LGPD para pequenas empresas: o que fazer, com modelo

O que muda na LGPD para o pequeno porte (e o que não muda)

Para o pequeno porte, a ANPD simplificou algumas obrigações, mas não isentou ninguém. O regulamento é a Resolução CD/ANPD 2/2022, e o art. 6º diz que a flexibilização não isenta do cumprimento dos demais dispositivos da LGPD, "inclusive das bases legais e dos princípios".

Quem entra. Microempresa, empresa de pequeno porte, startup e o MEI registrado e enquadrado. Tetos na lei de 17/10/2026: microempresa até R$ 360.000 de receita bruta por ano; empresa de pequeno porte até R$ 4.800.000 (LC 123/2006, art. 3º); MEI até R$ 81.000 no ano anterior (art. 18-A, §1º); startup até R$ 16 milhões (LC 182/2021, art. 4º).

Quem sai. Não usam o regime quem passa do teto, quem pertence a grupo econômico acima dele e quem faz tratamento de alto risco (art. 3º). A ANPD também pode determinar que um agente de pequeno porte cumpra obrigações dispensadas (art. 16).

O que é alto risco. O art. 4º exige, cumulativamente, um critério geral (larga escala, ou impacto significativo nos direitos dos titulares) e um específico (tecnologia inovadora, vigilância de zonas acessíveis ao público, decisão unicamente automatizada, ou uso de dado sensível ou de criança, adolescente e idoso). Dado sensível sozinho não basta. E "larga escala" não tem número na norma; não vou inventar um corte, e na dúvida o caminho é um profissional.

Obrigação	Pequeno porte	Fonte
Encarregado (DPO)	Dispensado, com canal de comunicação com o titular	Res. 2/2022, art. 11; Res. 18/2024, art. 3º, §3º
Registro das operações	Pode ser simplificado, não dispensado	Res. 2/2022, art. 9º
Comunicação de incidente	Continua; prazos em dobro	Res. 15/2024, art. 6º, §8º e art. 9º, §6º
Base legal e direitos do titular	Continuam	Res. 2/2022, art. 6º

Sobre o encarregado: você não precisa nomear um, mas precisa do canal. A Res. 18/2024 reafirma a dispensa. Indicar um é permitido e conta como boa prática de governança (Res. 2/2022, art. 11, §2º). Sobre o registro, a resolução diz que a ANPD fornecerá um modelo simplificado, que eu não localizei publicado; o mapa deste texto é a forma da Consylion de cumprir o art. 37 da lei.

Infográfico

Ler o infográfico em texto

Quem entra no regime simplificado da ANPD e quais obrigações seguem valendo

Quem entra no regime simplificado

	Teto de receita bruta	Fonte
Microempresa	até R$ 360.000 por ano	LC 123/2006, art. 3º
Empresa de pequeno porte	até R$ 4.800.000 por ano	LC 123/2006, art. 3º
MEI	até R$ 81.000 (ano anterior)	LC 123/2006, art. 18-A
Startup	até R$ 16 milhões	LC 182/2021, art. 4º

O que muda e o que continua

	Pequeno porte	Fonte
Encarregado (DPO)	Dispensado, com canal	Res. 2/2022 e 18/2024
Registro das operações	Simplificado, não dispensado	Res. 2/2022, art. 9º
Comunicação de incidente	Continua; prazos em dobro	Res. 15/2024, arts. 6º e 9º
Base legal e direitos	Continuam	Res. 2/2022, art. 6º

Fonte: Res. CD/ANPD 2/2022, 15/2024 e 18/2024; Lei 13.709/2018 (LGPD); LC 123/2006, arts. 3º e 18-A; LC 182/2021, art. 4º. Tetos conforme o artigo em 17/10/2026. Conteúdo educativo, não é assessoria jurídica. Tratamento de alto risco fica fora do regime simplificado (Res. 2/2022, art. 3º).

Como se adequar à LGPD em 5 passos

A sequência é critério da Consylion; cada passo se apoia num artigo. Trate como um pequeno projeto de adequação; gestão de projetos mostra como definir entrega, responsável e prazo.

1. Mapear os dados que você guarda

Liste cada lugar onde há dado pessoal, de quem é, para que serve, onde fica e por quanto tempo. É o registro do art. 37, em versão simples. Comece por WhatsApp, planilha de clientes e agenda.

