LGPD para pequenas empresas: por onde começar

A LGPD (Lei nº 13.709/2018) é a lei que regula o tratamento de dados pessoais por meio de regras de finalidade, base legal e direitos do titular, e vale para pequenas empresas, inclusive as que têm poucos clientes ou vendem só online. Para começar, a empresa mapeia quais dados trata, por quê e onde ficam, e depois organiza a documentação.

A LGPD vale para a minha empresa?

Sim, a LGPD vale para a sua empresa. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se aplica a qualquer pessoa ou empresa que trate dados pessoais, ou seja, informações que identificam ou podem identificar uma pessoa. O tamanho do negócio muda como a adequação é feita, mas não a existência da obrigação.

São dados pessoais nome, CPF, e-mail, telefone, endereço, imagem e dados de pagamento. Quem tem clientes, funcionários, cadastro em um site ou lista de contatos trata dados pessoais, seja uma loja, um consultório, uma escola, uma agência ou um negócio digital.

E o MEI, o autônomo e o freelancer?

Sim, a LGPD vale para o MEI, o autônomo e o freelancer que tratam dados pessoais. Quem coleta nome, telefone, endereço ou dados de pagamento de clientes está sob a lei. A LGPD exclui apenas o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos (art. 4º, I), o que não é o caso de quem atende clientes.

A adequação do MEI tende a ser bem mais enxuta, mas existe: saber que dados tem, ter um motivo para cada um, guardá-los com segurança e responder ao titular.

Por onde começar?

Para adequar uma pequena empresa à LGPD, a ordem é mapear os dados, definir a finalidade e a base legal de cada tratamento, reduzir o que não é necessário, documentar, criar um canal para o titular e treinar a equipe. As seis etapas seguem essa sequência.

1. Mapeie os dados. Liste que dados pessoais a empresa coleta, de quem, por quais canais e onde ficam guardados.
2. Defina a finalidade e a base legal. Cada tratamento precisa de um motivo previsto na lei.
3. Reduza o que não precisa. Coletar menos dados reduz risco.
4. Organize a documentação. Política de privacidade, avisos nos canais de coleta e registros do tratamento.
5. Crie um canal e um responsável. O titular precisa saber como falar com a empresa sobre seus dados.
6. Treine quem lida com os dados.

Dados de funcionários e de candidatos também contam?

Sim, dados de funcionários e de candidatos também contam como dados pessoais e estão sob a LGPD. Documentos, dados bancários, atestados médicos e biometria de ponto de empregados são dados pessoais, e atestados e exames costumam ser dados de saúde, classificados como sensíveis.

Os currículos de candidatos também entram: chegam por e-mail, aplicativo de mensagem e plataformas de vagas e, muitas vezes, ficam guardados sem prazo. Convém definir uso, acesso e prazo de guarda.

Quais são as bases legais, com exemplos?

Base legal é a hipótese prevista na LGPD (art. 7º) que autoriza uma empresa a tratar dados pessoais, e todo tratamento precisa de uma delas. A escolha depende da finalidade de cada tratamento, não da conveniência da empresa. Quatro exemplos comuns em empresas pequenas aparecem na tabela.

Base legal	Exemplo
Execução de contrato	A loja guarda o endereço do cliente para entregar o produto comprado
Obrigação legal	A empresa mantém dados fiscais e trabalhistas porque a legislação exige
Consentimento	O cliente aceita, de forma livre e específica, receber ofertas por e-mail
Legítimo interesse	A empresa sugere produtos parecidos com os já comprados, dentro do que o cliente esperaria

O legítimo interesse, em linhas gerais, serve a finalidades legítimas da empresa ou de terceiros, desde que não prevaleçam os direitos e as liberdades do titular. Exige análise caso a caso e não é uma base coringa.

Cookies, pixel, WhatsApp e planilhas: onde mora o risco?

Em negócios pequenos, o risco de vazamento e de descumprimento da LGPD costuma estar nas ferramentas do dia a dia: cookies e pixel de marketing, WhatsApp e planilhas compartilhadas. Nelas, a empresa muitas vezes coleta e compartilha dados sem perceber.

• Cookies e pixel de marketing: coletam dados de navegação e os compartilham com terceiros. O aviso ao visitante e, conforme o caso, o consentimento precisam refletir o que de fato está instalado.
• WhatsApp: contatos em aparelhos pessoais de funcionários e grupos sem controle dificultam saber quem tem acesso aos dados.
• Planilhas: cadastros compartilhados por e-mail ou por link aberto são fonte frequente de exposição.

Convém definir regras de uso desses canais e reduzir o que circula neles.

Quem é controlador e quem é operador?

Controlador é quem decide por que e como os dados serão tratados; operador é quem os trata em nome do controlador. A loja que usa uma plataforma de e-mail marketing é, em regra, controladora, e a plataforma é operadora.

O contrato com fornecedores precisa mudar?

