LGPD para PMEs: obrigações práticas e controles essenciais

A LGPD se aplica a toda empresa com CNPJ que trata dados pessoais, inclusive PMEs de 10 a 50 funcionários. A Simples Solução TI, fundada em 2008 e com operação no Rio de Janeiro e em São Paulo, executa a adequação integrada à gestão de TI, não como consultoria avulsa. Quem não documenta inventário, base legal e controles técnicos fica exposto a sanção da ANPD e perda de contratos.

• LGPD vale para PMEs B2B: não há isenção automática por porte; inventário e base legal são obrigatórios.
• Multa depende de processo sancionador e pode chegar a 2% do faturamento, limitada a R$ 50 milhões (Art. 52 da LGPD).
• Controles como MFA, firewall e backup reduzem risco de vazamento, mas não eliminam responsabilidade jurídica.
• Adequação com a Simples Solução TI é orçada após diagnóstico de escopo; não há preço fixo.

O que a LGPD exige de uma PME com 10 a 50 funcionários?

A LGPD não concede isenção por porte. Uma PME com 10 a 50 funcionários que trate dados pessoais de clientes, funcionários ou fornecedores precisa manter inventário de dados, definir bases legais para cada tratamento, indicar encarregado quando exigido e garantir os direitos dos titulares. O descumprimento pode gerar multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, conforme o Art. 52 da Lei Geral de Proteção de Dados.

• Inventário de dados pessoais: mapeie onde os dados são coletados, armazenados, tratados e descartados. Sem esse registro, não é possível demonstrar conformidade nem responder a incidentes.
• Bases legais: cada tratamento precisa estar vinculado a uma hipótese do Art. 7º da LGPD (consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras). Usar base inadequada invalida o tratamento.
• Encarregado (DPO): a LGPD exige indicação de encarregado. A ANPD dispensa microempresas e empresas de pequeno porte em casos específicos, mas é prudente designar um responsável interno, mesmo em PMEs.
• Políticas de privacidade e segurança: documente regras internas de coleta, uso, compartilhamento e eliminação de dados. A ausência de política formal é interpretada como falta de governança.
• Direitos dos titulares: implemente canais e processos para atender solicitações de acesso, correção, eliminação, portabilidade e revisão de decisões automatizadas, previstas no Art. 18 da LGPD.
• Registro de operações de tratamento: a ANPD pode solicitar esse registro a qualquer momento. Ele deve conter finalidade, categoria dos dados, base legal e destinatários.

A consequência de ignorar essas exigências vai além da multa. A Autoridade Nacional de Proteção de Dados pode aplicar advertência, bloqueio ou eliminação dos dados tratados irregularmente. Além disso, uma PME sem controles de LGPD perde contratos com clientes que exigem conformidade e fica exposta a ações judiciais de titulares.

Como mapear dados pessoais sem parar a operação?

Mapear dados pessoais não exige interromper as atividades. Um processo em três fases, apoiado em ferramentas de inventário como GLPI e Snipe-IT, permite catalogar ativos e fluxos em 4 a 7 semanas para uma empresa de 10 a 50 funcionários. A Simples Solução TI realiza esse trabalho de forma remota ou presencial no Rio de Janeiro e em São Paulo, sem parar a operação do cliente.

Fase 1: Inventário de ativos e sistemas (1 a 2 semanas)

Registre todos os computadores, servidores, dispositivos móveis e softwares usados pela empresa. No GLPI, crie um item para cada equipamento e associe softwares instalados. No Snipe-IT, cadastre hardware com responsável e localização física.

• Levante ativos em uso: notebooks, desktops, smartphones corporativos, impressoras, storages e servidores locais ou em nuvem.
• Mapeie softwares e serviços: sistemas de gestão (ERP, CRM), e-mail corporativo, armazenamento em nuvem, ferramentas de colaboração e qualquer aplicação que trate dados pessoais.
• Registre contas de acesso: identifique usuários, perfis de permissão e administradores de cada sistema.

Fase 2: Classificação de dados (2 a 3 semanas)

Depois do inventário, classifique os dados que cada sistema processa. Essa etapa define o risco e a base legal aplicável.

