LGPD para pequenas empresas: regras e primeiros passos

Aplicar a LGPD para pequenas empresas começa por duas decisões: verificar se o negócio pode usar as simplificações da ANPD e identificar quais operações expõem clientes e funcionários a maiores riscos. Ter poucos empregados ou faturamento reduzido não elimina os deveres de proteção de dados, nem garante acesso a todos os benefícios do regulamento.

A organização pode trabalhar com registros mais simples e controles proporcionais, quando atendidos os requisitos. Isso exige conhecer os dados utilizados, atribuir responsáveis e guardar evidências das decisões. O caminho abaixo ajuda a separar condições legais de recomendações operacionais, sem transformar um pacote de documentos em promessa de adequação integral.

LGPD para pequenas empresas também alcança o MEI

Cadastro de compradores, folha de pagamento, agenda de atendimentos e mensagens com dados de clientes podem envolver tratamento de dados pessoais. A atividade não precisa ocorrer em um software sofisticado: arquivos de papel e planilhas também entram na análise. O MEI não está dispensado da lei por trabalhar sozinho.

Os artigos 3º a 7º da LGPD estabelecem o alcance da norma, definições, princípios e hipóteses legais de tratamento. A exceção para atividades exclusivamente particulares e não econômicas não deve ser confundida com a rotina comercial de uma pessoa física. Na LGPD para pequenas empresas, o ponto de partida é a operação realizada, não apenas a forma de constituição do negócio.

Árvore de decisão para usar as simplificações

A Resolução CD/ANPD nº 2/2022, artigos 2º a 6º, define o enquadramento e suas restrições. Para aplicar a LGPD para pequenas empresas com segurança, percorra estas perguntas e registre a conclusão:

1. O agente está entre as categorias previstas? O regulamento contempla microempresas, empresas de pequeno porte, startups e outras categorias, inclusive pessoas naturais e entidades privadas sem fins lucrativos. Confirme os requisitos legais pertinentes; o nome comercial não basta.
2. A receita respeita os limites aplicáveis? Verifique a receita do agente e, quando houver, a receita global do grupo econômico de fato ou de direito. Peça apoio contábil para identificar o limite correspondente ao enquadramento.
3. Há tratamento de alto risco? Examine as operações pelos critérios cumulativos do artigo 4º. Se houver alto risco, não presuma acesso ao tratamento diferenciado. Permanece a possibilidade específica do artigo 8º de organização para negociação, mediação e conciliação de reclamações.
4. Existe determinação específica da ANPD? Pelo artigo 16, a autoridade pode exigir obrigações dispensadas ou flexibilizadas, considerando as circunstâncias e os riscos envolvidos.

Guarde a fundamentação e os documentos usados. O artigo 5º prevê comprovação do enquadramento em até quinze dias quando solicitada pela ANPD. Esse registro ajuda a revisar a decisão quando o negócio cresce ou muda sua operação.

Alto risco exige uma combinação de critérios

Um cuidado central na LGPD para pequenas empresas é não classificar alto risco por um único sinal. No artigo 4º da Resolução nº 2, a classificação exige, cumulativamente, pelo menos um critério geral e um critério específico.

Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais. Para avaliar escala, considere quantidade de titulares, volume, duração, frequência e extensão geográfica. Para avaliar impacto, examine consequências como impedimento de acesso a serviços, discriminação, fraude financeira ou outros danos relevantes.

Os critérios específicos abrangem tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado; ou uso de dados sensíveis ou de crianças, adolescentes e idosos.

Em um exemplo hipotético, uma pequena empresa recebe atestados médicos de empregados. Há dados sensíveis, mas essa circunstância, isoladamente, não comprova a combinação exigida pelo regulamento. É necessário avaliar também os critérios gerais. Em outro exemplo hipotético, uma decisão exclusivamente automatizada impede o acesso a um serviço e pode afetar significativamente direitos: a combinação merece análise jurídica antes de assumir benefícios.

Na LGPD para pequenas empresas, documentar essa avaliação evita tanto descartar simplificações sem fundamento quanto adotá-las indevidamente. A conclusão depende dos fatos e permanece sujeita às competências da ANPD.

Minha pequena empresa precisa indicar encarregado e manter um canal?

Para agentes elegíveis ao regime, o artigo 11 da Resolução CD/ANPD nº 2/2022 permite não indicar encarregado. Nesse caso, continua obrigatório disponibilizar um canal de comunicação com o titular. A LGPD para pequenas empresas não autoriza deixar solicitações sem resposta ou substituir o atendimento por uma política de privacidade que ninguém acompanha.

Como recomendação operacional, designe alguém para monitorar o canal e um substituto para ausências. Registre recebimento, assunto, encaminhamento e resposta. Confirme a identidade do solicitante de forma proporcional, sem pedir documentos excessivos. Um pedido de acesso exige cuidado para não entregar informações à pessoa errada. O guia do canal LGPD e atendimento de titulares ajuda a organizar triagem, registro e resposta.

