LGPD para pequena empresa e MEI: o que fazer na prática

A LGPD não é só para grandes empresas de tecnologia

A lei adota um conceito amplo de dado pessoal: qualquer informação relacionada a uma pessoa natural identificada ou identificável, o que abrange nome, CPF, telefone, endereço, e-mail, dados de saúde e praticamente qualquer registro que permita reconhecer alguém. E o conceito de tratamento também é amplo — inclui coletar, armazenar, usar, compartilhar ou até simplesmente guardar esses dados, seja em papel, em planilha ou em sistema.

Na prática, isso significa que qualquer empresa que tenha clientes, funcionários ou fornecedores identificados por nome e contato já realiza tratamento de dados pessoais e está sujeita à LGPD, independentemente do porte ou do setor. O tamanho do negócio pode influenciar como certas obrigações são cumpridas, como se verá adiante, mas não afasta a aplicação da lei em si.

Se há dúvida sobre se uma atividade específica do negócio se enquadra como tratamento de dados pessoais, essa avaliação depende das particularidades do caso e cabe a um advogado — a plataforma serve apenas para organizar as informações antes dessa conversa.

Princípios e base legal: por que não basta "ter cuidado"

O art. 6º da LGPD lista princípios que devem orientar qualquer tratamento de dados, entre eles finalidade, adequação, necessidade, transparência, segurança e prevenção. Na prática, isso quer dizer que os dados devem ser coletados para um propósito claro, informado ao titular, e usados apenas na medida necessária para esse propósito — não é recomendável guardar ou usar dados "só por garantia", sem finalidade definida.

Além dos princípios, o art. 7º exige que todo tratamento de dados pessoais tenha uma base legal entre as hipóteses previstas na lei: consentimento do titular, cumprimento de obrigação legal, execução de contrato, exercício regular de direitos em processo, proteção da vida, tutela da saúde, proteção do crédito ou legítimo interesse do controlador, entre outras. Ou seja, nem todo tratamento depende de consentimento — muitas vezes a base legal adequada é outra, como a execução do próprio contrato com o cliente.

• Mapear as finalidades: para que serve cada dado coletado (emitir nota fiscal, enviar produto, responder atendimento, etc.).
• Identificar a base legal: qual das hipóteses do art. 7º justifica aquele tratamento específico.
• Evitar a coleta excessiva: pedir apenas os dados necessários para a finalidade informada.

O encarregado (DPO): quando pode ser dispensado ou simplificado

O art. 41 da LGPD determina, em regra, que o controlador indique um encarregado (também chamado de DPO) para atuar como canal de comunicação entre a empresa, os titulares de dados e a ANPD. O § 3º do mesmo artigo, porém, autoriza a ANPD a estabelecer hipóteses de dispensa dessa indicação, considerando a natureza e o porte da entidade ou o volume de operações de tratamento.

Com base nessa autorização, a Resolução CD/ANPD nº 2/2022 aprovou o regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte — categoria que abrange, entre outras, microempresas, empresas de pequeno porte, o empresário individual nos termos da legislação (o que alcança o MEI enquadrado como tal) e startups. Segundo a própria ANPD, em resposta oficial a perguntas frequentes, a indicação formal do encarregado foi dispensada para esses agentes, mas eles continuam obrigados a disponibilizar um canal de comunicação com o titular dos dados.

É importante entender os limites dessa dispensa: ela recai sobre a formalidade de nomear e divulgar um encarregado específico, não sobre as demais obrigações da LGPD. Continuam valendo, no mesmo porte, os princípios do art. 6º, as bases legais do art. 7º, as medidas de segurança do art. 46 e a exposição às sanções dos arts. 52 a 54 — tratadas mais adiante. Se o negócio realmente se enquadra como agente de pequeno porte para os fins da resolução, e qual é o alcance exato da simplificação aplicável ao seu caso, são pontos que dependem de análise jurídica específica.

O que fazer na prática: primeiros passos

Independentemente do porte, um roteiro básico de organização costuma incluir os seguintes passos, sempre lembrando que a forma exata de implementá-los na empresa depende de orientação profissional:

• Mapear os dados que a empresa coleta: de clientes, funcionários e fornecedores, e onde ficam armazenados (planilhas, sistemas, papel).
• Definir a base legal de cada tratamento: registrando, ainda que de forma simples, por que aquele dado é coletado e usado.
• Elaborar uma política de privacidade: documento que informa aos titulares como seus dados são tratados, de forma clara e acessível.
• Disponibilizar um canal de contato: para que clientes e demais titulares possam tirar dúvidas ou fazer solicitações sobre seus dados.
• Adotar medidas básicas de segurança: controle de quem acessa quais dados, senhas adequadas e cuidado ao compartilhar planilhas ou relatórios.
• Capacitar quem lida com dados no dia a dia: funcionários e colaboradores que atendem clientes ou processam pedidos.

