Como este tema funciona no porte da sua empresa
Coleta nome, contato e dados bancários — o perfil mais simples de adequar. O mínimo viável é mapear esses dados, garantir que há base legal para tratá-los (geralmente execução de contrato), e publicar uma política de privacidade básica. O esforço é proporcional ao volume: pequeno e concentrado.
Coleta dados de muitos clientes — há maior atenção ao cadastro, ao aviso de privacidade no site e à política de descarte. Marketing por e-mail, cupons e remarketing precisam de base legal clara. O volume de dados exige que o mapeamento seja feito por sistema ou planilha, não na memória do gestor.
Dados de folha, contratos, dados bancários de pessoas físicas e documentos pessoais — atenção ao tratamento de dados trabalhistas e ao acesso de terceiros (contador, empresa de folha). O eSocial já impõe tratamento estruturado de parte desses dados; a LGPD complementa com bases legais e controles de acesso.
A legislação brasileira de proteção de dados pessoais se aplica a empresas de qualquer porte — inclusive microempresas e empresas de pequeno porte. Não há isenção por tamanho. A ANPD (Autoridade Nacional de Proteção de Dados) prevê tratamento diferenciado e simplificado para ME e EPP em processos de fiscalização, mas a obrigação de tratar dados pessoais de forma correta — com base legal, transparência, segurança e respeito aos direitos dos titulares — existe para qualquer empresa que colete ou processe dados de pessoas físicas.
A LGPD se aplica à pequena empresa: o que isso significa na prática
A aplicação da legislação de proteção de dados à pequena empresa não significa que ela precisa de uma estrutura de compliance equivalente à de uma grande corporação. Significa que ela precisa de adequação proporcional ao tamanho e à complexidade dos dados que trata — e que há um conjunto de obrigações que não pode ser ignorado, independentemente do porte.
O que muda para a empresa pequena é a proporcionalidade da estrutura, não a existência da obrigação. O mínimo viável e defensável é diferente do que se espera de uma empresa de grande porte — e este artigo se concentra exatamente nesse mínimo: o que o gestor ou sócio da pequena empresa precisa fazer, sem precisar de um departamento jurídico para isso.
O mínimo viável de adequação para a pequena empresa
A adequação à legislação de proteção de dados na pequena empresa pode ser organizada em sete passos concretos, que o próprio gestor pode conduzir — com validação pontual do assessor jurídico nos documentos que exigem revisão especializada.
- Mapear os dados que a empresa coleta. Criar uma planilha simples com: qual dado (nome, CPF, e-mail, dado bancário, dado de saúde), de quem (cliente, funcionário, fornecedor PF), para quê (execução de contrato, cobrança, marketing), onde fica armazenado (planilha local, CRM, e-mail, sistema do contador), quem acessa e por quanto tempo é mantido. Esse mapeamento não precisa ser perfeito — precisa ser honesto e revisável.
- Coletar só o necessário. Revisar formulários, fichas cadastrais e contratos para garantir que a empresa não pede mais dados do que o serviço ou contrato exige. Dado que não é necessário não deve ser coletado — e se já está armazenado sem necessidade, deve ser descartado de forma segura.
- Ter base legal para cada dado. Para a maioria dos dados que a pequena empresa trata, a base legal já existe: execução de contrato (dados de clientes e fornecedores PF) ou obrigação legal (dados de folha e eSocial). Consentimento é uma das bases legais possíveis, mas não é obrigatório para tudo — e pedir consentimento para dados que já têm outra base legal cria complicações desnecessárias.
- Publicar política de privacidade no site e aviso nos formulários de coleta. A política de privacidade informa ao titular quais dados são coletados, para quê, por quanto tempo, quem tem acesso e como ele pode exercer seus direitos. O aviso nos formulários (mesmo que simples: "Seus dados serão usados para fins de contato e execução do contrato. Consulte nossa política de privacidade.") é o ponto de transparência na coleta. A redação da política precisa de validação do assessor jurídico — o gestor não precisa redigir, mas precisa garantir que ela está publicada e é específica para a empresa, não um modelo genérico copiado da internet.
- Designar um responsável interno por privacidade. A legislação exige a designação de um encarregado de dados (DPO). Para a pequena empresa, o encarregado pode ser o próprio gestor ou sócio, desde que seu nome e e-mail de contato estejam publicados na política de privacidade. Não precisa ser especialista em privacidade — precisa ser o ponto de contato para dúvidas e solicitações dos titulares.
