LGPD para pequenos negócios: o que você realmente precisa fazer
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trata dados de pessoas: nome, telefone, CPF, endereço, histórico de atendimento. Ou seja, praticamente todas. Para pequenos negócios, porém, a ANPD criou regras simplificadas, e entender isso tira muito do peso.
O regime simplificado para agentes de pequeno porte
A Resolução CD/ANPD nº 2/2022 define como agentes de pequeno porte o MEI, as microempresas, as empresas de pequeno porte e as startups. Para eles:
- Não é obrigatório nomear um encarregado (DPO). Mas é obrigatório ter um canal de comunicação para que as pessoas e a ANPD falem com a empresa sobre dados pessoais.
- O registro das atividades de tratamento pode ser simplificado, numa planilha que diga quais dados são usados, para quê e com quem são compartilhados.
- Vários prazos são em dobro, inclusive o de comunicação de incidentes à ANPD, que passa de 3 para 6 dias úteis. A exceção é quando o incidente pode afetar a integridade física ou moral das pessoas: aí o prazo continua de 3 dias úteis.
Atenção: o regime simplificado não vale para quem faz tratamento de alto risco, como tratar dados sensíveis em escala relevante. É o caso típico de clínicas e consultórios com prontuários, que precisam de um cuidado maior. E o que não muda para ninguém: os princípios da lei, os direitos das pessoas e a obrigação de proteger os dados com medidas de segurança adequadas.
Sete passos para ficar em dia
- Mapeie os dados. Monte uma planilha simples: que dados você coleta, de quem, para quê, onde ficam guardados, quem tem acesso e com quem compartilha (contador, sistema de agenda, transportadora).
- Saiba por que pode usar cada dado. A lei chama isso de base legal. Na maioria dos pequenos negócios, os dados são usados para cumprir um contrato ou uma obrigação legal, e não dependem de consentimento. Marketing é diferente: aí o consentimento costuma ser o caminho.
- Crie o canal de comunicação. Um e-mail divulgado no site e no atendimento resolve. Alguém precisa ler e responder.
- Publique um aviso de privacidade no site, em linguagem simples, explicando o que você coleta e por quê.
- Proteja os dados. Senhas fortes e verificação em duas etapas, cada pessoa com acesso só ao que precisa, backup que funciona, antivírus, computadores atualizados e notebooks com o disco criptografado (o BitLocker, no Windows).
- Revise os fornecedores. Sistemas e prestadores que mexem nos dados dos seus clientes também precisam protegê-los. Prefira os que deixam isso claro em contrato ou nos termos de uso.
- Tenha um plano para incidentes. Defina quem decide e o que fazer se houver vazamento, invasão ou perda de dados. Comunicar a ANPD e as pessoas afetadas tem prazo curto, então não dá para improvisar na hora.
E se não fizer nada?
A ANPD pode aplicar desde advertência até multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de outras sanções. Para o pequeno negócio, porém, o risco mais concreto costuma ser outro: perder a confiança do cliente depois de um vazamento, ou perder contratos com empresas maiores que já exigem LGPD dos fornecedores.
Este artigo é informativo e não substitui orientação jurídica. Para casos específicos, consulte um advogado.