Proteção de dados
LGPD na prática para quem tem CNPJ pequeno
A LGPD vale para qualquer negócio que trata dado pessoal, do MEI à multinacional. O regime simplificado da ANPD reduz a burocracia para pequeno porte, mas não elimina a lei. Veja o que continua obrigatório sem exceção, quando contratar um encarregado e o que sua política de privacidade precisa ter.
Pontos-chave
A LGPD se aplica a qualquer negócio que trata dado pessoal, do MEI à multinacional. O que muda com o porte é o rigor de algumas exigências, não a lei em si.
O regime simplificado da ANPD reduz obrigações para agentes de tratamento de pequeno porte, mas não elimina a lei inteira.
Nem todo negócio pequeno precisa de um encarregado (DPO) contratado. Em muitos casos, a própria pessoa responsável pode acumular a função.
Mandar promoção no WhatsApp para quem já comprou de você tem base legal diferente de comprar uma lista pronta de contatos.
Multa por descumprimento pode chegar a 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II, da LGPD).
O que a LGPD considera dado pessoal no seu negócio
Se você tem CNPJ pequeno, é provável que já tenha lido algo sobre LGPD e concluído que aquilo é assunto para empresa grande, com departamento jurídico e orçamento para consultoria. Essa impressão vem, em boa parte, do tipo de conteúdo disponível: quase tudo o que existe sobre o tema foi escrito por escritório de advocacia vendendo serviço de adequação, com uma lista de exigências que soa impossível para quem trabalha sozinho ou com poucos funcionários.
A lei se aplica a você, sim. Mas a ANPD criou um regime simplificado justamente para negócios de pequeno porte, e boa parte do que os textos mais alarmistas exigem não é obrigatório no seu caso. Este artigo explica o que a norma realmente pede, o que o regime simplificado dispensa e onde ler a fonte oficial para conferir por conta própria.
Dado pessoal, pela definição da lei, é qualquer informação que identifique ou possa identificar uma pessoa: nome, CPF, telefone, endereço, e-mail, e até o histórico de compras de um cliente cadastrado no seu sistema. Se o seu negócio guarda uma lista de clientes com telefone para mandar promoção, já está tratando dado pessoal e a LGPD já se aplica.
Precisa de DPO? A resposta muda com o porte
A obrigatoriedade de ter um encarregado de dados (DPO, na sigla em inglês) depende do volume e do tipo de dado que o negócio trata, não apenas do porte da empresa. Para agentes de tratamento de pequeno porte, a ANPD flexibilizou a exigência, permitindo que o próprio responsável pelo negócio acumule essa função em vez de contratar alguém dedicado.
Em negócio pequeno, uma pessoa acumula vários chapéus
O que o encarregado faz, na definição da lei
O encarregado é o canal entre a empresa, o titular dos dados (o cliente) e a ANPD. Ele recebe reclamações, orienta os funcionários sobre boas práticas e comunica incidentes de segurança quando necessário.
O que a ANPD dispensou para agente de tratamento de pequeno porte
A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, criou um regime facilitado para agentes de tratamento de pequeno porte (microempresas, empresas de pequeno porte, MEI, startups e pessoas físicas que tratam dados). Entre as flexibilizações, a norma permite que esses agentes substituam a indicação formal de um encarregado por um canal de comunicação simplificado com o titular dos dados, desde que a operação não seja classificada como de alto risco. A ANPD pode, ainda assim, exigir a indicação formal de encarregado em situações específicas, considerando o volume de dados tratado e o risco aos titulares.
Quando contratar DPO externo faz sentido
Vale contratar um encarregado externo quando o negócio trata dado sensível em volume (saúde, biometria, dados de menores) ou quando cresce a ponto de ter uma equipe de atendimento maior, cenário em que centralizar a função evita resposta inconsistente a reclamações.
Esse número te diz se você precisa de um encarregado formal. Ele ainda não te diz o que muda de verdade no dia a dia, e é isso que o regime simplificado responde.
O regime simplificado: o que muda para negócio pequeno
O regime simplificado da ANPD reduz a burocracia de documentação e comunicação para empresas de pequeno porte, mas não retira a obrigação de ter uma base legal para cada dado coletado, nem a de informar o titular sobre o uso das informações. A simplificação está no processo, não na obrigação de fundo.
O que continua obrigatório, sem exceção
Independentemente do porte, todo negócio que trata dado pessoal precisa cumprir quatro pontos: ter base legal para cada coleta, obter consentimento quando a base legal exigir, oferecer um canal de contato ao titular dos dados e comunicar incidentes de segurança relevantes.
Base legal para cada dado coletado
A LGPD lista dez bases legais possíveis, mas o pequeno negócio costuma usar três: consentimento do titular, execução de contrato (quando o dado é necessário para entregar o que foi vendido) e legítimo interesse, para casos como manter contato com quem já é cliente.
