGPD em uma pequena ou média empresa passo a passo?

Etapa 1. Identifique os tratamentos

Faça um levantamento dos dados pessoais presentes na empresa e dos processos que utilizam essas informações.

Etapa 2. Classifique os riscos

Nem todos os tratamentos apresentam o mesmo nível de risco. Considere a natureza dos dados, quantidade de titulares, finalidade, compartilhamentos, sistemas utilizados e possíveis impactos.

Etapa 3. Defina as bases legais

Para cada tratamento relevante, avalie qual hipótese legal permite sua realização.

Etapa 4. Revise os fluxos de dados

Verifique como os dados entram, circulam, são armazenados, compartilhados e eliminados.

Etapa 5. Revise contratos

Analise contratos com fornecedores, parceiros e prestadores que possam ter acesso a dados pessoais.

Etapa 6. Crie políticas e procedimentos

Documente as regras necessárias para orientar funcionários, gestores e terceiros.

Etapa 7. Implemente medidas de segurança

Adote medidas técnicas e administrativas proporcionais aos riscos identificados.

Etapa 8. Treine a equipe

Transforme as regras em práticas diárias por meio de orientação e conscientização.

Etapa 9. Crie um procedimento para incidentes

Defina responsabilidades e etapas para identificação, contenção, análise, documentação e comunicação de incidentes.

Etapa 10. Monitore e atualize

A adequação não termina quando os documentos são assinados. Mudanças em sistemas, fornecedores, produtos, campanhas, funcionários e processos podem criar novos tratamentos e novos riscos.

Converse com a Cezar & Cezar Advocacia sobre a estruturação jurídica da proteção de dados da sua empresa

Como saber se a empresa está realmente adequada à LGPD?

Uma empresa deve conseguir demonstrar como trata os dados pessoais e quais medidas utiliza para protegê-los.

Um bom teste é verificar se a empresa consegue responder de maneira objetiva às seguintes perguntas:

• Sabemos quais dados pessoais tratamos?
• Sabemos por que cada dado é utilizado?
• Conseguimos identificar as bases legais?
• Temos controle sobre quem acessa os dados?
• Sabemos quais fornecedores recebem dados?
• Nossos contratos tratam adequadamente das responsabilidades?
• Temos regras internas para os funcionários?
• Temos medidas de segurança compatíveis com os riscos?
• Sabemos como atender uma solicitação de titular?
• Temos um procedimento para responder a incidentes?
• Conseguimos demonstrar as medidas de proteção adotadas?

Se várias dessas respostas forem negativas, provavelmente existe espaço significativo para aprimoramento.

LGPD para pequenas empresas não significa criar burocracia desnecessária

Um projeto de proteção de dados eficiente não deve criar documentos que ninguém utiliza.

O objetivo é transformar a proteção de dados em parte da rotina empresarial, com processos proporcionais ao tamanho e à complexidade do negócio.

A própria regulamentação da ANPD reconhece a realidade dos agentes de tratamento de pequeno porte e permite determinadas simplificações, inclusive em relação ao registro das operações, ao encarregado e à política de segurança.

O desafio é encontrar o equilíbrio entre simplificação, segurança, conformidade e realidade operacional.

Quais são os erros mais comuns na adequação à LGPD?

Copiar uma política de privacidade da internet

Um documento genérico pode não corresponder às operações efetivamente realizadas pela empresa.

Achar que consentimento resolve tudo

O consentimento é apenas uma das bases legais previstas na LGPD e deve ser utilizado quando realmente for adequado ao tratamento.

Ignorar os funcionários

A proteção de dados precisa alcançar recursos humanos, financeiro, comercial, atendimento e demais áreas que tratam informações pessoais.

Esquecer os fornecedores

Terceiros podem ter acesso a grandes volumes de dados. Por isso, contratos e controles de acesso precisam ser avaliados.

Não ter plano para incidentes

Um incidente exige rapidez. Sem um procedimento previamente definido, a empresa pode perder tempo justamente quando a resposta precisa ser mais organizada.