- Garantir controles básicos de acesso e descarte seguro. Acesso a dados pessoais deve ser restrito a quem efetivamente precisa para exercer sua função. Documentos físicos com dados pessoais devem ser destruídos (fragmentadora) quando não são mais necessários; dados digitais devem ser excluídos com o protocolo adequado. Esses controles básicos reduzem o risco de acesso indevido e de incidentes.
- Saber o que fazer se receber uma solicitação de um titular. Um cliente pode solicitar acesso aos seus dados, correção de informações incorretas ou exclusão do cadastro. O gestor precisa saber como responder — em prazo razoável, de forma documentada. Não precisa de sistema para isso: um processo simples definido com o assessor jurídico já cobre a obrigação.
O que pode esperar e o que não pode ignorar
Parte da ansiedade que o tema gera na pequena empresa vem da percepção de que é necessário fazer tudo ao mesmo tempo. Não é. Há uma distinção clara entre o que pode ser implementado gradualmente e o que não pode ser postergado.
O que pode esperar para depois — e planear para o médio prazo:
- DPO formal dedicado com função exclusiva de privacidade.
- Sistema de gestão de privacidade (software especializado).
- Programa de treinamento estruturado por área.
- Avaliações de impacto à proteção de dados (DPIA) formais — exigidas em casos específicos de tratamento de dados em larga escala ou dados sensíveis, que raramente se aplicam à pequena empresa típica.
O que não pode ser ignorado:
- Dados de funcionários — o eSocial já exige estrutura de tratamento; a legislação de proteção de dados complementa com controles de acesso e descarte adequado.
- Dados de clientes usados para marketing por e-mail sem consentimento ou sem base legal adequada — uso de dados para comunicações comerciais sem autorização é um dos pontos de maior exposição para empresas de qualquer porte.
- Contratos com o contador, a empresa de folha e outras plataformas que acessam dados da empresa — são operadores de dados que precisam de cláusula de proteção no contrato.
- Resposta a solicitações de titulares — ignorar uma solicitação de acesso ou exclusão de dados é uma das situações que mais gera reclamações formais à ANPD.
Quanto custa a adequação para a pequena empresa
A adequação à legislação de proteção de dados na pequena empresa tem um custo proporcional: assessoria jurídica pontual para validar a política de privacidade e as cláusulas de proteção de dados nos contratos com fornecedores. O restante — mapeamento de dados, revisão de formulários, definição do responsável, controles de acesso e descarte — pode ser feito pelo próprio gestor, sem custo adicional além do tempo dedicado.
Como orientação prática de mercado (não como dado estatístico de uma pesquisa específica), a assessoria jurídica para validação da política de privacidade e das cláusulas contratuais na pequena empresa costuma ser um trabalho pontual — não uma contratação recorrente, a menos que a empresa tenha volume alto de contratos ou dados sensíveis que exijam acompanhamento contínuo.
Sinais de que sua pequena empresa precisa iniciar ou revisar a adequação à LGPD
Se você se reconhece em três ou mais cenários abaixo, há lacunas de adequação que merecem atenção prioritária.
- A empresa nunca fez um levantamento de quais dados pessoais coleta de clientes, funcionários e fornecedores.
- O site tem formulário de contato ou cadastro sem aviso de privacidade e sem link para política de privacidade.
- Contratos com o contador e com outros fornecedores que acessam dados (folha, BPO) não mencionam proteção de dados.
- Dados de ex-clientes e ex-funcionários ficam armazenados indefinidamente sem critério de descarte.
- A empresa não sabe quem responderia se um cliente perguntasse sobre seus dados.
- A política de privacidade publicada é um modelo genérico da internet que menciona dados que a empresa não coleta ou omite dados que coleta.
Caminhos para adequar a pequena empresa à LGPD de forma prática
Há dois caminhos para conduzir a adequação, e a escolha depende da complexidade dos dados tratados, da disponibilidade do gestor e do acesso a assessoria especializada.
O próprio gestor conduz o mapeamento de dados, revisa formulários e coordena com o assessor jurídico a validação dos documentos.
- Perfil necessário: gestor ou sócio disponível para conduzir o mapeamento; assessor jurídico pontual para validar política de privacidade e cláusulas contratuais.
- Tempo estimado: de 1 a 2 meses para completar o mínimo viável dos 7 passos, dependendo da complexidade dos dados.
