LGPD para pequenas empresas: como se adequar sem complicação

A LGPD vale para toda empresa com CNPJ que trate dados pessoais, inclusive as de 10 a 50 funcionários. Adequar-se sem complicação significa priorizar inventário de dados, definição de bases legais e controles técnicos, em vez de comprar ferramenta antes do diagnóstico. A Simples Solução TI conduz esse trabalho em empresas do Rio de Janeiro, de São Paulo e no atendimento nacional remoto, desde 2008.

• Resumo (TL;DR): a LGPD se aplica a qualquer empresa com CNPJ que trate dados pessoais, independentemente do porte.
• A Resolução CD/ANPD nº 2/2022 cria obrigações simplificadas para agentes de pequeno porte, como dispensar a nomeação formal de encarregado.
• A adequação começa pelo inventário de dados e pela definição de bases legais, não pela compra de software.
• Controles técnicos como MFA, backup testado e firewall com log sustentam a conformidade no dia a dia.

A LGPD vale para a minha pequena empresa?

Sim. A Lei nº 13.709/2018 se aplica a qualquer pessoa jurídica que trate dados pessoais, sem exceção por porte ou setor. O que muda para uma empresa pequena é a forma das obrigações e a dosimetria das sanções.

O texto legal completo está disponível no site do Planalto. A fiscalização cabe à Autoridade Nacional de Proteção de Dados, que publica regulamentos e orientações em gov.br/anpd.

As sanções não são automáticas. Dependem de processo administrativo na ANPD, da dosimetria prevista no Art. 52 e dos limites legais em vigor. Por isso, ignorar a lei aumenta exposição sem gerar multa imediata, o que engana muita empresa.

O que muda para agentes de pequeno porte segundo a ANPD?

A Resolução CD/ANPD nº 2/2022 cria obrigações simplificadas para agentes de tratamento de pequeno porte. Na prática, a empresa pode dispensar a nomeação formal de encarregado e manter apenas um canal de comunicação com o titular. O registro das operações de tratamento também pode seguir formato simplificado.

Isso não elimina as obrigações principais. Bases legais, segurança dos dados e atendimento ao titular continuam exigidos para qualquer empresa. O benefício é de forma, não de conteúdo, e vale apenas enquanto o negócio se enquadrar como pequeno porte.

Quais dados a minha empresa realmente precisa proteger?

Você precisa proteger todo dado que identifique ou possa identificar uma pessoa. Isso inclui CPF, e-mail, telefone, currículo, foto, dados bancários e registros de ponto. Dados sensíveis, como saúde e biometria, exigem base legal mais restrita e controle de acesso mais rígido.

• Dados de funcionários: CPF, RG, holerite, exames admissionais e controle de jornada.
• Dados de clientes: contatos comerciais, contratos, notas fiscais e histórico de atendimento.
• Dados de candidatos: currículos, testes seletivos e anotações de entrevista guardadas por tempo indeterminado.
• Dados sensíveis: atestados médicos, afastamentos e biometria usada no relógio de ponto.

Em escritórios de contabilidade, o volume de dados pessoais de terceiros é alto e inclui folha de pagamento de clientes. Separar os dados por finalidade reduz o escopo do que precisa de proteção mais rigorosa. Ignorar essa separação faz a empresa tratar tudo como crítico e travar a operação sem ganho real de segurança.

Como adequar a LGPD em 7 passos sem travar a operação?

A adequação funciona melhor em etapas curtas, com responsável nomeado e prazo definido. Comece pelo inventário de dados e só contrate ferramenta quando o problema estiver descrito por escrito.

1. Inventário de dados: liste onde dados pessoais entram, circulam e são armazenados na empresa.
2. Bases legais: defina a base de cada tratamento conforme o Art. 7 e o Art. 11 da LGPD.
3. Contratos: revise cláusulas com operadores e fornecedores que tratam dados em seu nome.
4. Aviso de privacidade: publique uma política clara, em linguagem simples e acessível no site.
5. Canal do titular: crie um e-mail ou formulário para pedidos de acesso, correção e exclusão.
6. Controles técnicos: aplique MFA, menor privilégio, backup e registro de logs de acesso.
7. Resposta a incidentes: escreva um plano com prazos, responsáveis e modelo de comunicação à ANPD.

Sem o passo 1, os passos seguintes viram suposição. A consequência aparece na primeira auditoria ou no primeiro pedido de titular, quando ninguém sabe responder onde o dado está.

Quais controles de TI sustentam a conformidade no dia a dia?

Conformidade depende menos de documento assinado e mais de controle funcionando. Backup testado, firewall atualizado e gestão de acessos sustentam a promessa feita na política de privacidade.

• Autenticação multifator (MFA): bloqueia o acesso mesmo quando a senha vaza em phishing.
• Gestão de identidades: use Active Directory ou Entra ID para revogar o acesso de desligados no mesmo dia.
• Backup com teste de restauração: siga a regra 3-2-1 e valide a recuperação antes de precisar dela.
• Firewall com log ativo: pfSense, FortiGate ou MikroTik, com regras revisadas periodicamente.
• Gestão de patches: use WSUS, Intune ou GLPI para não deixar vulnerabilidade conhecida aberta.

Antivírus, EDR e backup reduzem risco e apoiam a continuidade do negócio. Nenhuma dessas medidas transfere a responsabilidade jurídica da empresa controladora. A ANPD avalia o que foi efetivamente implantado, não o que foi prometido.

A Simples Solução TI implanta esses controles dentro do serviço de segurança de dados e do backup e recuperação, com escopo definido após diagnóstico e alinhado ao que a LGPD exige da empresa.

Quanto custa adequar uma pequena empresa à LGPD?

