LGPD na prática para pequenas e médias empresas

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) aplica-se a empresas de todos os portes que tratem dados pessoais — de clientes, empregados, fornecedores ou visitantes do site. Para agentes de pequeno porte, a Autoridade Nacional de Proteção de Dados (ANPD) instituiu regime diferenciado, que flexibiliza algumas obrigações, mas não afasta a aplicação da lei.

1. Toda operação precisa de uma base legal

O art. 7º da LGPD enumera as hipóteses em que o tratamento de dados pessoais é permitido, como o consentimento do titular, o cumprimento de obrigação legal ou regulatória, a execução de contrato, o exercício regular de direitos, a proteção do crédito e o legítimo interesse, entre outras. O consentimento é apenas uma delas. Identificar a base legal adequada a cada finalidade é o ponto de partida da adequação.

2. Direitos dos titulares

O art. 18 assegura ao titular, mediante requisição, a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos ou desatualizados, a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos, a portabilidade e outras prerrogativas. A empresa precisa de um procedimento interno para receber e responder a esses pedidos.

3. Registro das operações

Controlador e operador devem manter registro das operações de tratamento que realizarem, especialmente quando baseado no legítimo interesse (art. 37). Na prática, trata-se de um inventário de dados: quais dados são coletados, para quê, com qual base legal, com quem são compartilhados e por quanto tempo são mantidos.

4. Encarregado e canal de comunicação

Em regra, o controlador deve indicar encarregado pelo tratamento de dados pessoais, cuja identidade e contato devem ser divulgados publicamente, preferencialmente no site (art. 41, § 1º). Para os agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 dispensa essa indicação, desde que seja disponibilizado canal de comunicação com o titular (art. 11, § 1º); a indicação voluntária é considerada política de boas práticas e governança (art. 11, § 2º).

O regime diferenciado abrange, nos termos da resolução, microempresas, empresas de pequeno porte, startups e outras figuras ali previstas, mas não se aplica a quem realize tratamento de alto risco para os titulares (ressalvada a hipótese do art. 8º), aufira receita bruta superior aos limites legais de referência ou pertença a grupo econômico cuja receita global ultrapasse esses limites (art. 3º).

5. Segurança da informação

Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação (art. 46). Controle de acessos, cópias de segurança, senhas robustas e treinamento das equipes estão entre as medidas mais elementares.

6. Incidentes de segurança

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48). A comunicação deve mencionar, no mínimo, a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados e as medidas adotadas para reverter ou mitigar os efeitos (§ 1º). O regulamento editado pela ANPD sobre o tema (Resolução CD/ANPD nº 15/2024) fixou o prazo de três dias úteis para a comunicação, contado do conhecimento do incidente, com prazo diferenciado para agentes de pequeno porte.

7. Sanções

O art. 52 prevê sanções administrativas que vão da advertência à multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, além de multa diária, publicização da infração, bloqueio e eliminação dos dados, entre outras. Na aplicação, são considerados critérios como a boa-fé, a cooperação, a adoção de mecanismos internos de minimização de danos e de políticas de boas práticas e governança (§ 1º).

Roteiro mínimo de adequação

1. mapear os dados pessoais tratados e registrar as operações;
2. definir a base legal de cada finalidade;
3. publicar política de privacidade clara e manter canal de atendimento ao titular;
4. revisar contratos com fornecedores que tratam dados em nome da empresa;
5. implementar medidas de segurança e plano de resposta a incidentes;
6. treinar as equipes e revisar o programa periodicamente.