Pronto quando: cada lugar tem uma linha e um responsável. Armadilha: esquecer o celular pessoal do dono, onde costuma ficar conversa de cliente.

2. Definir a base legal de cada dado

Base legal é a justificativa que a lei aceita para tratar o dado. São dez no art. 7º, e o consentimento é só a primeira. As mais comuns numa empresa pequena: execução de contrato ou procedimentos preliminares a pedido do titular (V), obrigação legal (II), legítimo interesse (IX) e consentimento (I).

Para dado sensível há lista própria no art. 11, que inclui o consentimento "de forma específica e destacada, para finalidades específicas"; há outras hipóteses que não detalho, e quem lida com saúde deve pedir a um profissional que as confira.

Pronto quando: cada linha tem uma base e você a explica em uma frase. Armadilha: escrever "consentimento" em tudo.

3. Publicar o aviso de privacidade

A lei não usa esse nome: é nome de mercado para o cumprimento do art. 9º, que garante acesso facilitado a informações "de forma clara, adequada e ostensiva". São sete itens: finalidade, forma e duração, identificação do controlador, contato, uso compartilhado, responsabilidades dos agentes e direitos do titular. Pode ser eletrônico ou impresso (Res. 2/2022, art. 7º).

Pronto quando: o aviso está onde o cliente vê e cobre os sete itens. Armadilha: copiar o aviso de outro site, que fala de dados que você não guarda.

4. Abrir um canal para o titular

O art. 18 dá ao titular nove direitos, como acessar, corrigir, pedir eliminação e revogar o consentimento. O canal pode ser um e-mail ou um WhatsApp só para isso, dito no aviso, e é a condição da dispensa do encarregado.

Pelo art. 19, o acesso simplificado é imediato e a declaração completa sai em até 15 dias (II). O pequeno porte tem o dobro, 30 dias (Res. 2/2022, art. 14, III), e pode entregar a simplificada em até 15 (art. 15). Nos demais pedidos, o art. 18, §5º e o art. 14, I remetem a regulamento que não localizei. Minha meta, mais exigente, é responder em 15 dias.

Pronto quando: um pedido de teste foi respondido dentro da meta. Armadilha: divulgar um e-mail que ninguém abre.

5. Proteger o acesso e saber o que fazer num vazamento

A lei exige medidas técnicas e administrativas contra acesso não autorizado, perda e alteração (art. 46). O Guia de Segurança da ANPD para o pequeno porte (v1.0, 2021) sugere, entre outras medidas, trocar as senhas padrão, não compartilhar login e senha, fazer cópias de segurança completas em local distinto do principal e usar antivírus, em especial em computadores.

Liderar a equipe com regras simples vale mais que um manual que ninguém lê.

No vazamento, a Res. 15/2024 define incidente como evento adverso confirmado que viole a confidencialidade, integridade, disponibilidade ou autenticidade dos dados.

Só o incidente com risco ou dano relevante é comunicado, à ANPD e ao titular, em três dias úteis, que para o pequeno porte são contados em dobro (3 × 2 = 6), a partir do conhecimento de que ele afetou dado pessoal. O prazo em dobro vem dessa resolução, não da 2/2022.

Todo incidente, comunicado ou não, é registrado por no mínimo cinco anos (art. 10).

Pronto quando: senhas padrão trocadas, cópia de segurança fora do aparelho principal e escrito quem você avisa e quem decide a comunicação. Armadilha: descobrir que não há cópia no dia em que o computador para.

Infográfico

Ler o infográfico em texto

Em ordem, cada passo com o critério de pronto

1. Mapear os dados que você guarda: Pronto quando: cada lugar com dado pessoal tem uma linha e um responsável.
2. Definir a base legal do dado: Pronto quando: cada linha tem uma base legal e você a explica em uma frase.
3. Publicar o aviso de privacidade: Pronto quando: o aviso está onde o cliente vê e cobre os 7 itens do art. 9º.
4. Abrir um canal para o titular: Pronto quando: um pedido de teste foi respondido dentro da meta de 15 dias.
5. Proteger o acesso e o vazamento: Pronto quando: senhas padrão trocadas, cópia fora do aparelho principal e quem avisar definido.

