LGPD nas Pequenas e Médias Empresas: proteja os dados dos seus clientes

Empresas | Privacidade e segurança da informação

LGPD para pequenas empresas: como adequar sua PME

A Lei Geral de Proteção de Dados Pessoais, a LGPD, também se aplica a pequenas e médias empresas que tratam dados pessoais. A adequação exige conhecer os dados utilizados, definir finalidade e base legal, proteger as informações e criar processos para atender titulares e responder a incidentes.

O que é a LGPD?

A LGPD é a Lei nº 13.709/2018. A norma estabelece princípios, direitos e regras para o tratamento de dados pessoais por pessoas físicas e jurídicas, públicas ou privadas, nas situações previstas em lei.

Tratamento é um conceito amplo. Pode incluir coleta, acesso, uso, armazenamento, compartilhamento, alteração e eliminação. Nome, telefone e e-mail são exemplos de dados pessoais. Informações sobre saúde, biometria e religião podem ser dados pessoais sensíveis e exigem atenção adicional.

Toda pequena empresa precisa cumprir a LGPD?

Se a organização realiza tratamento sujeito à LGPD, deve observar a lei. Isso pode ocorrer em cadastros de clientes, folha de pagamento, recrutamento, câmeras, marketing, comércio eletrônico, atendimento e gestão de fornecedores.

A Resolução CD/ANPD nº 2/2022 criou regras específicas para agentes de tratamento de pequeno porte. O benefício não é automático para toda PME. É preciso verificar os critérios, as exclusões e a natureza do tratamento realizado.

Consulte a Resolução CD/ANPD nº 2/2022 e as orientações atuais da ANPD antes de aplicar qualquer simplificação.

Consentimento é sempre necessário?

Não. O consentimento é uma das bases legais, mas não é a única. Em determinadas situações, o tratamento pode estar apoiado, por exemplo, no cumprimento de obrigação legal ou regulatória, na execução de contrato ou no legítimo interesse, quando os requisitos dessa base forem atendidos.

A empresa deve analisar cada finalidade e documentar a base correspondente. Coletar um consentimento genérico não corrige um tratamento excessivo, sem finalidade clara ou incompatível com a expectativa do titular.

Quais medidas práticas uma PME pode adotar?

1. Defina a governança: estabeleça responsáveis, papéis e critérios de decisão.
2. Mapeie os dados: registre quais dados são tratados, de quem, por quê, onde, por quanto tempo e com quem são compartilhados.
3. Associe finalidade e base legal: faça a análise por atividade, não de forma genérica.
4. Pratique a minimização: colete e mantenha apenas o necessário.
5. Revise avisos e contratos: use linguagem clara e reflita o tratamento real.
6. Gerencie fornecedores: avalie segurança, responsabilidades, subcontratações e devolução ou eliminação de dados.
7. Controle acessos: aplique autenticação, senhas fortes, menor privilégio e revisão periódica.
8. Proteja e recupere: mantenha atualizações, cópias de segurança testadas, registros e medidas compatíveis com o risco.
9. Atenda titulares: defina um canal e um fluxo para receber, verificar e responder solicitações.
10. Prepare incidentes: tenha um plano para identificar, conter, registrar, avaliar e comunicar quando aplicável.
11. Treine a equipe: adapte a capacitação às funções e aos riscos.
12. Revise periodicamente: atualize o programa quando processos, sistemas ou regras mudarem.

Quais sanções podem existir?

A LGPD prevê sanções administrativas que podem incluir advertência, multa, publicidade da infração, bloqueio ou eliminação dos dados relacionados e outras medidas previstas em lei. A aplicação depende do processo administrativo, da gravidade, das circunstâncias e dos critérios legais.

Além da atuação da ANPD, um incidente ou tratamento irregular pode gerar impactos contratuais, operacionais, reputacionais e outras responsabilidades. Evite apresentar a multa máxima como consequência automática.

LGPD e segurança cibernética são a mesma coisa?

Não. A LGPD trata da proteção de dados pessoais e dos direitos dos titulares. Segurança cibernética abrange medidas para proteger sistemas, redes e informações contra ameaças. Os temas se conectam, mas um programa de segurança não substitui a governança de privacidade.

Da mesma forma, o seguro cibernético não garante conformidade com a LGPD. Quando contratado, pode oferecer coberturas para determinados eventos, sujeitas à análise, aos limites, às exclusões e às demais condições da apólice.

Perguntas frequentes

Uma PME está dispensada da LGPD?

Não de forma geral. Pode haver regras simplificadas para agentes de pequeno porte que atendam aos critérios aplicáveis, mas permanecem deveres relevantes.

Toda coleta de dados exige consentimento?

Não. A base legal deve ser definida conforme a finalidade e os requisitos da operação. Consentimento é apenas uma das possibilidades previstas na LGPD.

A pequena empresa precisa de um encarregado?

O tratamento diferenciado pode dispensar a indicação formal em situações previstas na regulamentação, mas a organização deve manter canal de comunicação com os titulares. Confirme o enquadramento e a regra vigente.

Seguro cibernético garante conformidade com a LGPD?

Não. O seguro pode complementar a gestão de riscos, mas não substitui governança, base legal, transparência, segurança e atendimento aos titulares.

---

Conteúdo educativo, publicado originalmente em 6 de junho de 2023. Não constitui parecer jurídico, regulatório, técnico ou de segurança da informação. Confirme a legislação e as orientações vigentes com a ANPD e profissionais habilitados. Coberturas securitárias dependem de contratação e das condições aplicáveis. O registro do produto na SUSEP não representa aprovação ou recomendação pela autarquia.