"A gente é pequeno, a LGPD é coisa pra empresa grande" é uma frase que ainda ouvimos com frequência, geralmente de donos de empresas que têm o CPF, o telefone e o histórico de compra de centenas ou milhares de clientes guardados numa planilha, num sistema de gestão ou no WhatsApp de algum vendedor. O porte da empresa não isenta ninguém da lei. O que muda é o tamanho do esforço necessário para se adequar, e esse esforço, para a maioria das pequenas empresas, é bem menor do que parece.
O que a LGPD realmente exige de uma empresa pequena
A Lei Geral de Proteção de Dados não pede que toda empresa monte um departamento jurídico de privacidade. Ela pede que a empresa saiba responder, a qualquer momento, perguntas básicas sobre os dados pessoais que trata: quais dados coleta, de quem, para quê, onde ficam guardados, quem tem acesso e por quanto tempo são mantidos.
Na prática, isso se traduz em um conjunto pequeno de itens concretos, não em um projeto interminável. É esse conjunto mínimo que este artigo detalha.
1. Mapeamento de dados pessoais
Antes de qualquer política ou cláusula contratual, a empresa precisa saber o que já tem. Esse levantamento costuma revelar dados espalhados em lugares que ninguém tinha formalizado: planilha de clientes no computador de um vendedor, cadastro de currículos recebidos por e-mail, fotos de documentos de colaboradores guardadas numa pasta compartilhada.
O mapeamento mínimo responde a quatro perguntas para cada tipo de dado coletado:
- Quem é o titular (cliente, colaborador, fornecedor, candidato a vaga)?
- Qual dado é coletado (nome, CPF, e-mail, dados bancários, dados de saúde)?
- Onde esse dado fica armazenado (sistema, planilha, e-mail, papel)?
- Quem, dentro e fora da empresa, tem acesso a ele?
Sem esse mapeamento, nenhum dos outros itens desta lista tem como ser feito de forma consistente, porque a empresa estaria criando regras para dados que nem sabe que possui.
2. Base legal para cada tratamento de dado
A LGPD não proíbe o tratamento de dados pessoais, mas exige que exista um motivo legal para cada uso. Para a maioria das pequenas empresas, as bases legais mais comuns são:
- Execução de contrato: dados necessários para entregar um produto ou prestar um serviço contratado.
- Cumprimento de obrigação legal: dados que a empresa precisa guardar por exigência fiscal ou trabalhista.
- Legítimo interesse: usos razoáveis e esperados pelo titular, como manter um histórico de compras para suporte pós-venda.
- Consentimento: necessário principalmente para usos de marketing, como envio de newsletter ou campanhas, quando não há outra base legal aplicável.
O erro mais comum é usar consentimento para tudo, inclusive para dados que já têm outra base legal mais adequada, o que torna a gestão desnecessariamente complicada, já que consentimento pode ser revogado a qualquer momento pelo titular.
3. Política de privacidade publicada e atualizada
Toda empresa que coleta dados de clientes, pelo site, por formulário ou por WhatsApp, precisa ter uma política de privacidade acessível, explicando de forma simples o que é coletado e para quê. Não precisa ser um texto longo cheio de termos jurídicos: precisa ser claro o suficiente para que um cliente comum entenda o que está autorizando.
Pontos que uma política mínima deve cobrir:
- Quais dados são coletados e por qual motivo
- Com quem esses dados podem ser compartilhados (fornecedores de tecnologia, transportadoras, meios de pagamento)
- Por quanto tempo os dados ficam armazenados
- Como o titular pode solicitar acesso, correção ou exclusão dos próprios dados
- Canal de contato do encarregado de dados
4. Um encarregado de dados indicado
A lei exige que exista uma pessoa responsável, chamada de encarregado (ou DPO), que sirva de canal entre a empresa, os titulares de dados e a Autoridade Nacional de Proteção de Dados. Em uma empresa pequena, isso não precisa ser um cargo em tempo integral: pode ser alguém da equipe que acumula a função, ou um profissional terceirizado.
O que não pode faltar é um nome definido e um contato divulgado (e-mail ou formulário), porque a ausência completa de um responsável identificável é um dos pontos mais fáceis de cobrar em uma fiscalização ou reclamação de titular.
