# LGPD para pequenas empresas: o que é obrigatório e o que a ANPD simplificou > LGPD para pequenas empresas e MEI: o que continua obrigatório, o que a ANPD simplificou e um roteiro para organizar os dados. Por [Thiago Thomaz](https://www.thiagothomaz.tech/sobre) · LGPD e privacidade · publicado em 28 de outubro de 2026 **Resposta curta:** sim, a LGPD vale para pequenas empresas, MEIs e profissionais autônomos. O que existe é um regime simplificado, criado pela Resolução CD/ANPD nº 2/2022: o pequeno negócio pode dispensar o encarregado de dados (desde que ofereça um canal de contato), manter registros mais simples, adotar uma política de segurança mais enxuta e tem prazos em dobro para alguns pedidos. O que não muda: você precisa ter um motivo válido para usar cada dado, informar as pessoas, proteger as informações e atender quem pedir acesso, correção ou exclusão. "LGPD é coisa de empresa grande" é uma frase que eu escuto com frequência de donos de clínica, escritório e consultoria. Faz sentido a dúvida: encarregado, relatório de impacto e registro de operações soam como trabalho de departamento jurídico. Só que a mesma lei vale para quem guarda a ficha de cinco clientes num caderno. Abaixo, sem juridiquês, o que a lei exige, o que a ANPD (Autoridade Nacional de Proteção de Dados) facilitou e um roteiro para começar. Não é parecer jurídico: as referências são a [LGPD (Lei 13.709/2018)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) e as resoluções da ANPD. Casos específicos, principalmente com dados de saúde, merecem conversa com um advogado especializado em proteção de dados. ## A LGPD vale para pequenas empresas e MEI? Vale. O artigo 3º da LGPD diz que a lei se aplica a qualquer pessoa física ou empresa que faça tratamento de dados pessoais, sem exceção por tamanho. E "tratamento" é quase tudo: coletar, anotar, guardar, consultar, enviar e apagar. Se o seu negócio tem qualquer uma destas coisas, ele trata dados pessoais: - **cadastro de clientes** ou pacientes, em papel, planilha ou sistema; - **agenda** com nome e telefone de quem marcou horário; - **conversas no WhatsApp** com clientes; - **formulário no site** ou ferramentas de estatística que identificam o visitante; - **dados de funcionários** e prestadores de serviço. A exceção é o uso **particular e não econômico** (art. 4º): os contatos da família no seu celular não entram na lei. A agenda do consultório entra. ## O que a ANPD simplificou para pequenos negócios? Em janeiro de 2022 a ANPD publicou a [Resolução CD/ANPD nº 2](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022), que criou regras mais leves para os chamados **agentes de tratamento de pequeno porte**. Na prática, as principais facilidades são: 1. **Encarregado de dados opcional:** a empresa não é obrigada a nomear o encarregado (o famoso DPO), desde que mantenha um **canal de comunicação** para os titulares, como um e-mail ou um WhatsApp que alguém realmente acompanha. 2. **Registro simplificado:** a lei pede que a empresa registre as operações com dados pessoais; para o pequeno porte, esse registro pode ser feito de forma simplificada. 3. **Política de segurança simplificada:** em vez de um documento extenso, a empresa pode adotar uma política de segurança da informação proporcional ao seu tamanho, ao custo e ao volume de dados que trata. 4. **Prazos em dobro:** para atender alguns pedidos dos titulares e em comunicações com a ANPD, inclusive a de incidentes de segurança. 5. **Prazo de até 15 dias** para fornecer a declaração simplificada que confirma se a empresa tem dados da pessoa. ## Quem conta como agente de pequeno porte? A resolução inclui microempresas, empresas de pequeno porte, startups, MEIs, pessoas jurídicas sem fins lucrativos e também pessoas físicas que tratam dados como parte de uma atividade econômica, como um profissional liberal. Mas o benefício tem limites. Ele **não vale** para quem: - fatura acima do limite de empresa de pequeno porte ou faz parte de um grupo econômico que ultrapassa esse limite; - faz **tratamento de alto risco**. A resolução considera de alto risco o tratamento que junta pelo menos um critério geral (dados em **larga escala** ou que podem **afetar de forma significativa** os direitos das pessoas) com pelo menos um critério específico, como uso de tecnologias inovadoras, vigilância de locais públicos, decisões tomadas só por sistemas automáticos ou uso de **dados sensíveis** e de crianças, adolescentes ou idosos. Clínicas, consultórios de psicologia e escritórios que lidam com informações de saúde ficam perto dessa linha. Ter dados sensíveis, sozinho, não torna o tratamento de alto risco, mas vale uma avaliação com um especialista antes de contar com as facilidades. ## O que continua obrigatório para a pequena empresa? ### Ter um motivo válido para cada dado O artigo 7º lista as **bases legais**, os motivos aceitos para usar dados pessoais: execução de contrato, cumprimento de obrigação legal, consentimento e legítimo interesse, entre outros. Dados de saúde têm regras mais estritas no artigo 11. Na prática: **não colete o que não vai usar**. Se a ficha pede RG, data de nascimento e profissão, pergunte para que serve cada campo. ### Contar às pessoas o que você faz com os dados O cliente tem direito de saber quem guarda os dados dele, para quê e por quanto tempo. No site, isso é a política de privacidade, que eu explico em detalhe no artigo sobre [política de privacidade para site](/blog/politica-de-privacidade-para-site). No presencial, um aviso curto na ficha resolve. ### Proteger as informações O artigo 46 exige medidas de segurança contra acessos indevidos, perdas e vazamentos: verificação