LGPD para PMEs brasileiras: o papel da TI na conformidade
Para empresas de 10 a 50 funcionários no Rio de Janeiro e em São Paulo, a Simples Solução TI desenha a camada de TI da LGPD: controle de acesso, backup e trilhas de auditoria. O jurídico define a base legal; a TI materializa isso em sistemas e permissões no dia a dia.
- LGPD é um problema de TI: sem mapeamento de dados, controle de acesso e logs, sobra só papel.
- Comece pelo inventário: sem saber onde estão os dados pessoais, firewall e backup são investimentos cegos.
- TI terceirizada é operadora, não controladora: o contrato precisa separar papéis e responsabilidades.
- Multa não é automática: a ANPD dosa a sanção, que pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
O que a LGPD exige de uma empresa de 10 a 50 funcionários?
A LGPD exige que cada dado pessoal tenha base legal e que a empresa consiga atender aos direitos do titular. Tamanho do quadro não muda a regra; muda a profundidade do controle.
A lei vale para qualquer CNPJ que trate dados de pessoas físicas. Contadores, clínicas e imobiliárias guardam CPF, endereço e até dados de saúde, então precisam de controles proporcionais ao risco.
- Base legal e finalidade: registrar por que trata cada dado pessoal.
- Direitos dos titulares: permitir acesso, correção, portabilidade e exclusão.
- Registro de operações: manter evidências de quem acessou e o que alterou.
- Comunicação de incidentes: avisar à ANPD e aos titulares quando houver risco relevante.
As sanções estão no Art. 52 da Lei nº 13.709/2018. A multa simples pode chegar a 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração. A aplicação não é automática; a ANPD analisa cada caso.
Para PMEs de 10 a 50 funcionários, o ponto de partida são os dados mais sensíveis: financeiro, saúde, RH e jurídico. Ferramentas como MFA e backup ajudam a reduzir risco, mas não substituem a avaliação da base legal.
Por que a TI é o braço operacional da LGPD?
A TI é quem executa na prática o que a política de privacidade determina: permissões, criptografia, backup e rastreio. Sem essa camada, a conformidade é só uma intenção documentada.
Um desligamento de funcionário precisa revogar acesso ao sistema em horas, não em meses. O Active Directory ou o Google Workspace podem fazer isso automaticamente, se algum processo da TI estiver preparado.
- Controle de acesso: contas com MFA, revisão de permissões e bloqueio na hora.
- Segurança de rede: firewall com logs, segmentação e bloqueio de sites maliciosos.
- Backup e recuperação: cópias com retenção definida e testes de restauração.
- Resposta a incidentes: detecção, contenção e notificação ao encarregado.
Por isso, os serviços de Segurança de Dados e de Backup e Recuperação da Simples Solução TI começam pelo diagnóstico, não pela venda de equipamento. A trilha começa em Segurança de Dados e passa por Backup e Recuperação
Quais controles técnicos implementar primeiro e em que ordem?
Implemente primeiro o inventário de dados pessoais; sem ele, não há como desenhar acesso ou retenção. Depois automatize permissões, backup e monitoramento.
Os controles se reforçam; porém, priorize o que reduz o maior risco: acesso indevido, perda de dados e atraso na resposta a um incidente.
| Cenário | Só documentação | Documentação + controles de TI |
|---|---|---|
| Onde estão os dados pessoais? | Planilhas soltas sem dono | Inventário com responsável e fluxo |
| Quem acessa o quê? | Senha compartilhada | MFA, papéis e revisão trimestral |
| O que aconteceu em um vazamento? | Sem rastro | Logs e trilha de auditoria |
| Backup | Feito sem teste | Teste mensal de recuperação |
Use uma ferramenta de inventário de ativos quando tiver mais de 30 equipamentos e sistemas; caso contrário, uma planilha controlada já ajuda. O critério é ter um responsável nomeado, não a quantidade de software instalado.
Terceirizar a TI não terceiriza a responsabilidade da LGPD
Ao contratar uma empresa de TI, o fornecedor vira operador; o CNPJ do cliente continua controlador. Na prática, isso significa que a responsabilidade pela decisão de tratamento permanece com o contratante.
O contrato de prestação de serviço precisa descrever o que o operador pode acessar, por quanto tempo, com qual finalidade e como deve descartar os dados. Cláusulas de confidencialidade e de notificação de incidentes não são opcionais.
A Simples Solução TI, desde 2008, atende empresas com CNPJ no Rio de Janeiro e em São Paulo. Nos contratos, o papel de operador fica explícito para que cliente e fornecedor saibam seus limites.
Como manter a LGPD no dia a dia sem uma área de compliance
Conformidade é rotina, não projeto. Reserve um horário mensal para revisar acessos e testar backups; isso vale mais que um documento de política parado na gaveta.
- Revise permissões de sistemas a cada desligamento e, no mínimo, trimestralmente.
- Teste a restauração de backup uma vez por mês.
- Registre chamados de segurança no service desk para criar histórico.
- Treine a equipe para reconhecer phishing e reportar incidentes.
Centralizar chamados no Service Desk dá visibilidade sobre problemas recorrentes e gera evidência auditável. É onde a LGPD encontra a operação.
Em um cenário típico: escritório contábil que saiu do susto
A título de exemplo, um escritório de contabilidade com 28 funcionários em São Paulo não sabia onde estavam os CPFs dos clientes. A Simples Solução TI começou pelo inventário: planilhas, e-mail corporativo e o drive do escritório.
Depois, a equipe ativou MFA no Google Workspace, restringiu acesso por função e criou uma política de retenção de 60 dias para backups. Um funcionário desligado teve o acesso revogado no mesmo dia da saída.
O escritório não espera ser multado, mas passou a conseguir responder a um cliente sobre onde os dados dele estão e quem os acessou. Ter evidência, e não promessa, é a diferença para a ANPD.
Perguntas frequentes
Minha empresa de 15 funcionários precisa de um DPO?
Sim, a LGPD exige indicar um encarregado (DPO), mas ele não precisa ser funcionário. Pode ser terceirizado, desde que tenha acesso às informações e autonomia. A Simples Solução TI entrega os relatórios técnicos, não substitui o DPO.
Empresa de TI pode ser responsabilizada por vazamento de dados?
Sim, se agir fora das instruções do controlador ou negligenciar as medidas que se comprometeu a adotar. Por isso o contrato com a empresa de TI precisa descrever os controles, os prazos e a confidencialidade. A responsabilidade primária é do controlador.
Backup criptografado é suficiente para a LGPD?
Não. Backup protege disponibilidade, um pilar da segurança, mas não define se o tratamento tem base legal nem o prazo de retenção. É preciso combinar backup com política de retenção e descarte seguro.
Qual a multa para quem descumprir a LGPD?
A lei prevê multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de outras sanções. A aplicação não é automática: a ANPD considera gravidade, reincidência e adoção de boas práticas.
Como provar à ANPD que estamos em conformidade?
Mantenha registros: inventário de dados, relatórios de acesso, testes de backup, política de retenção e plano de resposta a incidentes. Essas evidências mostram que os controles existem e funcionam.
Quanto tempo leva para adequar uma PME à LGPD?
Depende do volume de dados e da maturidade da TI. Tipicamente, um primeiro ciclo de mapeamento, acesso e backup pode ser feito em semanas, se houver apoio de TI especializada. Depois, mantenha revisões mensais.