5. Processo simples de resposta a incidentes
Vazamento de dados acontece mesmo em empresas bem preparadas. O que diferencia uma empresa que sai bem de um incidente de uma que sai mal não é ter zero falhas, é ter um processo já definido para reagir rápido:
- Identificar o que vazou e quantos titulares foram afetados.
- Conter o incidente (isolar o sistema comprometido, trocar credenciais).
- Avaliar se o vazamento gera risco relevante aos titulares, o que determina a obrigação de notificação à Autoridade Nacional de Proteção de Dados e aos próprios titulares.
- Documentar o que aconteceu e as medidas tomadas, mesmo que a notificação formal não seja obrigatória no caso específico.
Empresas sem esse processo definido tendem a perder os primeiros dias críticos decidindo o que fazer, enquanto o estrago continua aumentando.
6. Contratos com fornecedores revisados
Boa parte do risco de uma pequena empresa não está nos próprios sistemas, está nos fornecedores que recebem dados dela: sistema de gestão em nuvem, plataforma de e-commerce, contabilidade terceirizada, empresa de marketing. Se um desses fornecedores sofrer um vazamento, a empresa contratante também responde perante os titulares.
Por isso, contratos com qualquer fornecedor que tenha acesso a dados pessoais da empresa deveriam prever, no mínimo, cláusula de proteção de dados, compromisso de notificação em caso de incidente e limitação do uso dos dados apenas para a finalidade contratada.
7. Processo para atender direitos dos titulares
A LGPD garante a qualquer pessoa (cliente, colaborador, ex-colaborador, candidato a vaga) o direito de solicitar acesso, correção ou exclusão dos próprios dados guardados pela empresa. A empresa precisa ter como responder a esse pedido dentro de um prazo razoável, sem depender de alguém "lembrar como funciona" cada vez que ele acontece.
Na prática, basta ter definido: quem recebe o pedido, em quantos dias ele é respondido, e onde procurar os dados daquele titular dentro dos sistemas já mapeados no item 1.
Checklist mínimo de adequação à LGPD
- [ ] A empresa sabe listar quais dados pessoais coleta, de quem e onde ficam guardados?
- [ ] Existe uma base legal definida para cada tipo de dado tratado?
- [ ] A política de privacidade está publicada e reflete o que a empresa realmente faz com os dados?
- [ ] Existe um encarregado de dados indicado, com contato divulgado?
- [ ] Existe um processo definido para reagir a um eventual vazamento de dados?
- [ ] Os contratos com fornecedores que acessam dados da empresa têm cláusula de proteção de dados?
- [ ] Existe um fluxo claro para atender pedidos de acesso ou exclusão de dados de titulares?
Se duas ou mais respostas forem "não", esse já é o ponto de partida mais útil para priorizar o trabalho de adequação.
Perguntas frequentes
Empresa pequena também precisa se adequar à LGPD? Sim. A lei não faz distinção por tamanho de empresa, apenas por volume e tipo de dado tratado. Uma loja, um escritório de contabilidade ou uma clínica pequena já trata dados pessoais de clientes, fornecedores e colaboradores, o que já é suficiente para a lei se aplicar.
Preciso contratar um encarregado de dados (DPO) formal? A lei exige que exista um encarregado indicado, mas não exige um cargo dedicado em tempo integral. Pode ser alguém da equipe interna que acumula a função, ou um profissional terceirizado. O essencial é ter um nome e um canal de contato claro e divulgado.
Quanto tempo leva para colocar o mínimo da LGPD em prática? Para uma empresa pequena, o conjunto mínimo descrito neste artigo costuma ser viável em algumas semanas de trabalho dedicado. O maior gargalo normalmente é levantar onde os dados estão guardados e quem tem acesso a eles, não a parte jurídica em si.
O que acontece se a empresa não fizer nada e sofrer um vazamento de dados? Além da multa prevista na lei, que pode chegar a 2% do faturamento (limitada a 50 milhões de reais por infração), a ausência de medidas mínimas pesa contra a empresa na avaliação da Autoridade Nacional de Proteção de Dados em caso de incidente. Empresas com mapeamento de dados, política clara e processo de resposta documentado conseguem sustentar que agiram com diligência.
Sua empresa já sabe responder, hoje, quais dados pessoais trata e onde eles estão guardados? A GraySeg ajuda pequenas e médias empresas a estruturar o mínimo necessário de adequação à LGPD, sem burocracia desnecessária. Fale com a gente.