Como este tema funciona no porte da sua empresa
Coleta nome, contato e dados bancários — o perfil mais simples de adequar. O mínimo viável é mapear esses dados, garantir que há base legal para tratá-los (geralmente execução de contrato), e publicar uma política de privacidade básica. O esforço é proporcional ao volume: pequeno e concentrado.
Coleta dados de muitos clientes — há maior atenção ao cadastro, ao aviso de privacidade no site e à política de descarte. Marketing por e-mail, cupons e remarketing precisam de base legal clara. O volume de dados exige que o mapeamento seja feito por sistema ou planilha, não na memória do gestor.
Dados de folha, contratos, dados bancários de pessoas físicas e documentos pessoais — atenção ao tratamento de dados trabalhistas e ao acesso de terceiros (contador, empresa de folha). O eSocial já impõe tratamento estruturado de parte desses dados; a LGPD complementa com bases legais e controles de acesso.
A legislação brasileira de proteção de dados pessoais se aplica a empresas de qualquer porte — inclusive microempresas e empresas de pequeno porte. Não há isenção por tamanho. A ANPD (Autoridade Nacional de Proteção de Dados) prevê tratamento diferenciado e simplificado para ME e EPP em processos de fiscalização, mas a obrigação de tratar dados pessoais de forma correta — com base legal, transparência, segurança e respeito aos direitos dos titulares — existe para qualquer empresa que colete ou processe dados de pessoas físicas.
A LGPD se aplica à pequena empresa: o que isso significa na prática
A aplicação da legislação de proteção de dados à pequena empresa não significa que ela precisa de uma estrutura de compliance equivalente à de uma grande corporação. Significa que ela precisa de adequação proporcional ao tamanho e à complexidade dos dados que trata — e que há um conjunto de obrigações que não pode ser ignorado, independentemente do porte.
O que muda para a empresa pequena é a proporcionalidade da estrutura, não a existência da obrigação. O mínimo viável e defensável é diferente do que se espera de uma empresa de grande porte — e este artigo se concentra exatamente nesse mínimo: o que o gestor ou sócio da pequena empresa precisa fazer, sem precisar de um departamento jurídico para isso.
O mínimo viável de adequação para a pequena empresa
A adequação à legislação de proteção de dados na pequena empresa pode ser organizada em sete passos concretos, que o próprio gestor pode conduzir — com validação pontual do assessor jurídico nos documentos que exigem revisão especializada.
- Mapear os dados que a empresa coleta. Criar uma planilha simples com: qual dado (nome, CPF, e-mail, dado bancário, dado de saúde), de quem (cliente, funcionário, fornecedor PF), para quê (execução de contrato, cobrança, marketing), onde fica armazenado (planilha local, CRM, e-mail, sistema do contador), quem acessa e por quanto tempo é mantido. Esse mapeamento não precisa ser perfeito — precisa ser honesto e revisável.
- Coletar só o necessário. Revisar formulários, fichas cadastrais e contratos para garantir que a empresa não pede mais dados do que o serviço ou contrato exige. Dado que não é necessário não deve ser coletado — e se já está armazenado sem necessidade, deve ser descartado de forma segura.
- Ter base legal para cada dado. Para a maioria dos dados que a pequena empresa trata, a base legal já existe: execução de contrato (dados de clientes e fornecedores PF) ou obrigação legal (dados de folha e eSocial). Consentimento é uma das bases legais possíveis, mas não é obrigatório para tudo — e pedir consentimento para dados que já têm outra base legal cria complicações desnecessárias.
- Publicar política de privacidade no site e aviso nos formulários de coleta. A política de privacidade informa ao titular quais dados são coletados, para quê, por quanto tempo, quem tem acesso e como ele pode exercer seus direitos. O aviso nos formulários (mesmo que simples: "Seus dados serão usados para fins de contato e execução do contrato. Consulte nossa política de privacidade.") é o ponto de transparência na coleta. A redação da política precisa de validação do assessor jurídico — o gestor não precisa redigir, mas precisa garantir que ela está publicada e é específica para a empresa, não um modelo genérico copiado da internet.
- Designar um responsável interno por privacidade. A legislação exige a designação de um encarregado de dados (DPO). Para a pequena empresa, o encarregado pode ser o próprio gestor ou sócio, desde que seu nome e e-mail de contato estejam publicados na política de privacidade. Não precisa ser especialista em privacidade — precisa ser o ponto de contato para dúvidas e solicitações dos titulares.
