Resposta rápida
A LGPD vale para pequenas empresas?
Vale. Toda empresa que trata dados pessoais de clientes, funcionários ou fornecedores precisa seguir a LGPD. Para agentes de tratamento de pequeno porte, a ANPD simplificou algumas obrigações: eles não são obrigados a indicar um encarregado (mas precisam de um canal de comunicação com os titulares), podem manter registro simplificado e têm prazo em dobro para algumas respostas.
- Vale para todos que tratam dados pessoais
- Encarregado: dispensado para pequeno porte, com canal de comunicação
- Registro das operações: pode ser simplificado
- Segurança: medidas técnicas e administrativas são obrigatórias
- Incidentes: comunicar à ANPD e aos titulares quando houver risco relevante
Nome, CPF, telefone e e-mail de clientes, dados de funcionários, contatos de fornecedores: toda empresa trata dados pessoais, e por isso a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale também para micro e pequenas empresas.
A boa notícia é que a Autoridade Nacional de Proteção de Dados (ANPD) criou regras simplificadas para os agentes de pequeno porte. Veja o que muda e por onde começar. Este conteúdo é informativo e não substitui a orientação de um advogado.
O que é dado pessoal
Para a LGPD, dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável, como nome, CPF, endereço, telefone e e-mail. Os dados da empresa, como o CNPJ, não são dados pessoais, mas os dados das pessoas de contato são.
Regras simplificadas para agentes de pequeno porte
A Resolução CD/ANPD nº 2/2022 trouxe um tratamento diferenciado para microempresas, empresas de pequeno porte e startups, entre outros. Entre os pontos principais:
- Encarregado: não é obrigatório indicar, mas a empresa deve disponibilizar um canal de comunicação com os titulares
- Registro das operações de tratamento: pode ser feito de forma simplificada, com modelo fornecido pela ANPD
- Política de segurança: pode ser simplificada, considerando custos, estrutura e volume das operações
- Prazo em dobro: para atender às solicitações dos titulares e em comunicações previstas na norma
Quem fica fora das regras simplificadas
O tratamento diferenciado não vale para quem realiza tratamento de alto risco para os titulares, para quem tem receita bruta acima do limite de empresa de pequeno porte da Lei Complementar nº 123/2006 (ou do limite aplicável às startups) e para empresas de grupos econômicos cuja receita global ultrapasse esses limites.
O que a LGPD exige de todas as empresas
- Base legal para cada tratamento, como consentimento, execução de contrato ou obrigação legal
- Transparência: informar como os dados são usados, por exemplo em uma política de privacidade
- Direitos dos titulares: confirmar o tratamento, dar acesso, corrigir, anonimizar, bloquear, eliminar e informar compartilhamentos
- Segurança: medidas técnicas e administrativas para proteger os dados
- Incidentes: comunicar à ANPD e aos titulares os incidentes que possam gerar risco ou dano relevante
Segurança: a parte que mais depende da TI
O artigo 46 da LGPD determina que as empresas adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação. Na prática, isso significa:
- Controle de acesso: cada pessoa vê só o que precisa
- Senhas fortes e autenticação em dois fatores onde for possível
- Backup automático e testado
- Sistemas e antivírus atualizados
- Cuidado com dados em planilhas, e-mails e ferramentas de IA sem controle
- Desligamento imediato dos acessos de quem sai da empresa
Passo a passo para começar
- Mapeie quais dados pessoais a empresa coleta, onde ficam e para que servem
- Elimine o que não é necessário
- Defina um canal de comunicação com os titulares, como um e-mail
- Publique uma política de privacidade clara
- Use o guia e o checklist de segurança da ANPD para agentes de pequeno porte
- Oriente a equipe e revise os acessos periodicamente
Sanções
A LGPD prevê sanções como advertência, multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação dos dados. Mais importante do que a multa, porém, é a confiança de clientes e parceiros.
Como a Hexasistemas ajuda
A parte técnica da LGPD é o dia a dia da Hexasistemas: segurança da informação, controle de acessos, backup, gestão de TI e uso seguro de inteligência artificial. As questões jurídicas devem ser avaliadas com um advogado de sua confiança.
Quer aplicar isso na sua empresa? A equipe da Hexasistemas orienta você sem compromisso.
Falar no WhatsAppPerguntas frequentes
Pequena empresa precisa de encarregado (DPO)?
Agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado, mas devem disponibilizar um canal de comunicação com os titulares dos dados. Indicar um encarregado é considerado boa prática.
A LGPD vale para dados de funcionários?
Sim. Dados de funcionários, candidatos e prestadores também são dados pessoais e precisam ser tratados com base legal e segurança.
O que fazer se houver um vazamento?
Conter o incidente, avaliar os riscos e, quando ele puder gerar risco ou dano relevante aos titulares, comunicar a ANPD e os titulares, conforme o artigo 48 da LGPD e a regulamentação da ANPD.
Fontes
Conteúdo produzido pela equipe da Hexasistemas, empresa de tecnologia de Divinópolis-MG desde 2010. Atualizado em .
Conteúdo informativo da Hexasistemas. Questões fiscais, contábeis e jurídicas devem ser confirmadas com o seu contador ou advogado.