Não existe valor fixo para adequação. O custo depende do número de usuários, do volume de dados, dos sistemas envolvidos e do SLA esperado. O caminho correto é orçamento após diagnóstico, com escopo escrito e entregáveis definidos.

• Número de usuários e dispositivos sob gestão técnica.
• Volume e tipo de dados pessoais tratados, incluindo dados sensíveis.
• Sistemas legados que precisam de ajuste, integração ou substituição.
• Nível de SLA, horário de atendimento e necessidade de suporte presencial.
• Treinamento da equipe interna e apoio jurídico contratado à parte.

Desconfie de proposta fechada sem visita técnica ou entrevista com os setores. Sem inventário de dados, o escopo é chute e a conta estoura no meio do projeto.

Vale a pena contratar uma empresa de TI para a adequação?

Vale quando a empresa não tem equipe interna dedicada a segurança e precisa de responsável técnico claro. Não vale quando o objetivo é apenas obter um selo de conformidade sem mudar processo nenhum.

• Use fornecedor externo se a empresa tem até 50 funcionários e nenhum especialista em segurança dedicado.
• Faça internamente apenas se houver equipe de TI com tempo reservado e apoio jurídico já contratado.
• Em qualquer caso, a decisão sobre bases legais exige advogado ou encarregado qualificado.

A Simples Solução TI atende exclusivamente empresas com CNPJ, no Rio de Janeiro, em São Paulo e remotamente para todo o Brasil. O trabalho começa com diagnóstico e termina com controles em operação, não com relatório na gaveta. Considere também avaliar critérios como ISO 27001 ao comparar fornecedores de segurança, já que essa certificação é um diferencial de processo que nem toda empresa possui.

Em um cenário típico, como fica uma adequação em 90 dias?

A título de exemplo, considere um escritório de contabilidade com 25 funcionários e cerca de 300 clientes ativos. O cronograma abaixo organiza as frentes sem parar o atendimento durante o período.

• Dias 1 a 15: inventário de dados e entrevistas com cada setor da empresa.
• Dias 16 a 45: revisão de contratos, aviso de privacidade e canal do titular publicados.
• Dias 46 a 75: MFA, controle de acesso por perfil, backup com teste e ajuste de firewall.
• Dias 76 a 90: treinamento da equipe e simulação de resposta a incidente de segurança.

O cronograma varia conforme o tamanho da operação e a disponibilidade da equipe interna. Empresas com sistemas legados ou filiais tendem a precisar de mais tempo na etapa técnica.

Perguntas frequentes

A LGPD vale para empresa pequena?

Sim. A Lei nº 13.709/2018 se aplica a qualquer pessoa jurídica que trate dados pessoais, sem exceção por porte, setor ou número de funcionários. Empresas com CNPJ de 10 a 50 funcionários estão dentro do escopo sempre que coletam CPF, e-mail, telefone, currículo ou dados de clientes. O que muda para o pequeno porte é a forma das obrigações e a dosimetria das sanções, não a incidência da lei.

Qual é a multa da LGPD para uma pequena empresa?

A sanção não é automática. Depende de processo administrativo na ANPD, da dosimetria do Art. 52 e dos limites legais: multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração. Para agentes de pequeno porte, a autoridade considera porte e faturamento e prioriza orientação e medidas educativas antes de penalidade.

Preciso nomear um encarregado (DPO) na minha empresa?

Para agentes de pequeno porte, a Resolução CD/ANPD nº 2/2022 dispensa a nomeação formal de encarregado. Em troca, a empresa precisa manter um canal claro de comunicação com o titular, como um e-mail publicado no site. Se o volume de dados crescer ou houver tratamento de dados sensíveis, o cenário muda e a nomeação volta a ser recomendada.

Por onde começar a adequação à LGPD?

Comece pelo inventário de dados, não pela ferramenta. Liste onde dados pessoais entram, circulam e são armazenados na empresa, quem acessa e por qual finalidade. Só depois defina bases legais, revise contratos, publique aviso de privacidade e implante controles técnicos. Comprar solução antes do mapeamento gera gasto sem reduzir risco.

Preciso contratar advogado para adequar a empresa à LGPD?

A decisão sobre bases legais e sobre redação de contratos é jurídica e pede apoio de advogado ou encarregado qualificado. A parte técnica, como controle de acesso, backup, firewall e resposta a incidentes, é trabalho de TI. Separar as duas frentes evita pagar honorário jurídico por tarefa operacional e acelera o cronograma.

Quais dados são considerados sensíveis pela LGPD?

O Art. 5 da LGPD lista dado pessoal sensível como origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde, vida sexual, genético e biométrico. Em uma empresa de 10 a 50 funcionários, isso aparece em atestados médicos, exames admissionais e biometria de ponto. Esses tratamentos exigem base legal mais restrita e controle de acesso mais rígido.

Em quanto tempo um incidente deve ser comunicado à ANPD?

A Resolução CD/ANPD nº 15/2024 fixa o prazo de 3 dias úteis, contados do conhecimento do incidente que possa acarretar risco relevante aos titulares. A comunicação precisa indicar dados afetados, medidas adotadas e riscos envolvidos. Sem plano de resposta escrito, a empresa perde o prazo tentando descobrir o que aconteceu.

Backup e antivírus eliminam a responsabilidade da empresa na LGPD?

Não. Nenhuma medida técnica transfere, clareia ou elimina a responsabilidade jurídica do controlador. Backup testado, MFA e firewall reduzem a probabilidade de incidente e sustentam a continuidade do negócio. A responsabilidade continua sendo da empresa, e a ANPD avalia o que foi efetivamente implantado para demonstrar cuidado.