- Garantir controles básicos de acesso e descarte seguro. Acesso a dados pessoais deve ser restrito a quem efetivamente precisa para exercer sua função. Documentos físicos com dados pessoais devem ser destruídos (fragmentadora) quando não são mais necessários; dados digitais devem ser excluídos com o protocolo adequado. Esses controles básicos reduzem o risco de acesso indevido e de incidentes.
- Saber o que fazer se receber uma solicitação de um titular. Um cliente pode solicitar acesso aos seus dados, correção de informações incorretas ou exclusão do cadastro. O gestor precisa saber como responder — em prazo razoável, de forma documentada. Não precisa de sistema para isso: um processo simples definido com o assessor jurídico já cobre a obrigação.
O que pode esperar e o que não pode ignorar
Parte da ansiedade que o tema gera na pequena empresa vem da percepção de que é necessário fazer tudo ao mesmo tempo. Não é. Há uma distinção clara entre o que pode ser implementado gradualmente e o que não pode ser postergado.
O que pode esperar para depois — e planear para o médio prazo:
- DPO formal dedicado com função exclusiva de privacidade.
- Sistema de gestão de privacidade (software especializado).
- Programa de treinamento estruturado por área.
- Avaliações de impacto à proteção de dados (DPIA) formais — exigidas em casos específicos de tratamento de dados em larga escala ou dados sensíveis, que raramente se aplicam à pequena empresa típica.
O que não pode ser ignorado:
- Dados de funcionários — o eSocial já exige estrutura de tratamento; a legislação de proteção de dados complementa com controles de acesso e descarte adequado.
- Dados de clientes usados para marketing por e-mail sem consentimento ou sem base legal adequada — uso de dados para comunicações comerciais sem autorização é um dos pontos de maior exposição para empresas de qualquer porte.
- Contratos com o contador, a empresa de folha e outras plataformas que acessam dados da empresa — são operadores de dados que precisam de cláusula de proteção no contrato.
- Resposta a solicitações de titulares — ignorar uma solicitação de acesso ou exclusão de dados é uma das situações que mais gera reclamações formais à ANPD.
Quanto custa a adequação para a pequena empresa
A adequação à legislação de proteção de dados na pequena empresa tem um custo proporcional: assessoria jurídica pontual para validar a política de privacidade e as cláusulas de proteção de dados nos contratos com fornecedores. O restante — mapeamento de dados, revisão de formulários, definição do responsável, controles de acesso e descarte — pode ser feito pelo próprio gestor, sem custo adicional além do tempo dedicado.
Como orientação prática de mercado (não como dado estatístico de uma pesquisa específica), a assessoria jurídica para validação da política de privacidade e das cláusulas contratuais na pequena empresa costuma ser um trabalho pontual — não uma contratação recorrente, a menos que a empresa tenha volume alto de contratos ou dados sensíveis que exijam acompanhamento contínuo.
Sinais de que sua pequena empresa precisa iniciar ou revisar a adequação à LGPD
Se você se reconhece em três ou mais cenários abaixo, há lacunas de adequação que merecem atenção prioritária.
- A empresa nunca fez um levantamento de quais dados pessoais coleta de clientes, funcionários e fornecedores.
- O site tem formulário de contato ou cadastro sem aviso de privacidade e sem link para política de privacidade.
- Contratos com o contador e com outros fornecedores que acessam dados (folha, BPO) não mencionam proteção de dados.
- Dados de ex-clientes e ex-funcionários ficam armazenados indefinidamente sem critério de descarte.
- A empresa não sabe quem responderia se um cliente perguntasse sobre seus dados.
- A política de privacidade publicada é um modelo genérico da internet que menciona dados que a empresa não coleta ou omite dados que coleta.
Caminhos para adequar a pequena empresa à LGPD de forma prática
Há dois caminhos para conduzir a adequação, e a escolha depende da complexidade dos dados tratados, da disponibilidade do gestor e do acesso a assessoria especializada.
O próprio gestor conduz o mapeamento de dados, revisa formulários e coordena com o assessor jurídico a validação dos documentos.
