LGPD para pequenas e médias empresas: por onde começar

“LGPD é coisa de empresa grande.” Ainda ouvimos essa frase com frequência, e entendo de onde ela vem: a lei parece complexa, cheia de termos técnicos e com multas milionárias nas manchetes. Mas a verdade é que a LGPD vale para qualquer empresa que trate dados pessoais. E, numa linguagem bem simples, toda empresa trata.

O que é dado pessoal na prática?

Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, currículo, foto e até a imagem das câmeras de segurança. Alguns dados são considerados sensíveis e exigem cuidado redobrado, como os de saúde e os biométricos (LGPD, art. 5º).

Repare que isso inclui os dados dos seus funcionários e candidatos, e não só dos clientes. O RH costuma ser uma das áreas com mais dados pessoais da empresa.

Por onde começar a LGPD? 5 passos

1. Mapeie os dados pessoais. Área por área, responda: que dados coletamos, para quê, onde ficam, quem acessa, com quem compartilhamos e por quanto tempo guardamos.
2. Identifique a base legal de cada uso. O consentimento é só uma das hipóteses previstas na lei (art. 7º). Contrato, obrigação legal e legítimo interesse também podem justificar o tratamento.
3. Corrija o que está exposto. Pastas abertas na nuvem, planilhas circulando por e-mail e acessos de ex-funcionários são problemas comuns e de solução rápida.
4. Documente. Política de privacidade, cláusulas de proteção de dados nos contratos com fornecedores e um plano de resposta a incidentes.
5. Treine a equipe. A maioria dos incidentes começa com um descuido do dia a dia, como um e-mail enviado para a pessoa errada.

Caso real: 79 fluxos de dados mapeados

Em uma das entidades de previdência complementar que atendemos, mapeamos 79 fluxos de dados pessoais, de participantes, dependentes, conselheiros, funcionários e candidatos, e identificamos 40 terceiros que recebiam ou guardavam esses dados.

O mapeamento mostrou dados sem prazo de guarda definido, dados de menores, informações guardadas em local pouco seguro, terceiros sem contrato sobre proteção de dados e a falta de um encarregado. Nada disso aparece sem um mapeamento bem-feito.

Como a LGPD aparece no dia a dia da empresa

A LGPD fica mais fácil de entender quando a gente olha para a rotina de cada área. Alguns exemplos que encontramos com frequência:

• RH: currículos guardados por anos, exames admissionais em pastas abertas e planilhas de funcionários circulando por e-mail.
• Comercial: listas de contatos compradas, sem saber a origem, e dados de clientes em planilhas pessoais.
• Financeiro: dados bancários de clientes e fornecedores em pastas compartilhadas com muita gente.
• TI: acessos de ex-funcionários que nunca foram desativados e backups sem controle de quem pode consultar.
• Ferramentas de IA: dados de clientes ou de colegas colados em ferramentas de IA sem regra definida, e assistentes ligados às pastas da empresa que enxergam tudo o que estiver aberto demais.

Nenhum desses problemas exige um sistema caro para ser resolvido. Exige saber que ele existe, e é exatamente isso que o mapeamento mostra.

O que muda para empresas de pequeno porte?

A ANPD publicou um regulamento específico para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022). Entre as regras, ele dispensa a indicação de um encarregado, desde que a empresa mantenha um canal de comunicação com os titulares, e prevê prazos diferenciados para algumas obrigações. Atenção: essas flexibilizações não valem para quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala.

O que a empresa arrisca sem se adequar à LGPD?

Para pequenas e médias empresas, arrisco dizer que o prejuízo mais imediato não é a multa: é perder contratos. Cada vez mais, clientes e grandes empresas exigem comprovação de adequação dos seus fornecedores. E um incidente com dados pessoais abala a confiança de clientes e parceiros muito antes de qualquer processo na ANPD.

As sanções existem e estão no art. 52 da LGPD: vão da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além da publicização da infração e do bloqueio dos dados.

Quais são os erros mais comuns na adequação?

• Começar pela política de privacidade do site, antes de saber quais dados a empresa trata.
• Pedir consentimento para tudo, mesmo quando há outra base legal mais adequada.
• Esquecer o RH e os dados de funcionários.
• Tratar a LGPD como assunto só do jurídico ou só da TI.

O que a LGPD exige, em resumo

• Ter uma base legal para cada uso de dados pessoais (art. 7º).
• Respeitar os direitos dos titulares, como acesso e correção (art. 18).
• Manter registro das operações de tratamento (art. 37).
• Indicar um encarregado, salvo nas dispensas previstas para pequeno porte (art. 41).
• Adotar medidas de segurança para proteger os dados (art. 46).
• Comunicar incidentes relevantes à ANPD e aos titulares (art. 48).

Direitos dos titulares: o que sua empresa precisa saber responder

Qualquer pessoa cujos dados a empresa trata pode pedir, entre outras coisas:

• A confirmação de que a empresa trata dados dela e o acesso a esses dados.
• A correção de dados incompletos ou desatualizados.
• A eliminação de dados tratados com base no consentimento.
• Informações sobre com quem os dados foram compartilhados.
• A revogação do consentimento.

Por isso, é importante ter um canal para receber esses pedidos e saber, com antecedência, onde estão os dados para responder. De novo: tudo começa pelo mapeamento.

Um plano de 90 dias para começar

Período	O que fazer
Dias 1 a 30	Mapear os dados pessoais de cada área e identificar os riscos mais graves.
Dias 31 a 60	Corrigir exposições (pastas abertas, acessos antigos) e revisar contratos com fornecedores.
Dias 61 a 90	Publicar a política de privacidade, criar o canal com os titulares, montar o plano de resposta a incidentes e treinar a equipe.