Considerar o projeto encerrado após criar os documentos

A proteção de dados precisa acompanhar as mudanças da empresa. Novos sistemas, produtos, campanhas e fornecedores podem alterar completamente o fluxo de dados.

Checklist de LGPD para pequenas e médias empresas

Use este checklist como ponto de partida para uma avaliação interna.

• Mapeamento dos dados pessoais;
• Identificação das finalidades;
• Definição das bases legais;
• Identificação de dados pessoais sensíveis;
• Registro das atividades de tratamento;
• Política de privacidade adequada à realidade da empresa;
• Canal para atendimento aos titulares;
• Avaliação da necessidade de encarregado;
• Política ou regras de segurança da informação;
• Controle de acessos;
• Treinamento dos funcionários;
• Revisão dos contratos com fornecedores;
• Procedimento para incidentes de segurança;
• Avaliação de cookies e ferramentas digitais;
• Revisão periódica dos processos.

Por que a LGPD deve fazer parte da gestão jurídica empresarial?

A proteção de dados não deve funcionar de forma isolada dentro da empresa.

Ela se relaciona diretamente com contratos, recursos humanos, tecnologia, marketing, atendimento ao consumidor, gestão de fornecedores, segurança da informação e governança.

Por isso, uma visão exclusivamente documental pode deixar riscos importantes fora da análise.

A gestão jurídica empresarial preventiva permite integrar proteção de dados às demais rotinas jurídicas da organização, avaliando riscos antes que eles se transformem em conflitos, prejuízos ou medidas corretivas mais complexas.

Essa abordagem é especialmente relevante para pequenas e médias empresas, que precisam estruturar seus processos sem criar controles incompatíveis com sua realidade operacional.

O que fazer se a empresa ainda não começou a adequação à LGPD?

O primeiro passo não é sair criando documentos.

Comece pelo diagnóstico. Descubra quais dados são tratados, quais setores participam do tratamento, quais fornecedores possuem acesso às informações e quais riscos são mais relevantes.

Depois, estabeleça prioridades e implemente medidas proporcionais à realidade da empresa.

Uma adequação bem estruturada deve ser construída a partir do funcionamento real do negócio e não apenas de modelos prontos.

Avalie os riscos jurídicos relacionados à proteção de dados da sua empresa

Perguntas frequentes sobre LGPD para pequenas e médias empresas

Pequenas empresas precisam cumprir a LGPD?

Sim. Pequenas empresas podem estar sujeitas à LGPD quando realizam tratamento de dados pessoais. Alguns agentes de tratamento de pequeno porte possuem flexibilizações previstas pela ANPD, mas essas regras não eliminam os princípios, bases legais, direitos dos titulares e deveres de segurança previstos na legislação.

---

Microempresa precisa ter encarregado de dados?

Alguns agentes de tratamento de pequeno porte que atendem aos requisitos da regulamentação da ANPD podem ser dispensados da indicação obrigatória de encarregado. Mesmo nesses casos, deve existir canal de comunicação com o titular conforme as regras aplicáveis.

---

Pequena empresa precisa criar uma política de privacidade?

A necessidade e o conteúdo da política devem ser avaliados conforme os tratamentos realizados. Quando a empresa utiliza site, formulários, sistemas, cookies ou outras ferramentas que envolvem dados pessoais, é importante fornecer informações claras e compatíveis com suas práticas de tratamento.

---

É obrigatório pedir consentimento para todos os dados pessoais?

Não. A LGPD estabelece diversas bases legais para o tratamento de dados pessoais. O consentimento é apenas uma delas e deve ser utilizado quando for juridicamente adequado à situação concreta.

---

Funcionários também estão protegidos pela LGPD?

Sim. Dados pessoais de funcionários, candidatos a vagas e outras pessoas relacionadas à relação de trabalho também podem estar sujeitos à LGPD. A empresa deve avaliar os tratamentos realizados durante todo o ciclo da relação profissional.