- Perfil necessário: gestor ou sócio disponível para conduzir o mapeamento; assessor jurídico pontual para validar política de privacidade e cláusulas contratuais.
- Tempo estimado: de 1 a 2 meses para completar o mínimo viável dos 7 passos, dependendo da complexidade dos dados.
- Faz sentido quando: o volume de dados é simples, o gestor tem tempo disponível e há acesso a assessoria jurídica para validação dos documentos.
- Risco principal: deixar lacunas invisíveis — dados tratados fora do mapeamento, cláusulas ausentes em contratos que já existem, formulários de coleta sem aviso.
Uma consultoria especializada conduz o diagnóstico, elabora a política de privacidade e as cláusulas, e orienta o gestor sobre o que implementar e como.
- Tipo de fornecedor: Consultoria em LGPD/Compliance, DPO as a Service, Consultoria Jurídica especializada em proteção de dados.
- Vantagem: diagnóstico completo, documentação adequada para a realidade da empresa, orientação sobre dados sensíveis e situações específicas.
- Faz sentido quando: a empresa trata dados sensíveis (saúde, financeiro), não tem acesso a assessoria jurídica, ou quer garantia de que a adequação está completa e defensável.
- Resultado típico: adequação básica concluída em 1 a 3 meses, com política de privacidade publicada, cláusulas nos contratos e gestor orientado sobre manutenção.
Precisa de apoio para adequar a sua pequena empresa à LGPD de forma prática e viável?
Se a adequação à legislação de proteção de dados virou prioridade, o oHub conecta a sua empresa, de forma gratuita, a consultorias em LGPD, serviços de DPO as a Service e escritórios jurídicos especializados em proteção de dados. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
A LGPD se aplica a pequenas empresas?
Sim. A legislação brasileira de proteção de dados pessoais se aplica a empresas de qualquer porte, incluindo microempresas e empresas de pequeno porte. Não há isenção por tamanho. A ANPD prevê tratamento simplificado para ME e EPP em processos de fiscalização, mas a obrigação de tratar dados corretamente existe independentemente do porte.
O que uma pequena empresa precisa fazer para estar em conformidade com a LGPD?
O mínimo viável inclui sete passos: mapear os dados coletados, garantir que coleta só o necessário, ter base legal para cada dado, publicar política de privacidade no site e aviso nos formulários, designar um responsável interno por privacidade, garantir controles básicos de acesso e descarte seguro, e saber como responder a solicitações dos titulares. A redação da política de privacidade precisa de validação do assessor jurídico.
Pequena empresa é obrigada a ter DPO?
A legislação exige a designação de um encarregado de dados (equivalente ao DPO). Na pequena empresa, esse papel pode ser exercido pelo próprio gestor ou sócio, desde que o nome e o e-mail de contato estejam publicados na política de privacidade. Não é obrigatório contratar um profissional externo dedicado — embora isso seja recomendável quando a empresa trata dados sensíveis ou tem volume elevado de dados.
Qual o mínimo que uma pequena empresa precisa fazer para a LGPD?
Os sete passos do mínimo viável: mapeamento de dados, coleta proporcional ao necessário, base legal definida para cada tratamento, política de privacidade publicada, aviso nos formulários de coleta, responsável interno designado e processo definido para responder a solicitações de titulares. Controles de acesso e descarte seguro completam a base.
Quanto custa a adequação à LGPD para uma pequena empresa?
O custo principal é a assessoria jurídica pontual para validação da política de privacidade e das cláusulas de proteção de dados nos contratos com fornecedores. O restante — mapeamento, revisão de formulários, definição do responsável, controles de acesso — pode ser conduzido pelo próprio gestor, sem custo adicional além do tempo dedicado ao processo.
Fontes e referências
- Autoridade Nacional de Proteção de Dados (ANPD). Guia de Boas Práticas e Governança para Agentes de Tratamento de Dados Pessoais. Brasília: ANPD. Disponível em: gov.br/anpd.
- Autoridade Nacional de Proteção de Dados (ANPD). Orientações sobre processo de fiscalização para microempresas e empresas de pequeno porte. Brasília: ANPD. Disponível em: gov.br/anpd.
- Serviço Brasileiro de Apoio às Micro e Pequenas Empresas (Sebrae). LGPD para pequenas empresas: orientações práticas. Brasília: Sebrae.