LGPD para pequenas empresas: o que é obrigatório e o que a ANPD simplificou

Resposta curta: sim, a LGPD vale para pequenas empresas, MEIs e profissionais autônomos. O que existe é um regime simplificado, criado pela Resolução CD/ANPD nº 2/2022: o pequeno negócio pode dispensar o encarregado de dados (desde que ofereça um canal de contato), manter registros mais simples, adotar uma política de segurança mais enxuta e tem prazos em dobro para alguns pedidos. O que não muda: você precisa ter um motivo válido para usar cada dado, informar as pessoas, proteger as informações e atender quem pedir acesso, correção ou exclusão.

“LGPD é coisa de empresa grande” é uma frase que eu escuto com frequência de donos de clínica, escritório e consultoria. Faz sentido a dúvida: encarregado, relatório de impacto e registro de operações soam como trabalho de departamento jurídico. Só que a mesma lei vale para quem guarda a ficha de cinco clientes num caderno.

Abaixo, sem juridiquês, o que a lei exige, o que a ANPD (Autoridade Nacional de Proteção de Dados) facilitou e um roteiro para começar. Não é parecer jurídico: as referências são a LGPD (Lei 13.709/2018) e as resoluções da ANPD. Casos específicos, principalmente com dados de saúde, merecem conversa com um advogado especializado em proteção de dados.

A LGPD vale para pequenas empresas e MEI?

Vale. O artigo 3º da LGPD diz que a lei se aplica a qualquer pessoa física ou empresa que faça tratamento de dados pessoais, sem exceção por tamanho. E “tratamento” é quase tudo: coletar, anotar, guardar, consultar, enviar e apagar.

Se o seu negócio tem qualquer uma destas coisas, ele trata dados pessoais:

• cadastro de clientes ou pacientes, em papel, planilha ou sistema;
• agenda com nome e telefone de quem marcou horário;
• conversas no WhatsApp com clientes;
• formulário no site ou ferramentas de estatística que identificam o visitante;
• dados de funcionários e prestadores de serviço.

A exceção é o uso particular e não econômico (art. 4º): os contatos da família no seu celular não entram na lei. A agenda do consultório entra.

O que a ANPD simplificou para pequenos negócios?

Em janeiro de 2022 a ANPD publicou a Resolução CD/ANPD nº 2, que criou regras mais leves para os chamados agentes de tratamento de pequeno porte. Na prática, as principais facilidades são:

1. Encarregado de dados opcional: a empresa não é obrigada a nomear o encarregado (o famoso DPO), desde que mantenha um canal de comunicação para os titulares, como um e-mail ou um WhatsApp que alguém realmente acompanha.
2. Registro simplificado: a lei pede que a empresa registre as operações com dados pessoais; para o pequeno porte, esse registro pode ser feito de forma simplificada.
3. Política de segurança simplificada: em vez de um documento extenso, a empresa pode adotar uma política de segurança da informação proporcional ao seu tamanho, ao custo e ao volume de dados que trata.
4. Prazos em dobro: para atender alguns pedidos dos titulares e em comunicações com a ANPD, inclusive a de incidentes de segurança.
5. Prazo de até 15 dias para fornecer a declaração simplificada que confirma se a empresa tem dados da pessoa.

Quem conta como agente de pequeno porte?

A resolução inclui microempresas, empresas de pequeno porte, startups, MEIs, pessoas jurídicas sem fins lucrativos e também pessoas físicas que tratam dados como parte de uma atividade econômica, como um profissional liberal.

Mas o benefício tem limites. Ele não vale para quem:

• fatura acima do limite de empresa de pequeno porte ou faz parte de um grupo econômico que ultrapassa esse limite;
• faz tratamento de alto risco.

A resolução considera de alto risco o tratamento que junta pelo menos um critério geral (dados em larga escala ou que podem afetar de forma significativa os direitos das pessoas) com pelo menos um critério específico, como uso de tecnologias inovadoras, vigilância de locais públicos, decisões tomadas só por sistemas automáticos ou uso de dados sensíveis e de crianças, adolescentes ou idosos.

Clínicas, consultórios de psicologia e escritórios que lidam com informações de saúde ficam perto dessa linha. Ter dados sensíveis, sozinho, não torna o tratamento de alto risco, mas vale uma avaliação com um especialista antes de contar com as facilidades.

O que continua obrigatório para a pequena empresa?

Ter um motivo válido para cada dado

O artigo 7º lista as bases legais, os motivos aceitos para usar dados pessoais: execução de contrato, cumprimento de obrigação legal, consentimento e legítimo interesse, entre outros. Dados de saúde têm regras mais estritas no artigo 11. Na prática: não colete o que não vai usar. Se a ficha pede RG, data de nascimento e profissão, pergunte para que serve cada campo.