Fonte: Lei 13.709/2018, arts. 7º, 9º, 18, 19, 37 e 46; Res. CD/ANPD 2/2022; Guia de Segurança da ANPD (v1.0, 2021). A ordem dos passos e a meta de 15 dias são critério da Consylion. Conteúdo educativo, não é assessoria jurídica.

Exemplo completo: mapa de dados de uma clínica de estética em Belo Horizonte

A clínica é fictícia, com 4 pessoas, e as contagens e os prazos são ilustrativos: 620 clientes cadastrados, 380 com ficha e 150 com fotos de antes e depois. O risco e a marcação de sensível são leitura da Consylion do art. 5º, II. Prazo de guarda de ficha depende da regra da profissão e deve ser confirmado com um profissional.

A conta fecha: são 8 linhas e 2 envolvem dado sensível (2 ÷ 8 = 25%). Das 620 clientes, 380 têm ficha (380 ÷ 620 = 61%, arredondado) e 150 têm foto.

O consentimento é a base que adotei em três linhas: ficha, foto e e-mail marketing. Na ficha, a tutela da saúde (art. 11, II, f) e, no e-mail, o legítimo interesse (art. 7º, IX) podem ser alternativas; um profissional deve confirmar. A foto pede dois consentimentos, um para o registro e outro, separado, para divulgar, pois autorizações genéricas são nulas (art. 8º, §4º).

E as câmeras são um critério específico de alto risco ("vigilância ou controle de zonas acessíveis ao público"), mas sem o critério geral não configuram alto risco. Pela régua abaixo, a clínica está no nível 2. Para organizar o WhatsApp de atendimento e venda, veja vendas na pequena empresa.

Modelo pronto: aviso de privacidade e cláusula de contrato

São pontos de partida, sem cadastro. Troque os campos, apague o que não se aplica e, se houver dado sensível ou de criança, peça a um advogado que revise.

O prazo do §3º é contratual, não da lei. O "termo de consentimento" só é necessário nas linhas em que a base é o consentimento; por escrito, ele deve constar de cláusula destacada (art. 8º, §1º), e o ônus de provar que foi válido é seu (art. 8º, §2º).

Quanto de LGPD o seu negócio pede

O seu negócio pede o tanto de LGPD que o risco dos dados que ele guarda justifica. A régua abaixo é critério da Consylion, com o raciocínio à vista; não é norma nem classificação da ANPD.

Nível	Quando	O que fazer
1. Cadastro simples	Nome, contato e compras, sem dado sensível nem de criança	Os 5 passos, com mapa de uma página. Em geral dá para fazer sozinho
2. Sensível, de criança ou biometria	Ficha de saúde, foto do corpo, dado de menor, impressão digital	Os 5 passos, consentimento específico, acesso restrito e um advogado revisando os textos
3. Esse dado em escala, ou decisão automatizada	Muitos titulares, perfilamento, tecnologia inovadora	Advogado ou especialista antes de começar; o regime simplificado pode não se aplicar

O raciocínio: quanto mais íntimo o dado e quanto mais gente atingida, mais caro o erro. Pela Res. 2/2022, dado sensível sozinho não é alto risco; colocar o nível 2 acima do 1 é cautela minha. O enquadramento do seu caso é de um profissional.

Quanto custa implementar a LGPD? Não achei fonte oficial de valores, então não ponho número em reais. O custo é sobretudo tempo, mais a revisão de um profissional nos níveis 2 e 3.

O erro mais comum na LGPD

O erro mais comum é pedir consentimento para tudo, ou copiar a política de outro site, em vez de definir a base legal do que você de fato faz com o dado. O consentimento é uma entre dez bases do art. 7º e a mais frágil: o titular pode revogá-lo a qualquer momento, por procedimento gratuito e facilitado (art. 8º, §5º).

Se o cliente marcou um horário, o dado de agendamento se apoia no contrato, e pedir consentimento cria uma obrigação que você pode não conseguir cumprir.

Exercício de 15 minutos

O Manual de LGPD e Segurança de Dados da Consylion, logo abaixo, amplia os modelos e traz a planilha do mapa de dados. Nada aqui depende dele. O que importa é abrir a gaveta, ver onde estão as chaves e anotar.