- Faz sentido quando: o volume de dados é simples, o gestor tem tempo disponível e há acesso a assessoria jurídica para validação dos documentos.
- Risco principal: deixar lacunas invisíveis — dados tratados fora do mapeamento, cláusulas ausentes em contratos que já existem, formulários de coleta sem aviso.
Uma consultoria especializada conduz o diagnóstico, elabora a política de privacidade e as cláusulas, e orienta o gestor sobre o que implementar e como.
- Tipo de fornecedor: Consultoria em LGPD/Compliance, DPO as a Service, Consultoria Jurídica especializada em proteção de dados.
- Vantagem: diagnóstico completo, documentação adequada para a realidade da empresa, orientação sobre dados sensíveis e situações específicas.
- Faz sentido quando: a empresa trata dados sensíveis (saúde, financeiro), não tem acesso a assessoria jurídica, ou quer garantia de que a adequação está completa e defensável.
- Resultado típico: adequação básica concluída em 1 a 3 meses, com política de privacidade publicada, cláusulas nos contratos e gestor orientado sobre manutenção.
Precisa de apoio para adequar a sua pequena empresa à LGPD de forma prática e viável?
Se a adequação à legislação de proteção de dados virou prioridade, o oHub conecta a sua empresa, de forma gratuita, a consultorias em LGPD, serviços de DPO as a Service e escritórios jurídicos especializados em proteção de dados. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Solicitar orçamento de Consultoria em Legislação Solicitar orçamento de Consultoria Jurídica Solicitar orçamento de Consultoria para Certificação ISO
Confira no oHub as empresas da nossa rede nas categorias: Consultoria em Legislação, Consultoria Jurídica e Consultoria para Certificação ISO
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
A LGPD se aplica a pequenas empresas?
Sim. A legislação brasileira de proteção de dados pessoais se aplica a empresas de qualquer porte, incluindo microempresas e empresas de pequeno porte. Não há isenção por tamanho. A ANPD prevê tratamento simplificado para ME e EPP em processos de fiscalização, mas a obrigação de tratar dados corretamente existe independentemente do porte.
O que uma pequena empresa precisa fazer para estar em conformidade com a LGPD?
O mínimo viável inclui sete passos: mapear os dados coletados, garantir que coleta só o necessário, ter base legal para cada dado, publicar política de privacidade no site e aviso nos formulários, designar um responsável interno por privacidade, garantir controles básicos de acesso e descarte seguro, e saber como responder a solicitações dos titulares. A redação da política de privacidade precisa de validação do assessor jurídico.
Pequena empresa é obrigada a ter DPO?
A legislação exige a designação de um encarregado de dados (equivalente ao DPO). Na pequena empresa, esse papel pode ser exercido pelo próprio gestor ou sócio, desde que o nome e o e-mail de contato estejam publicados na política de privacidade. Não é obrigatório contratar um profissional externo dedicado — embora isso seja recomendável quando a empresa trata dados sensíveis ou tem volume elevado de dados.
Qual o mínimo que uma pequena empresa precisa fazer para a LGPD?
Os sete passos do mínimo viável: mapeamento de dados, coleta proporcional ao necessário, base legal definida para cada tratamento, política de privacidade publicada, aviso nos formulários de coleta, responsável interno designado e processo definido para responder a solicitações de titulares. Controles de acesso e descarte seguro completam a base.
Quanto custa a adequação à LGPD para uma pequena empresa?
O custo principal é a assessoria jurídica pontual para validação da política de privacidade e das cláusulas de proteção de dados nos contratos com fornecedores. O restante — mapeamento, revisão de formulários, definição do responsável, controles de acesso — pode ser conduzido pelo próprio gestor, sem custo adicional além do tempo dedicado ao processo.
Fontes e referências
- Autoridade Nacional de Proteção de Dados (ANPD). Guia de Boas Práticas e Governança para Agentes de Tratamento de Dados Pessoais. Brasília: ANPD. Disponível em: gov.br/anpd.
- Autoridade Nacional de Proteção de Dados (ANPD). Orientações sobre processo de fiscalização para microempresas e empresas de pequeno porte. Brasília: ANPD. Disponível em: gov.br/anpd.
- Serviço Brasileiro de Apoio às Micro e Pequenas Empresas (Sebrae). LGPD para pequenas empresas: orientações práticas. Brasília: Sebrae.