Contar às pessoas o que você faz com os dados

O cliente tem direito de saber quem guarda os dados dele, para quê e por quanto tempo. No site, isso é a política de privacidade, que eu explico em detalhe no artigo sobre política de privacidade para site. No presencial, um aviso curto na ficha resolve.

Proteger as informações

O artigo 46 exige medidas de segurança contra acessos indevidos, perdas e vazamentos: verificação em duas etapas no e-mail e no WhatsApp, cada funcionário com o próprio acesso, backup que funciona e nada de lista de clientes circulando em grupo de mensagens.

Atender os pedidos dos titulares

O artigo 18 garante que a pessoa pode, entre outras coisas, confirmar se você tem dados dela, pedir uma cópia, corrigir e pedir a exclusão do que foi coletado com consentimento. Se você não sabe onde estão os dados de um cliente, não consegue atender esse pedido.

Avisar quando há vazamento

Se acontecer um incidente de segurança que possa causar risco ou dano relevante às pessoas, a empresa precisa comunicar a ANPD e os afetados. A regra geral da Resolução CD/ANPD nº 15/2024 é de 3 dias úteis a partir do momento em que a empresa fica sabendo; o pequeno porte tem o prazo em dobro. Eu conto o passo a passo do que fazer nessas horas no artigo sobre site hackeado.

Pequena empresa pode ser multada pela LGPD?

Pode. As sanções do artigo 52 valem para qualquer porte e vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A primeira multa aplicada pela ANPD, em 2023, foi justamente contra uma microempresa, a Telekall Infoservice, que oferecia listas de contatos de WhatsApp para campanha eleitoral sem base legal e não atendeu às requisições da fiscalização.

O risco mais comum, porém, vem de outro lado: o cliente que reclama, um processo judicial ou a perda de confiança depois de um vazamento. E a lei conta a favor de quem se organizou: o artigo 52 manda considerar a boa-fé e as medidas de segurança que a empresa já adotava.

Por onde começar a LGPD num pequeno negócio?

Este roteiro resolve boa parte do caminho:

1. Faça um inventário. Liste onde estão os dados das pessoas: fichas em papel, planilhas, agenda, WhatsApp, e-mail, site, sistema de gestão. Para cada lugar, anote que dados tem, para que servem e quem acessa. Essa lista já é o começo do seu registro simplificado.
2. Corte o excesso. Tire campos que ninguém usa das fichas e formulários e defina um prazo para apagar dados antigos que não têm mais motivo para ficar.
3. Escolha o canal de contato. Um e-mail como privacidade@seudominio.com.br, divulgado no site e na política de privacidade, e alguém responsável por ler.
4. Organize os acessos e o backup. Cada pessoa com o próprio login, sem senha compartilhada, e uma cópia de segurança que você já testou restaurar.
5. Escreva uma política de segurança curta. Uma página dizendo quem acessa o quê, onde fica o backup e o que fazer se algo vazar.
6. Revise os fornecedores. Saiba quais empresas recebem dados dos seus clientes (hospedagem, e-mail, sistema de agenda, contador).

O passo 1 costuma revelar o maior problema: dados espalhados em planilhas, celulares e cadernos. Centralizar tudo num lugar só, com login individual, ajuda na LGPD e no dia a dia. Eu falo de quando vale fazer essa troca no artigo planilha ou sistema.

Perguntas frequentes

Pequena empresa precisa de DPO?

Em regra, não, desde que exista um canal de comunicação com os titulares. Nomear alguém continua sendo uma boa prática e pode contar a favor numa fiscalização.

Guardar contatos de clientes no WhatsApp é proibido pela LGPD?

Não. Usar o contato para atender o cliente é legítimo. O cuidado está em não usar o número para fins que ele não espera, proteger o aparelho e não repassar a lista a terceiros.

Preciso pedir consentimento para tudo?

Não. Para prestar o serviço contratado ou cumprir uma obrigação legal, você não precisa de autorização específica. O consentimento costuma ser necessário em usos além do serviço, como mandar novidades por mensagem.

Resumo

• A LGPD vale para qualquer negócio que trate dados pessoais, inclusive MEI e profissional autônomo.
• A ANPD criou um regime simplificado para o pequeno porte: encarregado opcional (com canal de contato), registro e política de segurança simplificados e prazos em dobro.
• Continuam obrigatórios: motivo válido para cada dado, transparência, segurança, atendimento aos pedidos dos titulares e comunicação de incidentes.
• O primeiro passo é saber onde estão os dados dos seus clientes e quem acessa cada um.

Se os dados do seu negócio estão espalhados em planilhas, cadernos e celulares, eu desenvolvo sistemas web sob medida, como cadastro de clientes e agenda online, com login individual e acesso controlado. Veja a página de desenvolvimento de sistemas web.