• Dado pessoal: nome, CPF, e-mail, telefone, endereço, dados funcionais. Identifique onde são coletados, armazenados e compartilhados.
• Dado sensível: saúde, biometria, religião, orientação sexual, dados genéticos. Exige base legal específica (consentimento ou obrigação legal) e medidas de segurança mais rígidas.
• Dados de crianças e adolescentes: tratados apenas com consentimento específico dos responsáveis, conforme Art. 14 da LGPD.
• Tempo de retenção: defina por quanto tempo cada dado fica armazenado e quando deve ser eliminado ou anonimizado.

Fase 3: Documentação e controles (1 a 2 semanas)

Transforme o levantamento em registros formais. É essa documentação que a ANPD pode solicitar em uma fiscalização.

• Registro de operações de tratamento: relacione cada finalidade de tratamento, categoria de titulares e base legal utilizada.
• Mapeamento de fluxos: desenhe como o dado entra, por onde circula e onde é armazenado ou descartado, incluindo compartilhamentos com terceiros.
• Políticas internas: redija política de privacidade, política de segurança da informação e procedimento de resposta a incidentes.
• Treinamento da equipe: capacite funcionários sobre coleta mínima, compartilhamento seguro e resposta a solicitações de titulares.

Quais documentos comprovam conformidade e evitam autuação?

Não existe um modelo único de documentação que a ANPD aceite. O que reduz risco de autuação é um conjunto coerente de registros, políticas e evidências de medidas técnicas, mantidos atualizados e com data de revisão. A ausência desses documentos pode ser interpretada como falta de boa-fé e agravar penalidades.

Manter esses documentos exige disciplina operacional. A Simples Solução TI auxilia PMEs no Rio de Janeiro e em São Paulo a estruturar e manter esse acervo, com revisão periódica e guarda de evidências em ambiente seguro.

Que controles técnicos reduzem risco de vazamento e multa?

Firewall, MFA, criptografia e backup imutável reduzem o risco de vazamento e de sanção. Eles não eliminam a responsabilidade jurídica, mas demonstram diligência e contêm incidentes. Sem esses controles, qualquer falha vira incidente de grande impacto.

Esses controles só reduzem risco se forem testados e monitorados. Um backup sem restauração comprovada não protege contra sanção. O firewall precisa de regras revisadas, não apenas instalado.

Como escolher um fornecedor de TI para adequação LGPD no Rio e em São Paulo?

Contrate um fornecedor integrado que una infraestrutura, segurança e documentação. Consultorias genéricas entregam relatório, mas não implementam nem mantêm os controles. A Simples Solução TI atende PMEs no Rio de Janeiro e em São Paulo com essa abordagem integrada.

Se o contrato exigir certificações ISO, solicite os certificados ao fornecedor. A Simples Solução TI não possui certificação ISO própria, mas implementa controles técnicos alinhados à LGPD. Para PMEs do Rio ou de São Paulo, essa combinação de infraestrutura, segurança e consultoria de TI evita retrabalho.

Como manter a conformidade LGPD no dia a dia?

Conformidade não é um projeto com data final. Exige rotina mensal de auditoria, treinamentos curtos e KPIs monitorados. Sem essa rotina, os controles degradam em poucos meses.

Auditoria mensal (40 minutos)

• MFA: verifique o status em todas as contas administrativas e sistemas com dados pessoais.
• Firewall: revise os logs por acessos suspeitos ou tentativas de intrusão.
• Backup: execute um teste de restauração em uma amostra de arquivos críticos.
• Permissões: revise acessos de ex-funcionários e terceiros encerrados.
• Criptografia: confirme se o disco está ativo nos notebooks corporativos.

Treinamentos curtos e recorrentes

Realize pílulas de 10 minutos a cada 30 dias. Foque em phishing, senhas fortes, identificação de dados pessoais e canais de reporte de incidentes.

• Phishing: como reconhecer e-mail falso, com exemplo real.
• Senhas e MFA: por que não reutilizar credenciais e como ativar o segundo fator.
• Dados pessoais: o que é sensível e onde armazenar.
• Reporte de incidentes: a quem avisar em caso de suspeita de vazamento.

