Adequação à LGPD para pequena e média empresa: por onde começar

A LGPD vale para pequena empresa?

Vale. A Lei 13.709/2018 se aplica a qualquer operação de tratamento feita por pessoa natural ou por pessoa jurídica de direito público ou privado (art. 3º), sem exceção por tamanho. Cadastro de clientes, folha de pagamento, currículos recebidos e lista de contatos do comercial já são tratamento de dados pessoais.

O que muda para empresas menores é a forma de cumprir. A ANPD aprovou o Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), que dispensa ou flexibiliza algumas obrigações. O próprio regulamento diz que essa flexibilização não isenta a empresa dos demais dispositivos da LGPD, incluindo bases legais, princípios e direitos dos titulares (art. 6º).

Quem se enquadra como agente de tratamento de pequeno porte?

O art. 2º da Resolução nº 2/2022 inclui microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos), pessoas naturais e entes privados despersonalizados que tratam dados pessoais. Para microempresa e empresa de pequeno porte, a referência é a Lei Complementar nº 123/2006, que fixa o teto de receita bruta anual da empresa de pequeno porte em R$ 4.800.000,00 (art. 3º, II).

O art. 3º da resolução tira do regime simplificado quem:

• realiza tratamento de alto risco para os titulares;
• tem receita bruta acima do limite da Lei Complementar nº 123/2006 (ou, para startups, acima do limite da Lei Complementar nº 182/2021);
• pertence a grupo econômico, de fato ou de direito, cuja receita global ultrapassa esses limites.

E a média empresa, entra no regime simplificado?

Depende da receita. Se a receita bruta anual passa do teto da empresa de pequeno porte, a empresa segue a LGPD completa: encarregado indicado (art. 41 da LGPD), registro das operações de tratamento (art. 37) e prazos normais. Os passos de adequação são os mesmos; o que muda é o nível de formalidade exigido.

Mesmo uma empresa pequena pode perder o benefício pelo tipo de tratamento. Pelo art. 4º da resolução, o tratamento é de alto risco quando reúne pelo menos um critério geral (larga escala ou impacto significativo em direitos dos titulares) e um critério específico (tecnologia emergente ou inovadora, vigilância de zonas acessíveis ao público, decisões apenas automatizadas, ou uso de dados sensíveis ou de crianças, adolescentes e idosos). Uma clínica pequena que trata dados de saúde em larga escala é um exemplo de caso a avaliar com cuidado.

O que fica simplificado para a pequena empresa?

Conferindo o texto da Resolução CD/ANPD nº 2/2022, as flexibilizações são estas:

• Encarregado opcional: a empresa de pequeno porte não é obrigada a indicar encarregado, mas, se não indicar, deve manter um canal de comunicação com o titular (art. 11). Indicar um encarregado conta como boa prática.
• Registro simplificado: o registro das operações de tratamento pode ser feito de forma simplificada (art. 9º), e a ANPD publica um modelo para isso.
• Política de segurança simplificada: a empresa pode adotar uma política de segurança da informação simplificada, proporcional a custos, estrutura e volume de operações (art. 13).
• Prazos em dobro: para atender solicitações dos titulares, comunicar incidentes, fornecer a declaração completa do art. 19, II, da LGPD e apresentar documentos pedidos pela ANPD (art. 14).
• Declaração simplificada ao titular em até quinze dias contados do requerimento (art. 15).
• Atendimento ao titular por meio eletrônico, impresso ou outro que garanta acesso facilitado (art. 7º).

Como fazer o mapeamento de dados na pequena empresa?

O mapeamento é a base de tudo: sem ele não dá para escolher base legal, responder ao titular nem avaliar um incidente. A ANPD disponibiliza o formulário modelo de registro das operações de tratamento para agentes de pequeno porte, em Excel e PDF. Um roteiro prático para preenchê-lo:

1. Liste os processos que usam dados pessoais, área por área: vendas, atendimento, RH, financeiro, marketing.
2. Para cada processo, anote quais dados são coletados, de quem (cliente, funcionário, fornecedor) e para qual finalidade.
3. Indique onde os dados ficam: sistema de gestão, planilha, e-mail, nuvem, papel.
4. Registre com quem são compartilhados (contador, transportadora, plataforma de e-mail marketing) e se saem do país.
5. Defina a base legal de cada finalidade entre as hipóteses do art. 7º da LGPD e por quanto tempo o dado precisa ser guardado.
6. Marque os dados que você coleta sem usar. Eliminar o que não serve reduz risco e trabalho.

Como montar o canal de atendimento ao titular?

O titular tem direito de pedir confirmação do tratamento, acesso, correção, eliminação e outras providências listadas no art. 18 da LGPD. A pequena empresa que não indicar encarregado precisa de um canal para receber esses pedidos (art. 11 da Resolução nº 2/2022).

Na prática, basta um endereço de e-mail dedicado (por exemplo, privacidade@suaempresa.com.br) divulgado no aviso de privacidade do site, com uma pessoa responsável por ler, registrar e responder. Mantenha uma planilha com data do pedido, tipo, resposta e data da resposta. Ela serve de prova de atendimento caso a ANPD pergunte.

O que fazer em caso de incidente de segurança?

A Resolução CD/ANPD nº 15/2024 aprovou o Regulamento de Comunicação de Incidente de Segurança. Ela define incidente como qualquer evento adverso confirmado que viole a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. A comunicação à ANPD e aos titulares é obrigatória quando o incidente pode afetar significativamente direitos dos titulares e envolve, por exemplo, dados sensíveis, financeiros, de autenticação, de crianças ou idosos, ou dados em larga escala (art. 5º).

O prazo geral é de três dias úteis contados do conhecimento de que o incidente afetou dados pessoais (arts. 6º e 9º), contado em dobro para agentes de pequeno porte. A comunicação é feita por peticionamento eletrônico no SEI da ANPD. Mesmo o incidente que não precisa ser comunicado deve ser registrado e o registro guardado por pelo menos cinco anos (art. 10).

• Data em que a empresa soube do incidente e descrição das circunstâncias.
• Natureza e categoria dos dados afetados e número de titulares.
• Avaliação do risco e dos possíveis danos.
• Medidas de correção e mitigação adotadas.
• Como foi feita a comunicação ou, se não houve, o motivo.

Qual é a ordem prática para começar a adequação?

Para uma pequena ou média empresa, uma sequência que funciona é: confirmar se a empresa se enquadra como agente de pequeno porte, fazer o mapeamento, ajustar o aviso de privacidade, abrir o canal do titular, escrever a política de segurança (simplificada, se cabível) e preparar o procedimento de incidente. O guia de segurança da informação da ANPD para agentes de pequeno porte traz um checklist de medidas que ajuda na última etapa.

A CyberArmor conduz esse trabalho de adequação na frente de governança, risco e conformidade.

Perguntas frequentes