LGPD na empresa pequena: por onde começar sem parar a operação
A lei não exige estrutura de multinacional. Exige saber quais dados a empresa trata, por que trata e o que faz quando alguém pede para excluir.
Resposta curta
A LGPD não exige estrutura de multinacional. O começo é o mapeamento: quais dados a empresa recebe, por onde entram, para que servem e por quanto tempo ficam. Em seguida vêm a definição da base legal de cada tratamento — consentimento nem sempre é a correta —, um fluxo simples para atender pedidos de titulares dentro do prazo, cláusulas nos contratos com fornecedores que tratam dados em nome da empresa e um procedimento para as primeiras horas de um incidente.
Quase todo material sobre LGPD foi escrito para empresa grande: comitê, encarregado dedicado, mapeamento em ferramenta própria. Quem tem seis funcionários lê aquilo e conclui que a lei não cabe na sua realidade. O efeito prático é a paralisia.
A lei não exige estrutura de multinacional. Exige que a empresa saiba quais dados trata, por que trata e o que faz quando alguém pede para excluir. Dá para chegar lá em ordem de prioridade.
Passo 1 — o mapeamento mínimo
Antes de qualquer política, responda três perguntas numa planilha simples:
| Que dado entra | Por onde | Para quê |
|---|---|---|
| Nome, telefone, e-mail | Formulário do site | Responder e vender |
| CPF e endereço | Checkout | Emitir nota e entregar |
| Histórico de compra | Sistema de vendas | Atendimento e recompra |
| Currículo | E-mail de contato | Processo seletivo |
Boa parte das empresas descobre aqui dois problemas: coleta dados que não usa, e guarda dados que já deveria ter descartado. Parar de coletar o que não serve é a medida mais barata da lista.
Passo 2 — base legal, sem jargão
Todo tratamento precisa de uma justificativa prevista na lei. No comércio, as que mais aparecem:
- Execução de contrato. Você precisa do endereço para entregar. Não depende de consentimento.
- Obrigação legal. Nota fiscal e guarda fiscal exigem certos dados por prazo definido.
- Legítimo interesse. Usos esperados dentro da relação, com avaliação e limites.
- Consentimento. Para o que não se encaixa nas anteriores, como o envio de oferta de produto não relacionado.
Passo 3 — consentimento nem sempre é a base certa
Este é o erro mais caro por ser silencioso. Muita empresa pede consentimento para tudo, achando que assim se protege.
O problema: consentimento pode ser revogado a qualquer momento. Se você o usou como base para emitir nota fiscal, e o titular revoga, você fica sem base para uma obrigação que continua existindo.
Base correta para cada finalidade dá mais estabilidade que consentimento amplo.
Passo 4 — pedido de titular
O titular pode pedir acesso, correção, exclusão e informação sobre compartilhamento. A lei fixa prazo de resposta, e a empresa precisa de um caminho definido, ainda que simples:
- Um canal declarado, que pode ser um e-mail no site.
- Uma pessoa responsável por receber e responder.
- Conferência de identidade antes de entregar dado.
- Registro do que foi pedido e do que foi respondido.
- Verificação se algum dado precisa ser mantido por obrigação legal, o que limita a exclusão.
O passo 5 costuma surpreender: nem todo pedido de exclusão pode ser atendido integralmente.
Passo 5 — fornecedores que tratam dados por você
Sistema de vendas, plataforma de e-mail, contabilidade, transportadora. Todos tratam dados dos seus clientes.
Nessa relação, sua empresa costuma ser controladora e o fornecedor, operador. Isso pede cláusula contratual dizendo o que ele pode fazer, por quanto tempo, com que segurança e o que acontece no fim. É o mesmo ponto tratado em contrato de software como serviço.
Passo 6 — incidente de segurança
Vazamento, acesso indevido, notebook perdido com base de clientes. As primeiras horas definem o resto:
- Conter: trocar credenciais, encerrar acessos, isolar o ambiente afetado.
- Registrar o que se sabe, com horários.
- Avaliar o risco para os titulares, que é o critério de comunicação.
- Comunicar autoridade e titulares quando houver risco relevante.
- Documentar o que foi feito.
Improvisar essa sequência sob pressão é como boa parte dos casos vira problema maior do que precisava.
O que dá para fazer internamente
Mapeamento inicial, revisão do que se coleta, canal de titular e organização de acessos são trabalho interno. Base legal para casos limítrofes, contratos com operadores, avaliação de legítimo interesse e resposta a incidente relevante pedem apoio.
Perguntas frequentes
MEI e empresa pequena estão sujeitos à LGPD? Sim. A ANPD prevê tratamento diferenciado para agentes de pequeno porte em algumas obrigações, o que flexibiliza prazos e formalidades, não a aplicação da lei.
Preciso nomear um encarregado? A indicação é regra geral, com flexibilização para agentes de pequeno porte. Ainda assim, ter um canal declarado é o mínimo operacional.
Política de privacidade no site resolve? Ela é parte da transparência, não o cumprimento inteiro. Sem o mapeamento e as bases legais, a política descreve algo que não corresponde à prática.
Fontes
Este conteúdo tem caráter informativo e não substitui a análise do seu caso. Para conversar sobre adequação à LGPD, fale com o escritório.
Quando uma empresa passa a precisar de advogado acompanhando de perto
Não é o tamanho do faturamento que define. São os sinais de rotina: contratos repetidos, equipe crescendo e decisões que passaram a ter consequência.
Acordo de sócios: o documento que evita a briga que ainda não houve
O contrato social diz quem são os sócios. O acordo diz como eles decidem, entram e saem, que é onde a sociedade costuma se romper.