LGPD na pequena empresa: como organizar dados, atendimento e segurança

Uma pequena empresa pode tratar dados pessoais em quase todas as suas rotinas: contratação de empregados, cadastro de clientes, entrega de produtos, cobrança e atendimento. Às vezes, essas informações ficam distribuídas entre sistema de gestão, planilhas, e-mails, pastas físicas e celulares.

Por isso, adequar a operação à Lei Geral de Proteção de Dados Pessoais começa com uma pergunta concreta: quais informações a empresa usa, por que precisa delas e quem consegue acessá-las? Comprar um modelo de política de privacidade não responde a essas questões. O documento precisa refletir uma rotina que realmente exista.

Pequeno porte pode ter simplificações, mas continua sujeito à lei

A Resolução CD/ANPD nº 2/2022 prevê tratamento diferenciado para agentes de pequeno porte elegíveis. Entre as possibilidades estão registro simplificado das operações e dispensa de indicação de encarregado. Quando não houver encarregado, deve existir um canal de comunicação com os titulares.

O benefício não é automático para qualquer negócio que se considere pequeno. Há limites de receita, critérios relativos a grupos econômicos e restrições ligadas a tratamento de alto risco. A resolução combina critérios gerais e específicos para caracterizar esse risco. A presença de um dado sensível, isoladamente, não substitui toda a avaliação exigida.

Mesmo quando a empresa se enquadra, permanecem bases legais, princípios, direitos dos titulares e deveres de proteção. Confira os critérios e as flexibilizações na Resolução CD/ANPD nº 2 ›.

Antes de declarar que a empresa está dispensada de determinada obrigação, documente a análise do enquadramento. Essa decisão precisa acompanhar mudanças na atividade, no faturamento e no uso dos dados.

Faça um mapa simples das informações

Comece pelas rotinas mais frequentes. Para cada uma, registre os dados coletados, a finalidade, a origem, onde são guardados, quem acessa, com quem são compartilhados e o critério de retenção. Inclua a base legal aplicável e quem responde pela atividade.

Um cadastro de entrega pode precisar de nome, endereço e contato. A folha de pagamento envolve outras informações e obrigações. Já uma lista para divulgação de ofertas tem finalidade diferente e deve ser analisada separadamente. Reutilizar qualquer cadastro para qualquer campanha não deve ser uma escolha automática.

O mapa também ajuda a identificar cópias esquecidas: planilhas exportadas, documentos enviados para contas pessoais e pastas compartilhadas com ex-empregados. Não é necessário esperar um projeto extenso para corrigir um acesso claramente desnecessário, desde que a alteração seja planejada e não elimine documentos de guarda obrigatória.

Colete o necessário e defina a finalidade

O princípio da necessidade limita o tratamento aos dados pertinentes e proporcionais ao objetivo. Pedir informação “porque talvez seja útil” aumenta a exposição sem demonstrar uma finalidade concreta. A LGPD reúne esses princípios no artigo 6º e as bases legais nos artigos 7º e 11 ›.

Revise os campos dos formulários. Todos precisam ser obrigatórios? A empresa realmente necessita de cópia integral de um documento ou consegue atender à finalidade com menos informações? Há dados antigos mantidos sem justificativa?

Consentimento não é a única base legal e não deve ser usado como autorização genérica para tudo. Cumprimento de obrigação legal, execução de contrato e outras hipóteses podem ser pertinentes, conforme a atividade. Dados sensíveis seguem regras específicas. A escolha precisa ser compatível com o uso real e com as informações prestadas ao titular.

Defina também quando revisar, eliminar ou anonimizar os registros. O encerramento de uma relação comercial não significa apagar imediatamente tudo: obrigações legais e exercício regular de direitos podem justificar retenção, dentro das hipóteses aplicáveis. O importante é ter um critério, limitar o acesso e evitar a guarda indefinida sem análise.

Crie um canal que realmente responda

Um cliente pode pedir confirmação do tratamento, acesso, correção ou outras providências previstas na LGPD. A empresa precisa saber reconhecer a solicitação e encaminhá-la, mesmo quando ela chega pelo atendimento comum.

Organize um fluxo com responsável, data de recebimento, identificação da demanda, sistemas consultados, prazo aplicável e registro da resposta. Confirme a identidade do solicitante de forma proporcional ao risco. Exigir documentos excessivos para atender um pedido simples pode criar uma nova coleta desnecessária.

Não prometa eliminar todos os dados sem verificar as obrigações de retenção. Explique quais medidas foram tomadas e os fundamentos de eventual impossibilidade. Da mesma forma, não envie um arquivo com informações de terceiros ao responder a um pedido de acesso. Os artigos 18 e 19 da LGPD tratam dos direitos e das formas de atendimento ›.

As flexibilizações de prazo para agentes elegíveis têm regras próprias. Não adote uma resposta padrão de “temos prazo em dobro para tudo”. Classifique a solicitação e confira a norma pertinente antes de informar o prazo ao titular.

Aplique medidas de segurança na rotina

O guia da ANPD para agentes de pequeno porte › apresenta orientações práticas de segurança. Entre os controles que merecem atenção estão acessos individuais, gestão de senhas, atualização de sistemas, cópias de segurança e treinamento.

Transforme esses cuidados em tarefas verificáveis:

• conceda acesso conforme a necessidade de cada função;
• retire acessos quando alguém sair ou mudar de atividade;
• use autenticação multifator quando disponível;
• mantenha sistemas e dispositivos atualizados;
• faça backups protegidos e teste a recuperação;
• oriente a equipe a conferir destinatários e links suspeitos;
• controle o acesso a documentos físicos e seu descarte.

Uma pasta compartilhada com toda a empresa não deve ser o destino padrão de documentos de empregados. Também é importante combinar com fornecedores como serão tratados acesso, suporte, devolução de informações e incidentes. Contratar um sistema conhecido não transfere automaticamente todas as responsabilidades da empresa.

Prepare a resposta a incidentes

Se um celular corporativo desaparecer ou uma conta for invadida, a equipe precisa saber quem acionar. O primeiro objetivo é conter o problema, preservar evidências e identificar quais informações e pessoas podem ter sido afetadas.

Nem todo incidente exige a mesma comunicação, mas a avaliação não pode ser adiada por falta de responsável. A Resolução CD/ANPD nº 15/2024 › disciplina a comunicação de incidentes que possam acarretar risco ou dano relevante. Confirme os requisitos e os prazos aplicáveis ao caso, inclusive eventual tratamento diferenciado, com apoio técnico e jurídico.

Para conectar a proteção de dados às rotinas da empresa, veja também o roteiro de organização de documentos e obrigações ›.

Comece por um plano executável

Escolha uma rotina, mapeie os dados, reduza excessos, revise acessos e teste o atendimento a um pedido fictício. Depois, avance para as demais áreas e mantenha revisões periódicas.

A contabilidade pode ajudar a identificar informações necessárias às obrigações fiscais e trabalhistas, enquanto questões jurídicas e de segurança podem exigir profissionais especializados. A meta é construir procedimentos proporcionais ao risco, com responsáveis e evidências, em vez de depender apenas de documentos prontos.

Conteúdo informativo, com fontes consultadas em 10/11/2026. As medidas e o enquadramento regulatório dependem das operações efetivamente realizadas pela empresa.