Existe uma leitura equivocada, ainda comum, de que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) seria uma preocupação de grandes empresas. Não é. A LGPD se aplica a qualquer pessoa física ou jurídica que trate dados pessoais no contexto de uma atividade econômica — o que inclui a clínica com cinco funcionários, a loja que mantém cadastro de clientes e o prestador de serviços que guarda contratos com CPF. O que existe é um regime diferenciado, previsto na Resolução CD/ANPD nº 2/2022, que flexibiliza algumas obrigações para agentes de tratamento de pequeno porte. Flexibiliza — não dispensa.
O que o regime simplificado efetivamente permite
Para microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos que se enquadrem nos critérios da resolução, a ANPD admite, entre outras medidas:
- Dispensa da indicação formal de encarregado (DPO), desde que seja disponibilizado um canal de comunicação com os titulares de dados.
- Prazos mais longos para resposta a requisições de titulares e para comunicação de incidentes de segurança.
- Política simplificada de segurança da informação, adequada ao porte e ao volume de dados tratados. Não se aplica, porém, a quem trata dados pessoais em alto volume, dados sensíveis como atividade principal, ou realiza tratamento de alto risco. Uma clínica de saúde pequena, por exemplo, dificilmente se enquadra no regime simplificado — dados de saúde são sensíveis.
O que continua valendo para todo mundo
Independentemente do porte, permanecem exigíveis:
- Base legal para cada tratamento. Todo dado coletado precisa se apoiar em uma das hipóteses do art. 7º da lei — consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras. Coletar "porque pode ser útil depois" não é base legal.
- Finalidade determinada e informada. O titular precisa saber para que seus dados serão usados, em linguagem clara.
- Atendimento aos direitos do titular — confirmação, acesso, correção, anonimização, portabilidade e eliminação.
- Medidas de segurança proporcionais ao risco, e comunicação de incidentes relevantes à ANPD e aos titulares.
- Registro das operações de tratamento, ainda que em formato simplificado.
Por onde uma empresa pequena costuma começar
Na prática, o caminho mais eficiente raramente começa pela redação de uma política de privacidade. Começa pelo mapeamento: quais dados a empresa coleta, de quem, por qual canal, onde ficam armazenados, quem tem acesso e por quanto tempo são mantidos. É frequente que esse levantamento revele os problemas mais sérios antes de qualquer documento ser escrito — planilhas de clientes em contas pessoais de e-mail, sistemas antigos com acesso compartilhado, formulários coletando mais informação do que a atividade exige. Só depois do mapeamento é que faz sentido definir bases legais, ajustar contratos com fornecedores que também tratam esses dados e publicar os avisos aos titulares.
Sanções não são o único risco
A LGPD prevê advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), bloqueio e eliminação dos dados. Mas, para empresas menores, o impacto mais imediato costuma vir por outra via: exigências contratuais de clientes maiores, que passaram a auditar a conformidade dos seus fornecedores antes de contratar.
Texto puramente informativo. Não substitui a análise técnica individualizada de um caso concreto.