A LGPD não tem exceção por tamanho de empresa. O que existe é flexibilização: o regulamento da Autoridade Nacional de Proteção de Dados (ANPD) para agentes de tratamento de pequeno porte simplifica obrigações, mas não dispensa ninguém de cuidar dos dados que coleta. E a fiscalização já alcança pequenas empresas: a primeira multa aplicada pela ANPD foi justamente numa microempresa.
O que a LGPD exige, na prática
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) regula como qualquer empresa coleta, armazena, usa e compartilha dados pessoais, sejam de clientes, funcionários ou fornecedores. Isso vale para uma loja online com lista de clientes numa planilha tanto quanto para uma multinacional. O que muda é o nível de exigência, e é aí que entra a flexibilização para pequenas empresas.
O que muda para quem é pequeno
A Resolução CD/ANPD nº 2/2022 criou um regime simplificado para agentes de tratamento de pequeno porte, que inclui microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que tratam dados em pequena escala. As principais simplificações são:
Dispensa de nomear um encarregado de dados (DPO) formal, desde que a empresa mantenha um canal de comunicação acessível com os titulares dos dados.
Prazos mais longos para responder a solicitações dos titulares, geralmente o dobro do prazo das empresas maiores.
Registro simplificado das operações de tratamento de dados, sem precisar do nível de detalhamento exigido de uma empresa grande.
Relatório de impacto à proteção de dados simplificado, quando exigido.
Isso não significa menos responsabilidade. Significa que o caminho para chegar à conformidade pode ser mais direto.
Passo a passo para aplicar a LGPD na sua empresa
- Mapeie os dados que você coleta. Liste o que sua empresa coleta de clientes, funcionários e fornecedores: nome, CPF, e-mail, telefone, dados de pagamento, dados de saúde, biometria. Identifique onde cada informação fica armazenada e quem tem acesso a ela.
- Defina a base legal de cada tratamento. A LGPD exige uma justificativa jurídica para cada uso de dado: consentimento, execução de contrato, cumprimento de obrigação legal, entre outras. Para a maior parte das relações de cliente e fornecedor, a execução de contrato já cobre boa parte do uso.
- Escreva uma política de privacidade clara. Ela precisa explicar o que a empresa coleta, por quê, por quanto tempo guarda e como o titular pode exercer seus direitos. Disponibilize em local visível no site ou nos canais de atendimento.
- Garanta um canal de comunicação com os titulares. Pode ser um e-mail dedicado ou um formulário simples, desde que funcione e tenha um processo claro de resposta. Esse canal substitui a exigência de DPO formal para pequenas empresas.
- Adote medidas básicas de segurança. Senhas fortes, autenticação em dois fatores, backups regulares e controle de quem acessa cada sistema já reduzem boa parte do risco de vazamento, sem demandar investimento alto em tecnologia.
- Treine quem lida com dados no dia a dia. A maior parte dos incidentes de segurança vem de erro humano, não de ataque sofisticado. Uma conversa clara sobre o que pode e o que não pode ser feito com dados de clientes já previne boa parte dos problemas.
- Documente tudo o que você já faz. Em caso de fiscalização ou denúncia, o que a empresa consegue demonstrar pesa mais do que o que ela diz que faz.
Direitos dos titulares que sua empresa precisa garantir
Qualquer pessoa cujos dados sua empresa trata tem direito a confirmar se o dado existe, acessar o que foi coletado, corrigir informações incorretas, solicitar a exclusão de dados e revogar consentimento. Empresas de pequeno porte têm prazo em dobro para responder a essas solicitações em comparação com empresas maiores, mas o direito do titular é o mesmo.
O que está no radar da fiscalização em 2026
A ANPD deixou a fase apenas educativa e passou a fiscalizar de forma mais ativa, com um mapa de temas prioritários para 2026 e 2027. Os eixos incluem dados de saúde e biometria, o setor financeiro e fintechs, e o tratamento de dados de crianças e adolescentes, área que ganhou marco regulatório próprio com o ECA Digital.
Pequenas empresas entram no radar principalmente em três situações: o setor de atuação está entre os temas prioritários, um cliente ou ex-funcionário faz uma denúncia, ou a empresa sofre um vazamento de dados. As multas podem chegar a 2% do faturamento do último exercício, limitadas a R$ 50 milhões por infração, mas os casos já aplicados mostram que mesmo valores na faixa de poucos milhares de reais já saíram de microempresas.
Perguntas frequentes
Toda pequena empresa precisa de um DPO? Não. Agentes de tratamento de pequeno porte são dispensados dessa obrigação, desde que mantenham um canal de comunicação acessível com os titulares dos dados.
Minha empresa pode ser multada mesmo sendo pequena? Sim. A primeira multa aplicada pela ANPD foi numa microempresa. O porte não isenta de fiscalização, ele só simplifica o caminho até a conformidade.
Preciso de um sistema caro para me adequar à LGPD? Não necessariamente. O ponto de partida é mapear os dados que você já coleta, documentar o que já faz e fechar as lacunas mais simples, como política de privacidade e canal de comunicação com titulares.
O que conta como dado pessoal? Qualquer informação que identifique ou possa identificar uma pessoa: nome, CPF, e-mail, telefone, foto, dados de localização, entre outros.
Comece pelo básico, mas comece
A LGPD para pequena empresa não exige um departamento de proteção de dados. Exige saber o que você coleta, por que coleta e como protege isso, com tudo documentado e acessível para quem perguntar.
É exatamente esse tipo de organização que a Sincera ajuda a manter no dia a dia: mapeamento de riscos, políticas centralizadas e documentação sempre acessível, sem depender de planilha solta ou de lembrar de tudo na hora da fiscalização.
