LGPD na pequena empresa: um roteiro para começar

A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais com fins econômicos, independentemente do tamanho. Cadastro de clientes, lista de contatos no WhatsApp, currículos recebidos e a folha de pagamento já bastam para que a lei se aplique.

A boa notícia é que a adequação de uma pequena empresa não precisa ser um projeto caro e longo. A própria Autoridade Nacional de Proteção de Dados (ANPD) criou regras simplificadas para os agentes de tratamento de pequeno porte.

O que muda para quem é de pequeno porte

A Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações para microempresas, empresas de pequeno porte e startups, desde que não realizem tratamento de alto risco. Entre as principais:

• dispensa de indicar um encarregado (DPO), desde que a empresa mantenha um canal de comunicação com os titulares;
• registro das operações de tratamento em formato simplificado;
• política de segurança da informação simplificada;
• prazos diferenciados para algumas obrigações.

As flexibilizações facilitam o caminho, mas não dispensam a empresa de cumprir a lei.

Seis passos para começar

1. Mapeie os dados

Liste quais dados pessoais a empresa coleta, de quem (clientes, funcionários, fornecedores), para quê, onde ficam guardados e com quem são compartilhados. Uma planilha simples resolve. Esse mapa é a base de todo o resto.

2. Defina a base legal de cada uso

Todo tratamento precisa de uma justificativa prevista na lei (art. 7º). Consentimento é apenas uma delas: execução de contrato, cumprimento de obrigação legal e legítimo interesse também são bases válidas. Dados sensíveis, como os de saúde, têm regras mais rígidas (art. 11).

3. Seja transparente com as pessoas

Publique uma política de privacidade clara no site e informe, nos formulários, para que os dados serão usados. Elimine campos que pedem informações de que a empresa não precisa.

4. Organize os fornecedores

Sistemas de gestão, contabilidade, agência de marketing e serviços em nuvem tratam dados em nome da empresa. Os contratos com esses fornecedores devem ter cláusulas de proteção de dados e segurança.

5. Proteja o que você guarda

A lei exige medidas de segurança técnicas e administrativas (art. 46). Na prática: controle de quem acessa o quê, senhas fortes e autenticação em dois fatores, cópias de segurança e um procedimento para quando um colaborador sai da empresa.

6. Prepare-se para pedidos e incidentes

Os titulares podem pedir acesso, correção ou eliminação dos seus dados (art. 18). Defina um canal, como um e-mail, e quem responde. Tenha também um plano para incidentes: vazamentos que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares (art. 48), nos prazos definidos pela Resolução CD/ANPD nº 15/2024.

E se a empresa não se adequar?

As sanções previstas na LGPD vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além da publicização da infração e do bloqueio ou eliminação dos dados (art. 52). Para uma pequena empresa, porém, o risco mais frequente costuma ser outro: perder clientes e contratos com empresas maiores, que passaram a exigir adequação dos seus fornecedores.

Em resumo: comece pelo mapa de dados. Com ele em mãos, os outros passos ficam mais simples e a adequação vira rotina, não um projeto sem fim.

Conteúdo de caráter informativo, elaborado com base na legislação e nas resoluções da ANPD vigentes em outubro de 2026. Não substitui a análise do caso concreto por um advogado.