Cuidado com terceirizados e fornecedores de marketing

É comum que pequenas empresas contratem serviços de terceiros para tarefas que envolvem dados pessoais: sistemas de emissão de nota fiscal, plataformas de e-mail marketing, CRMs, contabilidade terceirizada, hospedagem em nuvem. Nessas relações, a empresa contratante costuma seguir na condição de controladora, e o fornecedor atua como operador, tratando os dados conforme as instruções recebidas — o que não afasta a responsabilidade da empresa pela adequação do tratamento como um todo.

Vale atenção redobrada com listas de contatos usadas para marketing: enviar comunicações a pessoas que nunca autorizaram contato, ou repassar uma base de clientes a terceiros sem base legal, são práticas que expõem a empresa a reclamações e fiscalização. O guia orientativo da ANPD sobre segurança da informação para agentes de pequeno porte recomenda, entre outras medidas, cuidado no gerenciamento de contratos com fornecedores, controle de acesso e atenção a serviços contratados em nuvem.

Definir, caso a caso, se um determinado fornecedor está agindo dentro dos limites da LGPD e o que deve constar no contrato com ele é uma análise que depende das circunstâncias de cada relação comercial e deve ser conduzida com apoio de um advogado.

As sanções previstas na lei

O art. 52 da LGPD prevê um rol de sanções administrativas aplicáveis pela ANPD em caso de infração, que vão desde a advertência com prazo para adoção de medidas corretivas até multa simples de até 2% do faturamento da empresa no último exercício (excluídos os tributos), limitada a R$ 50.000.000,00 por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados envolvidos e, em casos mais graves, suspensão parcial ou total do tratamento ou proibição do exercício de atividades relacionadas a dados.

As sanções não são aplicadas de forma automática nem uniforme: o § 1º do mesmo artigo determina que sejam impostas de forma gradativa, após processo administrativo com direito de defesa, considerando critérios como a gravidade da infração, a boa-fé do infrator, a vantagem obtida, a condição econômica da empresa, a reincidência, o grau do dano, a cooperação durante a apuração e a adoção de boas práticas e medidas corretivas. O porte da empresa pode ser levado em conta nesses critérios, mas isso não equivale a uma isenção: como a própria ANPD já destacou publicamente, o porte de uma empresa não altera o direito fundamental que o titular tem à proteção de seus dados, nem desobriga que o tratamento observe a boa-fé e os princípios da lei — de modo que pequenas empresas e MEI permanecem sujeitos a fiscalização e sanção em caso de infração relevante.

Vale reforçar: a dispensa de formalidades específicas, como a indicação de encarregado para agentes de pequeno porte, não significa imunidade a fiscalização, nem afasta a responsabilidade civil por eventuais danos causados a titulares de dados, prevista separadamente no art. 42 da lei. A análise de risco de exposição de um negócio específico, e as medidas prioritárias para reduzi-lo, dependem de avaliação de um advogado sobre o caso concreto.

Como se organizar e quando procurar um advogado

Antes de buscar orientação jurídica, ajuda reunir um retrato simples do negócio: quais dados pessoais são coletados, de quem, com que finalidade, onde ficam armazenados e quais fornecedores externos têm acesso a eles. Esse levantamento inicial facilita a conversa técnica e permite que o profissional avalie com mais precisão o que já está adequado e o que precisa de ajuste.

Vale buscar um advogado especialmente ao redigir a política de privacidade e os contratos com fornecedores que tratam dados em nome da empresa, ao lidar com um incidente de segurança (como vazamento de dados de clientes) ou ao receber uma notificação da ANPD ou de um titular de dados. A avaliação sobre o enquadramento da empresa como agente de pequeno porte, sobre quais obrigações se aplicam ao caso e sobre a exposição a eventuais sanções é sempre do advogado — esta plataforma organiza informações e documentos para tornar essa conversa mais objetiva, mas não substitui a análise jurídica do caso concreto.