É um ponto de partida. Empresas com mais áreas ou com dados sensíveis podem precisar de mais tempo, e a adequação continua depois, com revisões periódicas.

Documentos que uma pequena ou média empresa costuma precisar

• Mapeamento dos dados pessoais.
• Política de privacidade, para o site e para os titulares.
• Cláusulas de proteção de dados nos contratos com fornecedores.
• Procedimento de atendimento aos titulares.
• Plano de resposta a incidentes.
• Registro de treinamento da equipe.

Como escolher quem vai ajudar na adequação?

• Prefira quem começa pelo mapeamento dos dados, e não por modelos prontos de política.
• Avalie se a equipe entende de documentos e de organização da informação, porque a LGPD acontece nas pastas, nas planilhas e nos sistemas.
• Verifique se há atuação conjunta com jurídico e TI quando o projeto exige.
• Peça exemplos de entregas e de como a empresa é envolvida.
• Confira se o treinamento da equipe faz parte do projeto.

Como manter a conformidade depois do projeto?

A adequação não termina com a entrega dos documentos. Ela precisa ser mantida, e algumas rotinas simples resolvem:

• Revisar o mapeamento uma vez por ano ou quando surgir um novo processo ou sistema.
• Incluir cláusulas de proteção de dados em todo contrato com novo fornecedor.
• Treinar os novos funcionários assim que chegam.
• Registrar os incidentes, mesmo os pequenos.
• Atualizar a política de privacidade quando algo mudar.

LGPD na prática: três situações do dia a dia

Às vezes, a melhor forma de entender a lei é pensar em situações concretas. Veja três que aparecem com frequência nas pequenas e médias empresas:

• O comercial compra uma lista de contatos para prospecção. Antes de usar, é preciso saber a origem dos dados e se há base legal para o contato.
• O RH guarda currículos de candidatos por anos, em uma pasta aberta. O ideal é definir um prazo curto e restringir o acesso.
• O financeiro envia por e-mail uma planilha com dados bancários de clientes para um fornecedor. O compartilhamento precisa estar previsto em contrato e protegido.

Em nenhuma dessas situações a solução é proibir o trabalho. É organizar: saber o que se faz, por que se faz e como proteger.

Perguntas frequentes

Pequenas empresas precisam de encarregado de dados (DPO)?

O regulamento da ANPD para agentes de pequeno porte dispensa a indicação do encarregado, desde que a empresa mantenha um canal de comunicação com os titulares. A dispensa não vale para tratamentos de alto risco.

Quanto tempo leva a adequação à LGPD?

Depende do porte, do número de áreas e de quantos dados a empresa trata. O mapeamento inicial mostra esse tamanho e permite planejar as etapas.

A LGPD vale só para dados digitais?

Não. A lei vale para dados pessoais em qualquer meio, inclusive em documentos em papel.

Preciso de advogado para me adequar?

A adequação envolve organização de dados, processos, tecnologia e contratos. Na Arquigest, cuidamos do mapeamento, das políticas e dos procedimentos e, quando o projeto exige, atuamos com escritórios de advocacia e especialistas em TI parceiros.

Um cliente pode pedir para a empresa apagar os dados dele?

Pode pedir, e a empresa deve avaliar. Dados tratados com base no consentimento devem ser eliminados; já os que a lei manda guardar, como documentos fiscais, podem ser mantidos pelo prazo legal.

O site da empresa precisa de aviso de cookies?

Quando o site usa cookies que não são essenciais, como os de publicidade, é recomendado informar o visitante e, em muitos casos, pedir o consentimento. A ANPD publicou um guia orientativo sobre o tema.

Existe um certificado oficial de adequação à LGPD?

Não existe um certificado oficial emitido pela ANPD. A adequação é comprovada com documentos e evidências: mapeamento, políticas, contratos, registros de treinamento e de incidentes.

Quanto custa se adequar à LGPD?

Depende do porte da empresa, do número de áreas e da quantidade de dados tratados. Por isso, o projeto começa com um mapeamento, que mostra o tamanho do trabalho e permite definir um escopo proporcional.

ONGs e entidades do terceiro setor precisam cumprir a LGPD?

Sim. A lei vale para quem trata dados pessoais, e entidades do terceiro setor costumam guardar dados de doadores, voluntários e beneficiários, às vezes sensíveis.

A LGPD vale para empresas que só vendem para outras empresas?

Vale. Mesmo vendendo para empresas, a organização trata dados de pessoas: contatos dos clientes, funcionários, candidatos e representantes de fornecedores.

LGPD para pequenas e médias empresas: comece pelo mapeamento

A LGPD para pequenas e médias empresas não precisa ser um bicho de sete cabeças. Começando pelo mapeamento, a empresa descobre onde estão os riscos de verdade e resolve primeiro o que importa. É um projeto proporcional ao seu porte, e que ainda ajuda a vender para clientes que exigem adequação.

Saiba mais sobre a página do serviço de LGPD. Leia também o artigo sobre LGPD no RH e o artigo sobre diagnóstico de documentos.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, 7º, 18, 37, 41, 46, 48 e 52.
• Resolução CD/ANPD nº 2/2022 (regulamento para agentes de tratamento de pequeno porte).
• ANPD, Guia orientativo sobre cookies e proteção de dados pessoais.

Laura Silveira é bibliotecária, especialista em Gestão da Informação e do Conhecimento e fundadora da Arquigest, empresa especializada em organizar documentos e dados, do papel à nuvem, desde 2009. A Arquigest tem unidades em Belo Horizonte e São Paulo e atende organizações de todo o Brasil.