LGPD para pequenas empresas: o que é obrigatório

A Lei Geral de Proteção de Dados vale para a microempresa e para a empresa de pequeno porte. O que a regulamentação fez foi simplificar algumas obrigações, sem dispensar o essencial: base legal para cada uso de dado, segurança, atendimento ao titular e comunicação de incidentes continuam exigíveis. Na prática, LGPD para pequenas empresas significa saber com precisão o que foi flexibilizado e o que não foi.

A lacuna é grande. Pesquisa do Sebrae divulgada em fevereiro de 2025 mostrou que 80% dos donos de pequenos negócios já ouviram falar da LGPD, mas só 5% dizem conhecê-la bem, e 77% não tomaram nenhuma providência para cumpri-la.

Quem tem direito ao regime simplificado

A Resolução CD/ANPD nº 2/2022 criou regras próprias para os agentes de tratamento de pequeno porte: microempresas e empresas de pequeno porte (inclusive o MEI), startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, e pessoas naturais que tratam dados como controladoras ou operadoras (art. 2º).

O benefício tem exceções (art. 3º). Ficam de fora a empresa com receita bruta acima do teto da empresa de pequeno porte, hoje R$ 4,8 milhões por ano (Lei Complementar 123/2006, art. 3º, II), a que pertence a grupo econômico cuja receita global ultrapasse esse limite e, sobretudo, a que realiza tratamento de alto risco. Alto risco, para a resolução, é a combinação de um critério geral (tratamento em larga escala ou capaz de afetar significativamente direitos dos titulares) com um critério específico, como uso de dados sensíveis, dados de crianças, adolescentes ou idosos, vigilância de áreas abertas ao público ou decisões automatizadas sobre perfil de consumo e de crédito (art. 4º). Clínicas, laboratórios, academias e escolas precisam fazer essa análise com cuidado. Se a ANPD pedir, a empresa tem quinze dias para comprovar que se enquadra (art. 5º).

O que foi simplificado

• Encarregado. A pequena empresa não é obrigada a indicar o encarregado pelo tratamento de dados (o chamado DPO), mas precisa manter um canal de comunicação com o titular (art. 11). Indicar um encarregado é considerado boa prática na dosimetria de eventual sanção.
• Registro das operações. O registro de quais dados são tratados, para quê e com que base legal, exigido pela LGPD (art. 37), pode ser feito de forma simplificada (art. 9º).
• Política de segurança. Pode ser simplificada e proporcional à estrutura e ao volume de operações (art. 13), e sua existência é levada em conta pela ANPD.
• Prazos em dobro. Para atender pedidos dos titulares, para comunicar incidentes e para responder à ANPD (art. 14). A declaração simplificada sobre os dados do titular pode ser entregue em até quinze dias (art. 15).

O que continua obrigatório

A própria resolução é explícita: a flexibilização não isenta a pequena empresa das bases legais, dos princípios e dos direitos dos titulares previstos na LGPD (art. 6º). Na rotina, isso quer dizer:

• ter uma base legal para cada tratamento (LGPD, art. 7º), como execução de contrato, cumprimento de obrigação legal, legítimo interesse, proteção do crédito ou consentimento;
• atender aos direitos do titular, como confirmação, acesso, correção e eliminação de dados (art. 18), por meio eletrônico, impresso ou outro que funcione;
• adotar medidas de segurança técnicas e administrativas compatíveis com o risco (art. 46);
• comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48). O prazo geral é de três dias úteis a partir do conhecimento do incidente (Resolução CD/ANPD nº 15/2024, art. 6º), contado em dobro para a pequena empresa, e todo incidente, comunicado ou não, deve ficar registrado por cinco anos (art. 10 da mesma resolução).

A primeira multa da ANPD foi para uma microempresa

Em julho de 2023, a ANPD aplicou sua primeira sanção. A Telekall Infoservice, uma microempresa, recebeu advertência e duas multas de R$ 7.200, total de R$ 14.400. O caso começou com a denúncia de que a empresa oferecia listas de contatos de WhatsApp de eleitores para disparo de propaganda nas eleições municipais de 2020, em Ubatuba (SP). A autoridade concluiu que não havia base legal para o tratamento, que a empresa não comprovou ter indicado encarregado nem que deixava de fazer tratamento de alto risco, condição para a dispensa, e que não atendeu às requisições da fiscalização.

Cada multa ficou limitada a 2% do faturamento, teto previsto na LGPD, que também fixa limite de R$ 50 milhões por infração (art. 52, II). Além da multa, a lei prevê bloqueio e eliminação dos dados envolvidos, e o titular prejudicado pode pedir indenização (art. 42). A fiscalização ganhou estrutura em 2026: a Lei 15.352, de 25 de fevereiro, transformou a ANPD em Agência Nacional de Proteção de Dados, autarquia de natureza especial com autonomia técnica, decisória, administrativa e financeira.

Onde o risco costuma estar

A carteira de clientes no celular do vendedor

É comum o vendedor atender pelo WhatsApp do próprio celular, com nomes, telefones, histórico de pedidos e até fotos de documentos de clientes. Esses dados são da empresa, que responde pela segurança deles (art. 46), mas ficam fora do controle dela, e saem com o vendedor quando ele deixa o emprego. A LGPD obriga quem participa do tratamento a garantir a segurança da informação mesmo depois de terminado o tratamento (art. 47). Número e conta comercial da empresa, regras de acesso e um procedimento de desligamento resolvem boa parte do problema.

Marketing sem base legal

Comprar listas de contatos ou incluir em listas de transmissão pessoas que nunca se relacionaram com a empresa é exatamente o tipo de conduta que gerou a primeira multa. Comunicações a clientes atuais podem se apoiar no legítimo interesse, desde que se limitem aos dados necessários e sejam transparentes (art. 10), e o titular pode se opor a elas (art. 18, § 2º). Fora disso, a regra é o consentimento.

Dados de empregados e fornecedores que acessam dados

Atestados médicos são dados sensíveis (art. 11), e currículos de candidatos não aproveitados não precisam ser guardados indefinidamente. Escritório de contabilidade, sistema de gestão e plataforma de vendas tratam dados em nome da empresa e devem ter essas obrigações previstas no contrato de prestação de serviços.

Um roteiro mínimo

1. Mapear quais dados a empresa coleta, de quem, para quê e onde ficam guardados. É a base do registro simplificado.
2. Associar uma base legal a cada uso e eliminar o que não tem finalidade.
3. Publicar um aviso de privacidade simples e um canal de contato para os titulares.
4. Adotar política de segurança simplificada: senhas, controle de acesso, cópias de segurança e aparelhos da empresa para atender clientes.
5. Revisar contratos com fornecedores que tratam dados e com empregados que acessam a carteira de clientes.
6. Definir quem decide e como a empresa comunica um incidente dentro de seis dias úteis, o prazo em dobro.

Invasão de e-mail com troca de boletos, tema do artigo sobre o golpe do boleto, também é incidente de segurança. A revisão desses pontos entra no checklist jurídico anual e é parte do que se entende por jurídico preventivo.