Resposta direta: a LGPD (Lei 13.709/2018) se aplica a qualquer empresa que trate dados pessoais, independentemente do porte. O que muda para as pequenas é o nível de formalidade: a Resolução CD/ANPD 2/2022 dispensou os agentes de tratamento de pequeno porte de nomear formalmente um encarregado, de manter registro completo das operações e de elaborar relatório de impacto — mas manteve obrigações que não podem ser ignoradas, como ter um canal de comunicação com os titulares e comunicar incidentes de segurança.
Sua empresa trata dados pessoais? Quase certamente sim
Muita gente acha que a LGPD é assunto de empresa de tecnologia. Na prática, trata dados pessoais quem tem cadastro de clientes, ficha de funcionário, currículo de candidato, lista de WhatsApp, câmera de segurança, sistema de agendamento ou controle de acesso na portaria. As exceções do art. 4º são estreitas: tratamento por pessoa natural para fins exclusivamente particulares, jornalístico, artístico, acadêmico e de segurança pública.
O que a ANPD dispensou para o pequeno porte
São considerados agentes de tratamento de pequeno porte, entre outros, microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que tratam dados com finalidade econômica. Para eles, a Resolução CD/ANPD 2/2022 flexibilizou:
- a indicação formal de encarregado (DPO) — mas exige um canal de comunicação divulgado ao titular;
- o registro completo das operações de tratamento, com forma simplificada;
- prazos dobrados para responder a requisições dos titulares e à autoridade;
- a política de segurança da informação em formato simplificado.
O que continua obrigatório para todo mundo
- Ter base legal para cada tratamento (art. 7º). Consentimento não é a única — execução de contrato, obrigação legal e legítimo interesse costumam ser mais adequados no dia a dia empresarial.
- Informar o titular de forma clara sobre o que é coletado, por quê e por quanto tempo — normalmente por meio de aviso de privacidade.
- Atender aos direitos do titular (art. 18): confirmação, acesso, correção, anonimização, portabilidade e eliminação.
- Adotar medidas de segurança (art. 46) proporcionais ao risco.
- Comunicar incidentes relevantes à ANPD e aos titulares (art. 48).
- Contratar operadores com cláusula de proteção de dados — o contrato com o sistema de gestão, a contabilidade e a agência precisa prever responsabilidades.
As sanções são reais
O art. 52 da LGPD prevê advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a 50 milhões de reais por infração, multa diária, publicização da infração, bloqueio dos dados e eliminação dos dados. Para empresas pequenas, o risco maior costuma não ser a multa da ANPD, e sim a ação judicial individual, a exigência de conformidade por clientes corporativos e a perda de contratos em processos de contratação.
Vazou dado. E agora?
O art. 48 exige comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. A Resolução CD/ANPD 15/2024 fixou o prazo de três dias úteis para a comunicação à autoridade, contados do conhecimento do incidente. Antes disso: conter o incidente, registrar cronologia e evidências, avaliar o risco e revisar controles.
Um detalhe importante para quem teme processos em massa: o STJ tem decidido que o dano moral decorrente de vazamento não é presumido — exige demonstração de prejuízo concreto. Isso torna ainda mais valiosa a documentação das medidas de segurança adotadas pela empresa.
Roteiro enxuto de adequação
- Mapeie quais dados a empresa coleta, onde ficam, quem acessa e por quanto tempo.
- Defina a base legal de cada tratamento e elimine coletas sem finalidade.
- Publique um aviso de privacidade no site e um aviso interno para funcionários e candidatos.
- Ajuste contratos com fornecedores que acessam dados.
- Crie o canal do titular e defina quem responde e em quanto tempo.
- Implemente segurança básica: senha forte, dois fatores, controle de acesso por perfil, backup e criptografia onde couber.
- Treine a equipe — a maior parte dos incidentes começa em erro humano.
- Documente tudo. Conformidade que não está registrada, na prática, não existe.
Perguntas frequentes
Preciso mesmo de consentimento para tudo?
Não. O consentimento é uma entre dez bases legais e costuma ser a mais frágil, porque pode ser revogado. Contrato, obrigação legal e legítimo interesse resolvem a maior parte das rotinas empresariais.
Posso mandar mensagem de marketing para minha base de clientes?
Pode, em geral com fundamento no legítimo interesse, desde que haja relação prévia, informação clara e opção fácil de descadastramento a cada envio.
Câmera de segurança precisa de aviso?
Precisa. A sinalização visível informando a existência de monitoramento é a forma mais simples de cumprir o dever de transparência.
Currículo recebido pode ficar guardado para sempre?
Não. É preciso definir prazo de retenção compatível com a finalidade e eliminar ou anonimizar depois.
Quanto tempo leva a adequação?
Em empresa pequena, um projeto focado costuma entregar as peças essenciais em poucas semanas, com ajustes contínuos depois.
Quer adequar sua empresa sem burocracia desnecessária?
O Agnelo & Jardim Advogados presta assessoria em LGPD e em direito empresarial em Brasília, em Goiânia e a distância. Conheça o serviço de adequação ou fale com a equipe.