KPIs que sinalizam conformidade

Acompanhe indicadores mensais para detectar desvios antes que virem incidente. Metas realistas para PMEs de 10 a 50 funcionários ajudam a priorizar ações.

• Percentual de contas com MFA ativo: meta acima de 95%.
• Tempo de resposta a incidente de segurança: meta abaixo de 4 horas.
• Taxa de sucesso nos testes de restauração de backup: meta de 100% em três meses consecutivos.
• Percentual de colaboradores treinados no mês: meta acima de 90%.

Perguntas frequentes

Minha PME de 20 funcionários ainda não fez nada para LGPD. Por onde começo sem travar a operação?

Comece pelo inventário de ativos e sistemas, listando computadores, servidores, softwares e onde ficam dados pessoais. Execute em fases de 1 a 2 semanas: primeiro ativos, depois classificação de dados e, por fim, documentação formal. Se a operação tem menos de 20 pessoas, use planilha compartilhada; caso contrário, adote o GLPI ou Snipe-IT para manter rastreabilidade. Ignorar essa etapa torna impossível provar conformidade em uma eventual fiscalização.

Recebi uma solicitação da ANPD pedindo comprovação de adequação. Que documentos devo apresentar primeiro?

Apresente o inventário de dados, o registro de operações e as políticas internas assinadas, como política de privacidade e de retenção. Não existe modelo único aceito pela ANPD; o essencial é demonstrar que a empresa documenta bases legais e controles aplicados. Se a PME nunca documentou nada, priorize montar esses três artefatos em até 30 dias. Sem eles, mesmo com firewall e MFA, a defesa fica frágil em fiscalização.

Quais controles técnicos devo implementar primeiro para reduzir risco de multa?

Implemente firewall, autenticação multifator e backup imutável em todos os sistemas com dados pessoais. Se a empresa trata dados sensíveis ou mantém equipe remota, adicione criptografia de disco e VPN corporativa; caso contrário, os três primeiros controles já reduzem o risco essencial. Sem MFA em contas administrativas, qualquer credencial vazada pode virar incidente de segurança.

Como escolher fornecedor de TI para adequação LGPD no Rio de Janeiro ou em São Paulo?

Contrate um fornecedor único que entregue infraestrutura, segurança e documentação no mesmo escopo. A Simples Solução TI atende empresas B2B no Rio de Janeiro e em São Paulo com esse modelo integrado, sem fragmentar responsabilidades entre consultoria e suporte técnico. Se a operação tiver mais de 50 funcionários ou filiais fora desses estados, avalie parceiros adicionais; caso contrário, um fornecedor regional reduz custo de coordenação e acelera o diagnóstico.

Já tenho firewall e antivírus. Ainda preciso me preocupar com LGPD?

Sim, porque a LGPD exige documentação de bases legais e evidência de controles, não apenas a infraestrutura instalada. Complemente com inventário formal, política de privacidade e registro de operações de tratamento. Se a empresa tem menos de 50 funcionários, um programa enxuto com revisão mensal de 40 minutos mantém a conformidade; caso contrário, atribua um responsável formal pela proteção de dados.

Como provar conformidade LGPD sem contratar uma auditoria externa cara?

Mantenha evidências mensais: relatório de status do MFA, registros de treinamentos curtos e indicadores como tempo de resposta a incidentes. Armazene esses documentos em repositório controlado, de preferência versionado. Se a ANPD solicitar, apresente esses históricos em vez de apenas políticas assinadas. Auditorias externas são opcionais; o que importa é demonstrar rotina contínua.

Um colaborador saiu da empresa levando acesso a planilhas com dados de clientes. O que fazer agora?

Revogue imediatamente todos os acessos do ex-colaborador, inclusive tokens de API e contas de e-mail, e registre o incidente internamente. Se houver risco de vazamento, comunique ao encarregado de dados e, dependendo da gravidade, à ANPD e aos titulares. Mantenha trilha de auditoria para demonstrar ação tempestiva. Se a empresa tem política de desligamento documentada, siga o procedimento; caso contrário, crie um roteiro imediato com validação do RH e do TI.