---

A LGPD se aplica aos dados dos clientes?

Sim. Dados pessoais de clientes podem estar sujeitos à LGPD quando houver tratamento realizado nas hipóteses previstas pela legislação. A empresa deve avaliar finalidade, base legal, segurança, compartilhamento e direitos dos titulares.

---

O que uma empresa deve fazer em caso de vazamento de dados?

A empresa deve identificar e conter o incidente, avaliar os dados e titulares envolvidos, analisar os riscos, registrar as medidas adotadas e verificar a necessidade de comunicação à ANPD e aos titulares. A Resolução CD/ANPD nº 15/2024 estabelece regras específicas para comunicação de incidentes de segurança.

---

Qual é o prazo para comunicar um incidente de segurança à ANPD?

Nos casos abrangidos pela obrigação de comunicação, a Resolução CD/ANPD nº 15/2024 estabelece prazo de três dias úteis para a comunicação à ANPD e aos titulares, ressalvada a existência de prazo específico previsto em legislação. A avaliação concreta do incidente é indispensável.

---

Pequena empresa pode ter uma política simplificada de segurança da informação?

Sim. A Resolução CD/ANPD nº 2/2022 permite que agentes de tratamento de pequeno porte estabeleçam política simplificada de segurança da informação, considerando seus custos, estrutura, escala e volume de operações. A simplificação não elimina a necessidade de proteção adequada.

---

Quais documentos são necessários para cumprir a LGPD?

Não existe uma lista única aplicável a todas as empresas. A documentação depende das atividades, riscos e tratamentos realizados. Entre os instrumentos que podem ser necessários estão registro de operações, política de privacidade, regras de segurança, procedimentos para titulares, contratos e plano de resposta a incidentes.

---

Quanto custa adequar uma pequena empresa à LGPD?

Não existe um valor único. O custo depende do tamanho da empresa, quantidade e natureza dos dados, sistemas utilizados, número de fornecedores, complexidade das operações e nível de risco. A adequação deve ser dimensionada de acordo com a realidade de cada negócio.

---

Uma empresa pode ser multada por descumprir a LGPD?

Sim. A LGPD prevê sanções administrativas aplicáveis pela ANPD após procedimento administrativo e observados os critérios legais. Entre elas estão advertência, multas e outras medidas previstas no art. 52 da legislação.

---

A adequação à LGPD termina quando os documentos ficam prontos?

Não. A proteção de dados deve ser acompanhada e atualizada. Mudanças em sistemas, fornecedores, produtos, processos, campanhas e estrutura interna podem criar novos tratamentos e riscos que precisam ser avaliados.

Conclusão: LGPD na prática exige organização, prevenção e responsabilidade

A LGPD para pequenas e médias empresas não deve ser encarada apenas como uma obrigação burocrática ou tecnológica. Ela faz parte da gestão empresarial e precisa estar presente nos contratos, recursos humanos, atendimento, marketing, segurança da informação e relacionamento com fornecedores.

Pequenas empresas podem contar com regras diferenciadas em determinadas situações, mas isso não significa ausência de responsabilidade. A proteção dos dados continua exigindo respeito aos princípios da LGPD, atendimento aos direitos dos titulares e adoção de medidas de segurança compatíveis com os riscos.

O caminho mais seguro começa pelo diagnóstico dos tratamentos realizados, passa pela identificação das bases legais e dos riscos e chega à implementação de políticas, contratos, controles, treinamentos e procedimentos que realmente funcionem no dia a dia.

Mais do que criar documentos, adequar uma empresa à LGPD significa transformar a proteção de dados em parte da gestão jurídica e operacional do negócio. Quando essa estrutura é construída de forma proporcional à realidade da empresa, a proteção de dados deixa de ser apenas uma exigência legal e passa a integrar a própria organização empresarial.

Agendar atendimento

Publicado em: 08/09/2026