A indicação voluntária de encarregado é considerada boa prática pelo regulamento. Antes de decidir, avalie complexidade, volume de solicitações e capacidade interna. O artigo sobre o papel do DPO na proteção de dados ajuda a entender essa função. Mesmo com apoio externo, decisões empresariais e execução dos controles precisam de responsáveis dentro da organização.

Registre o necessário e explique a finalidade

O artigo 9º permite registros simplificados para agentes elegíveis, não a ausência de registros. Na LGPD para pequenas empresas, uma planilha organizada pode ser um ponto de partida, desde que represente as operações reais e seja atualizada. Evite copiar descrições que não correspondem ao negócio.

Para cada atividade, registre finalidade, categorias de dados e titulares, sistemas, destinatários, hipótese legal, critérios de conservação e medidas de segurança. Esses campos são uma sugestão de organização, a ajustar ao caso. Relacione também quem consegue explicar e corrigir cada processo.

Escolha a hipótese legal conforme a finalidade. Consentimento não é solução universal: obrigações legais e execução contratual podem justificar determinadas operações, quando seus requisitos forem atendidos. Dados sensíveis seguem as hipóteses próprias do artigo 11 da LGPD. Informe às pessoas, com clareza, como seus dados são utilizados e compartilhados.

Uma aplicação consistente da LGPD para pequenas empresas também revê a coleta excessiva. Se um campo não tem finalidade justificável, questione sua manutenção. Para registros antigos, defina retenção considerando obrigações aplicáveis e hipóteses legais de conservação, em vez de apagar tudo ou guardar indefinidamente.

Priorize controles pelo risco e pela exposição

Os artigos 12 e 13 da Resolução nº 2 exigem medidas essenciais de segurança e admitem política simplificada. O guia orientativo de segurança da ANPD para agentes de pequeno porte é uma referência para organizar esse trabalho. A tabela apresenta recomendações operacionais, não uma lista legal universal.

Na LGPD para pequenas empresas, essa priorização deve considerar o dano possível às pessoas e a exposição atual. Uma pasta aberta com documentos de funcionários pode demandar contenção antes da revisão estética de uma política. O porte da equipe influencia a execução, mas não torna aceitável manter uma vulnerabilidade conhecida sem encaminhamento.

Prepare a resposta a incidentes e confira cada prazo

Mantenha contatos de decisão, suporte técnico e fornecedores acessíveis. Como rotina sugerida, registre quando o problema foi identificado, sistemas atingidos, dados possivelmente envolvidos e medidas de contenção. Preserve evidências e avalie as obrigações de comunicação previstas no artigo 48 da LGPD e na regulamentação específica.

O planejamento da LGPD para pequenas empresas não deve partir da ideia de que todo prazo será automaticamente dobrado. Os artigos 14 e 15 da Resolução nº 2 tratam de hipóteses específicas. A comunicação de incidentes deve observar a regulamentação própria e a redação atualizada pela Resolução CD/ANPD nº 15/2024, sem reutilizar a redação anterior do artigo 14, inciso II.

Antes de registrar um vencimento, identifique a obrigação, a regra aplicável, o termo inicial e a elegibilidade ao tratamento diferenciado. Não adie a contenção enquanto discute o prazo de comunicação.

Organize uma execução possível para a equipe

Transforme as decisões em tarefas com responsável, prioridade e evidência esperada. O roteiro para estruturar um plano de adequação à LGPD pode apoiar essa organização. Na LGPD para pequenas empresas, acompanhar poucas ações relevantes até a conclusão costuma ser mais viável do que distribuir uma lista extensa sem acompanhamento.

Revise pendências e mudanças de operação: contratação de plataforma, novo fornecedor, expansão de público ou introdução de biometria podem exigir reavaliação. Treine a equipe com situações do trabalho, como envio de documentos e reconhecimento de mensagens suspeitas. A frequência das revisões deve acompanhar o risco, sem prometer adequação completa em prazo fixo.

Como a TOGETHER pode apoiar o pequeno negócio

O apoio à LGPD para pequenas empresas deve começar pelo escopo: quais operações serão avaliadas, quem implementará controles e como as entregas serão verificadas. A consultoria em LGPD pode apoiar o diagnóstico de enquadramento, o mapeamento de dados, a revisão de fornecedores e a definição de prioridades documentadas.

Quando houver indicação de encarregado ou necessidade de suporte contínuo, o DPO as a Service pode apoiar o atendimento aos titulares e as decisões recorrentes de privacidade, conforme o escopo contratado. Esse apoio não substitui a execução interna nem garante eliminação de riscos.

Converse com a TOGETHER sobre a LGPD para pequenas empresas a partir das suas operações e dificuldades concretas. Uma proposta proporcional deve deixar claros responsáveis, entregáveis e limites, preservando as condições legais das simplificações.

Referências

• Resolução CD/ANPD nº 2/2022: regulamento para agentes de tratamento de pequeno porte, com alterações.
• ANPD: guia orientativo de segurança da informação para agentes de tratamento de pequeno porte.
• Lei nº 13.709/2018: Lei Geral de Proteção de Dados Pessoais, texto compilado.

Conteúdo da TOGETHER. Atualização editorial em 3 de outubro de 2026.