Sim, em geral convém revisar os contratos com plataformas, contadores e agências. Os contratos devem dizer quais dados são tratados e para quê, que medidas de segurança são adotadas, o que acontece com os dados ao fim do contrato e em quanto tempo o fornecedor avisa sobre um incidente. O tema se liga ao que fazer em um vazamento de dados.

Que documentos a empresa pode precisar?

A documentação básica da LGPD começa pela política de privacidade, que informa quais dados são coletados, para quê, com quem são compartilhados e como exercer os direitos. Além dela, uma pequena empresa costuma precisar de registros do tratamento, de cláusulas nos contratos e de um procedimento para pedidos de titulares. Conforme a atividade, podem ser necessários:

• aviso de cookies e gestão de consentimento no site;
• plano de resposta a incidentes de segurança.

Quem vende curso ou produto digital deve ainda alinhar a coleta de dados aos termos de uso e à política de reembolso do infoproduto.

Como atender os direitos dos titulares?

A empresa deve atender os direitos dos titulares previstos na LGPD, como confirmar se trata os dados, permitir o acesso, corrigi-los, eliminá-los quando cabível e informar com quem foram compartilhados. O canal pode ser um e-mail dedicado ou um formulário, divulgado e monitorado.

Pelo art. 19 da LGPD, a confirmação do tratamento ou o acesso aos dados deve ser dado de imediato, em formato simplificado, ou por declaração completa em até 15 dias do requerimento. Registre cada pedido, quem o atendeu e quando.

Por quanto tempo guardar os dados e como descartá-los?

O tratamento de dados, em regra, termina quando a finalidade foi cumprida ou os dados deixam de ser necessários, ressalvadas hipóteses como o cumprimento de obrigação legal. Documentos fiscais, trabalhistas e contratuais seguem prazos de outras leis. Convém manter uma tabela de prazos e descartar com segurança, inclusive em notebooks, celulares e nuvem.

Quando é preciso um relatório de impacto?

O relatório de impacto descreve processos de tratamento que podem gerar riscos aos direitos dos titulares e as medidas para mitigá-los. A ANPD pode solicitá-lo ao controlador, e ele é mais relevante em tratamentos de maior risco.

O que muda para empresas de pequeno porte?

A Resolução CD/ANPD nº 2/2022 prevê tratamento simplificado para agentes de pequeno porte, como microempresas, empresas de pequeno porte (inclusive o MEI) e startups. Entre as flexibilizações estão o registro simplificado das operações de tratamento, a política simplificada de segurança da informação e a dispensa de indicar encarregado, desde que a empresa mantenha um canal de comunicação com o titular.

O regime depende do enquadramento: não vale, por exemplo, para quem realiza tratamento de alto risco, ultrapassa o limite de receita bruta fixado na regulamentação ou pertence a grupo econômico que o ultrapasse. A ANPD também pode exigir o cumprimento das obrigações flexibilizadas, conforme a natureza e o volume das operações. A análise é caso a caso, olhando a atividade e os dados tratados.

Quais são os riscos de não se adequar?

Não se adequar à LGPD expõe a empresa a sanções da ANPD, a ações de titulares e a prejuízo à reputação. Entre as sanções, de advertência a multa, a multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II, da LGPD).

Quando procurar um advogado?

Uma pequena empresa deve buscar análise jurídica sobre a LGPD quando trata dados sensíveis ou de crianças, nunca fez o mapeamento dos dados ou recebeu um pedido de titular ou uma notificação, porque o enquadramento, o risco e as providências mudam conforme a atividade e os dados tratados.

Perguntas frequentes

Pequena empresa pode ser multada?

Sim, a ANPD pode aplicar sanções a empresa de qualquer porte. As sanções dependem da gravidade e de fatores como a boa-fé, a cooperação e as medidas adotadas.

O MEI precisa se adequar à LGPD?

Sim, o MEI precisa se adequar à LGPD se trata dados pessoais. O que muda é a dimensão das providências, e a regulamentação traz regras próprias para agentes de pequeno porte.

Preciso ter um encarregado de dados (DPO)?

Depende do enquadramento. A LGPD exige que o controlador indique um encarregado (art. 41), mas a Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte dessa indicação, desde que ele mantenha um canal de comunicação com o titular.

Basta ter uma política de privacidade no site?

Não, apenas a política de privacidade não basta. A política é um dos documentos, mas a adequação inclui o mapeamento, as bases legais, os contratos e os processos internos.

Sobre o seu caso

O ramo, os tipos de dado e as ferramentas que a empresa usa mudam o que a adequação precisa cobrir. Se você quer saber por onde começar no seu negócio, o escritório pode analisar o seu caso. Veja Adequação à LGPD ou fale com o escritório.

Leia também: vazamento de dados: o que a empresa deve fazer e termos de uso e reembolso de infoproduto.

Este texto é informativo e geral. Não substitui a análise do seu caso nem constitui promessa de resultado. Revisado em 22/10/2026. Por Caroline Amaral, advogada, OAB/RO 9576.