LGPD para pequenas empresas: checklist prático para começar
O que a LGPD exige de micro e pequenas empresas, o que a ANPD flexibilizou e um checklist em 8 passos para proteger os dados dos seus clientes.
Neste artigo
Sim, a LGPD vale para a sua empresa, mesmo que ela seja pequena. Qualquer negócio que guarda nome, telefone, e-mail, CPF ou endereço de clientes, funcionários ou fornecedores está tratando dados pessoais. A boa notícia é que a ANPD, a autoridade que fiscaliza a lei, criou regras mais leves para micro e pequenas empresas, e dá para começar com um checklist simples.
Este guia explica o que muda para quem tem um negócio pequeno, quais obrigações foram flexibilizadas e quais passos práticos você pode dar já esta semana. Não substitui a orientação de um advogado, mas serve de ponto de partida.
O que é “dado pessoal” na rotina de uma empresa
Dado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la. Na prática, isso inclui:
- cadastro de clientes na planilha, no sistema de gestão ou na loja virtual;
- contatos salvos no WhatsApp Business e histórico de conversas;
- fichas de funcionários e currículos recebidos;
- câmeras de segurança, quando gravam pessoas;
- dados de pagamento e endereço de entrega.
Se você usa ferramentas de automação, chatbots ou CRM, os dados também passam por esses sistemas. Saber onde cada dado está é o primeiro passo de tudo.
O que a ANPD flexibilizou para pequenos negócios
A Resolução CD/ANPD nº 2/2022 criou a figura do “agente de tratamento de pequeno porte”. Segundo a norma, entram nessa categoria microempresas, empresas de pequeno porte, startups e outras pessoas jurídicas de direito privado que se enquadrem nos critérios. Para esses negócios, a resolução prevê:
| Obrigação | Regra para pequeno porte |
|---|---|
| Encarregado (DPO) | Não é obrigatório indicar, mas é preciso ter um canal de comunicação com os titulares dos dados (art. 11) |
| Registro das operações de tratamento | Pode ser feito de forma simplificada, com modelo da ANPD (art. 9º) |
| Prazos para atender pedidos de clientes e comunicar incidentes | Contados em dobro (art. 14) |
Checklist prático em 8 passos
1. Faça um inventário dos dados
Liste que dados você coleta, de quem, onde ficam (planilha, sistema, nuvem, celular) e para que servem. A ANPD oferece um modelo de registro simplificado das operações de tratamento, em Excel e PDF, na página do guia de segurança para pequenos agentes.
2. Colete só o necessário
Se você não precisa do CPF para vender, não peça. Quanto menos dado guardado, menor o risco e menor o trabalho de proteger.
3. Defina a base legal de cada uso
Toda coleta precisa de uma justificativa prevista na lei: execução de contrato, obrigação legal, consentimento, legítimo interesse, entre outras. Para mensagens de marketing, por exemplo, o consentimento costuma ser o caminho mais seguro. Anote a justificativa de cada uso no inventário.
4. Escreva um aviso de privacidade simples
Um texto curto, no site ou no balcão, dizendo quais dados você coleta, para quê, com quem compartilha e como o cliente pode falar com você. Linguagem direta, sem juridiquês.
5. Abra um canal para o cliente exercer seus direitos
Pode ser um e-mail ou um formulário. Ele serve para o cliente pedir cópia, correção ou exclusão dos dados. Se você não indicar um encarregado, esse canal é exigido pela resolução.
6. Proteja o básico
O guia da ANPD para pequenos agentes traz um checklist de medidas administrativas e técnicas. Entre as ações mais comuns de segurança da informação estão:
- senhas fortes e verificação em duas etapas nos sistemas e no e-mail;
- acesso aos dados só para quem precisa deles;
- atualizações em dia no computador, no celular e nos sistemas;
- cópias de segurança (backup) guardadas separadamente;
- cuidado com e-mails e links suspeitos, e treinamento rápido da equipe.
7. Revise fornecedores e ferramentas
Sistemas de gestão, plataformas de e-mail marketing, chatbots e serviços de nuvem recebem dados dos seus clientes. Veja nos termos de cada um onde os dados ficam e como são protegidos. Em automações, evite enviar para ferramentas externas dados que elas não precisam. Se você usa ou pensa em usar chatbot no WhatsApp, vale ler também o guia sobre API oficial ou não oficial.
8. Tenha um plano para incidentes
Vazamento, celular roubado com dados de clientes, planilha enviada para a pessoa errada: tudo isso pode ser um incidente de segurança. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) prevê comunicação à ANPD e ao titular em até três dias úteis, prazo contado em dobro para agentes de pequeno porte. Defina de antemão quem decide, quem avisa e como registrar o que aconteceu.
O que acontece se eu não me adequar
A LGPD prevê sanções administrativas aplicadas pela ANPD, que vão de advertência a multas, e a ANPD tem priorizado orientação nos casos de pequeno porte. Além disso, um vazamento mal conduzido prejudica a confiança dos clientes, o que costuma custar mais caro que a multa. Por isso, o melhor é tratar a adequação como rotina de organização, não como susto.
Quando procurar ajuda profissional
Procure um advogado ou consultor de proteção de dados se a empresa trata dados sensíveis (saúde, biometria), faz monitoramento em larga escala, vende para outras empresas que exigem contrato de proteção de dados ou já sofreu um incidente. Para os demais casos, o checklist acima e os materiais gratuitos da ANPD já cobrem o essencial.
Resumo
- A LGPD vale para qualquer empresa que trate dados pessoais, inclusive micro e pequenas.
- A ANPD flexibilizou para pequeno porte o encarregado, o registro das operações e os prazos, mas nem todo negócio se enquadra (alto risco fica de fora).
- Comece pelo inventário: onde estão os dados, para que servem e quem acessa.
- Proteja o básico (senhas, acessos, backup, atualizações) e mantenha um canal para os clientes.
- Tenha um plano para incidentes: o prazo de comunicação é de três dias úteis, em dobro para pequeno porte.
Fontes consultadas