Consentimento: quando é necessário e quando não é
O consentimento é obrigatório quando não existe outra base legal que justifique o tratamento, como no caso de comprar uma lista de contatos de terceiros para fazer prospecção fria. Já não é necessário quando o dado foi coletado no próprio momento da venda e o uso está dentro do que o cliente esperaria, como mandar a nota fiscal por e-mail.
Canal de contato para o titular
A empresa precisa oferecer um meio simples para o cliente pedir a exclusão dos próprios dados, corrigir uma informação errada ou perguntar como os dados são usados. Um e-mail dedicado ou um formulário no site já cumprem essa exigência.
Comunicação de incidente
Em caso de vazamento de dados que gere risco relevante ao titular, a lei exige comunicação à ANPD e aos afetados em prazo razoável. Não existe prazo fixo em dias definido na lei para todos os casos; a análise considera a gravidade do incidente.
Esse número te diz o que a lei exige por dentro. Ele ainda não te diz o que precisa aparecer no seu site — essa é a próxima conta.
Política de privacidade do site: o mínimo que ela precisa ter
Uma política de privacidade mínima precisa informar quais dados o site coleta, para que finalidade, por quanto tempo ficam armazenados e como o titular pode exercer os direitos previstos na lei, como solicitar exclusão ou correção. Não é necessário um texto longo; é necessário que essas informações estejam presentes e sejam verdadeiras.
LGPD no WhatsApp: o cenário mais comum e mais ignorado
O uso do WhatsApp para vender é onde a maioria dos pequenos negócios comete o deslize mais comum: mandar promoção para uma lista comprada ou coletada sem relação prévia com o negócio. Mandar mensagem para quem já comprou de você, avisando sobre um produto relacionado, geralmente se sustenta pelo legítimo interesse. Comprar uma lista de números de terceiros para prospecção fria não tem a mesma base legal e expõe o negócio a reclamação.
Contato que já comprou de você é diferente de lista comprada
O que acontece se a ANPD fiscalizar
A fiscalização da ANPD normalmente começa por denúncia de um titular de dados, não por varredura ativa em pequenos negócios. Ao ser notificada, a empresa recebe prazo para responder e, dependendo da gravidade, pode receber desde uma advertência com prazo para adequação até multa administrativa.
Adequação à LGPD em sete passos
Mapear quais dados pessoais o negócio coleta hoje é o primeiro passo, seguido de definir a base legal de cada um, revisar a política de privacidade do site, criar um canal de contato para o titular, orientar quem atende clientes sobre o que pode e não pode fazer com os dados, documentar um plano simples de resposta a incidente e, por fim, revisar tudo uma vez por ano ou sempre que o negócio mudar de sistema.
Perguntas frequentes
Quais dados não são protegidos pela LGPD?
Dado tornado manifestamente público pelo próprio titular, dado usado para fins exclusivamente pessoais e dado de pessoa já falecida (com exceções para herdeiros) ficam fora do alcance direto da lei, junto com dados usados para fins jornalísticos, artísticos ou acadêmicos, e para segurança pública e investigação criminal.
Quais são os dados pessoais sensíveis pela LGPD?
A lei considera sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético e biométrico. Esses dados exigem cuidado maior e, em geral, consentimento específico e destacado do titular.
MEI precisa se preocupar com LGPD?
Sim, o MEI está sujeito à mesma lei que qualquer outra empresa, mas se beneficia do regime simplificado da ANPD para agentes de pequeno porte, que reduz a burocracia de documentação sem eliminar as obrigações de fundo descritas acima.
Preciso contratar um DPO?
Na maioria dos casos de negócio pequeno, não é obrigatório contratar um encarregado externo; o próprio responsável pode acumular a função, desde que cumpra o papel de canal entre cliente, empresa e ANPD.
Quanto custa se adequar à LGPD?
O custo varia conforme o volume de dados tratado e se a empresa opta por fazer a adequação internamente ou contratar apoio jurídico. Para negócios pequenos com poucos sistemas, os sete passos descritos acima podem ser feitos sem custo direto, além do tempo dedicado.
Posso mandar promoção no WhatsApp para quem já comprou de mim?
Em geral, sim, com base no legítimo interesse, desde que a comunicação seja proporcional e o cliente tenha meio fácil de pedir para não receber mais mensagens. O risco aumenta quando a lista inclui contatos que nunca compraram ou nunca autorizaram contato.
Quando chamar um advogado
Este artigo explica o que a lei exige em termos gerais e onde ler a fonte oficial, mas não substitui parecer jurídico sobre o caso específico do seu negócio. Vale chamar um advogado especializado quando o negócio trata dado sensível em volume, já recebeu notificação da ANPD ou de um cliente, ou está prestes a fechar um contrato que exige comprovação formal de adequação à LGPD.
Leia também
Automação de WhatsApp também tem risco — e não é só de LGPD
Antes de automatizar o atendimento no WhatsApp, veja o que pode derrubar o número do seu negócio, além das regras de dados pessoais.
Este artigo tem finalidade informativa e não substitui orientação jurídica. Consulte o texto integral da Lei 13.709/2018 e as resoluções da ANPD antes de tomar decisões sobre o tratamento de dados do seu negócio.