em duas etapas no e-mail e no WhatsApp, cada funcionário com o próprio acesso, backup que funciona e nada de lista de clientes circulando em grupo de mensagens. ### Atender os pedidos dos titulares O artigo 18 garante que a pessoa pode, entre outras coisas, confirmar se você tem dados dela, pedir uma cópia, corrigir e pedir a exclusão do que foi coletado com consentimento. Se você não sabe onde estão os dados de um cliente, não consegue atender esse pedido. ### Avisar quando há vazamento Se acontecer um incidente de segurança que possa causar risco ou dano relevante às pessoas, a empresa precisa comunicar a ANPD e os afetados. A regra geral da Resolução CD/ANPD nº 15/2024 é de **3 dias úteis** a partir do momento em que a empresa fica sabendo; o pequeno porte tem o prazo em dobro. Eu conto o passo a passo do que fazer nessas horas no artigo sobre [site hackeado](/blog/site-hackeado-o-que-fazer). ## Pequena empresa pode ser multada pela LGPD? Pode. As sanções do artigo 52 valem para qualquer porte e vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A primeira multa aplicada pela ANPD, em 2023, foi justamente contra uma microempresa, a Telekall Infoservice, que oferecia listas de contatos de WhatsApp para campanha eleitoral sem base legal e não atendeu às requisições da fiscalização. O risco mais comum, porém, vem de outro lado: o cliente que reclama, um processo judicial ou a perda de confiança depois de um vazamento. E a lei conta a favor de quem se organizou: o artigo 52 manda considerar a boa-fé e as medidas de segurança que a empresa já adotava. ## Por onde começar a LGPD num pequeno negócio? Este roteiro resolve boa parte do caminho: 1. **Faça um inventário.** Liste onde estão os dados das pessoas: fichas em papel, planilhas, agenda, WhatsApp, e-mail, site, sistema de gestão. Para cada lugar, anote que dados tem, para que servem e quem acessa. Essa lista já é o começo do seu registro simplificado. 2. **Corte o excesso.** Tire campos que ninguém usa das fichas e formulários e defina um prazo para apagar dados antigos que não têm mais motivo para ficar. 3. **Escolha o canal de contato.** Um e-mail como `privacidade@seudominio.com.br`, divulgado no site e na política de privacidade, e alguém responsável por ler. 4. **Organize os acessos e o backup.** Cada pessoa com o próprio login, sem senha compartilhada, e uma cópia de segurança que você já testou restaurar. 5. **Escreva uma política de segurança curta.** Uma página dizendo quem acessa o quê, onde fica o backup e o que fazer se algo vazar. 6. **Revise os fornecedores.** Saiba quais empresas recebem dados dos seus clientes (hospedagem, e-mail, sistema de agenda, contador). O passo 1 costuma revelar o maior problema: dados espalhados em planilhas, celulares e cadernos. Centralizar tudo num lugar só, com login individual, ajuda na LGPD e no dia a dia. Eu falo de quando vale fazer essa troca no artigo [planilha ou sistema](/blog/planilha-ou-sistema-quando-trocar). ## Perguntas frequentes ### Pequena empresa precisa de DPO? Em regra, não, desde que exista um canal de comunicação com os titulares. Nomear alguém continua sendo uma boa prática e pode contar a favor numa fiscalização. ### Guardar contatos de clientes no WhatsApp é proibido pela LGPD? Não. Usar o contato para atender o cliente é legítimo. O cuidado está em não usar o número para fins que ele não espera, proteger o aparelho e não repassar a lista a terceiros. ### Preciso pedir consentimento para tudo? Não. Para prestar o serviço contratado ou cumprir uma obrigação legal, você não precisa de autorização específica. O consentimento costuma ser necessário em usos além do serviço, como mandar novidades por mensagem. ## Resumo - A LGPD vale para qualquer negócio que trate dados pessoais, inclusive MEI e profissional autônomo. - A ANPD criou um regime simplificado para o pequeno porte: encarregado opcional (com canal de contato), registro e política de segurança simplificados e prazos em dobro. - Continuam obrigatórios: motivo válido para cada dado, transparência, segurança, atendimento aos pedidos dos titulares e comunicação de incidentes. - O primeiro passo é saber onde estão os dados dos seus clientes e quem acessa cada um. Se os dados do seu negócio estão espalhados em planilhas, cadernos e celulares, eu desenvolvo sistemas web sob medida, como cadastro de clientes e agenda online, com login individual e acesso controlado. Veja a página de [desenvolvimento de sistemas web](/desenvolvimento-de-sistemas-web). Serviço relacionado: https://www.thiagothomaz.tech/desenvolvimento-de-sistemas-web Dúvidas? [Fale pelo WhatsApp](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Li%20o%20artigo%20sobre%20LGPD%20para%20pequenas%20empresas%20e%20queria%20organizar%20melhor%20os%20dados%20dos%20meus%20clientes.). --- - Contato: [WhatsApp +55 21 98705-9570](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Vi%20seu%20site%20e%20gostaria%20de%20conversar%20sobre%20um%20projeto.) - Mapa do site para agentes: [llms.txt](https://www.thiagothomaz.tech/llms.txt) · [sitemap.xml](https://www.thiagothomaz.tech/sitemap.xml) - Páginas: [Início](https://www.thiagothomaz.tech/) · [Criação de sites](https://www.thiagothomaz.tech/criacao-de-sites) · [Sistemas web](https://www.thiagothomaz.tech/desenvolvimento-de-sistemas-web) · [Automação de processos](https://www.thiagothomaz.tech/automacao-de-processos) · [Sites para advogados](https://www.thiagothomaz.tech/site-para-advogados) · [Blog](https://www.thiagothomaz.tech/blog) · [Sobre](https://www.thiagothomaz.tech/sobre) · [Contato](https://www.thiagothomaz.tech/contato) · [Privacidade](https://www.thiagothomaz.tech/privacidade)