LGPD para pequenas empresas: o que você precisa fazer

Introdução:

A LGPD vale para qualquer empresa que trate dados pessoais, inclusive MEI e pequenos negócios. Se você tem uma empresa, provavelmente já guarda dados de clientes, funcionários e fornecedores. Nome, CPF, telefone, endereço, documentos e até imagens de câmeras fazem parte da rotina do negócio. A LGPD existe justamente para definir como essas informações devem ser usadas e protegidas. O que a lei realmente exige da pequena empresa são seis coisas práticas: saber quais dados pessoais você coleta e por quê, ter ter uma justificativa prevista na lei para coletar e usar cada informação, informar isso ao titular em linguagem clara, proteger os dados com medidas de segurança razoáveis, exigir o mesmo dos fornecedores que acessam esses dados e saber o que fazer se houver incidente. Nome de cliente na agenda, CPF na nota fiscal, currículo recebido por e-mail e foto de câmera de segurança são todos dados pessoais, e é por isso que praticamente nenhum negócio fica de fora.

Conformidade sem virar um projeto de seis meses

Não sabe se sua empresa está tratando dados corretamente? A Razonet ajuda você a organizar contratos, documentos e processos para reduzir riscos e manter sua empresa mais segura. 👉 Falar com um especialista Razonet

O que a LGPD considera dado pessoal

Dado pessoal é qualquer informação que identifique ou permita identificar uma pessoa:

• Nome, CPF, RG, endereço, telefone, e-mail;
• Dados bancários e de pagamento;
• Imagem em foto ou câmera de segurança;
• Localização e dados de navegação;
• Histórico de compras vinculado a uma pessoa.

Dado pessoal sensível tem proteção reforçada:

• Origem racial ou étnica;
• Convicção religiosa e opinião política;
• Filiação sindical;
• Dados sobre saúde, vida sexual;
• Dados genéticos e biométricos.

Pequena empresa costuma achar que não trata dado sensível, mas atestado médico de funcionário e biometria de ponto são exatamente isso.

Onde a pequena empresa trata dados sem perceber

• Cadastro de clientes no sistema de vendas;
• Nota fiscal com CPF ou CNPJ e endereço;
• Lista de transmissão e grupo de WhatsApp com clientes;
• Formulário de contato do site e mailing de marketing;
• Currículos recebidos em processo seletivo;
• Pasta de documentos de funcionários;
• Câmeras de segurança na loja;
• Planilha de cobrança com telefone e valores;
• Sistema de fidelidade e cadastro para desconto;
• Backup na nuvem de tudo isso.

Mapear essa lista é literalmente o primeiro passo da adequação.

As bases legais que a pequena empresa mais usa

Todo tratamento precisa de uma justificativa prevista em lei. As mais comuns no dia a dia:

Execução de contrato. Dados necessários para vender, entregar e cobrar. Não precisa de consentimento.

Cumprimento de obrigação legal. Emitir nota fiscal, declarar informações trabalhistas, guardar documentos pelo prazo legal.

Legítimo interesse. Situações como prevenção a fraude e comunicação com clientes já existentes, desde que não prevaleçam os direitos do titular.

Consentimento. Necessário em situações específicas, como marketing para quem nunca foi cliente. Precisa ser livre, informado e específico, e pode ser retirado.

Proteção ao crédito. Consultas e registros em cadastros, conforme a legislação aplicável.

Erro clássico: pedir consentimento para tudo. Consentimento é a base mais frágil, porque pode ser revogado. Quando existe contrato ou obrigação legal, use a base correta.

Checklist de adequação à LGPD em pequenas empresas

1. Mapeie os dados. Liste o que você coleta, onde guarda, por quanto tempo e quem acessa;
2. Defina a base legal de cada tratamento, e registre essa escolha;
3. Elimine o excesso. Não colete dado que não usa. Menos dado, menos risco;
4. Publique um aviso de privacidade claro, no site e no cadastro, dizendo o que você faz com os dados;
5. Crie um canal para o titular, com e-mail ou formulário para pedidos de acesso, correção e exclusão;
6. Controle o acesso interno. Cada pessoa vê apenas o que precisa para o trabalho;
7. Proteja-se tecnicamente. Senhas individuais, autenticação em dois fatores, backup e antivírus atualizado;
8. Ajuste os contratos com fornecedores que tratam dados em seu nome, como sistemas, contabilidade e marketing;
9. Defina prazos de descarte, respeitando os prazos legais de guarda;
10. Treine a equipe, principalmente quem atende cliente e cuida de documentos;
11. Monte um plano de incidente, com quem avisa quem e em quanto tempo;
12. Revise uma vez por ano ou sempre que mudar sistema ou processo.

O passo 9 conversa diretamente com a guarda fiscal: documento fiscal tem prazo legal de cinco anos, e isso prevalece sobre o pedido de exclusão do titular. A rotina está em Como organizar os documentos fiscais da empresa, com apoio do cofre de documentos.

Contratos com fornecedores que acessam seus dados estão ajustados?

A Razonet revisa cláusulas de confidencialidade, LGPD e responsabilidade nos seus contratos. 👉 Conhecer a solução jurídica

Preciso de um encarregado, o DPO?

A lei prevê a figura do encarregado, responsável por atuar como canal entre a empresa, os titulares e a autoridade. Para agentes de tratamento de pequeno porte, a regulamentação da ANPD trouxe flexibilização: a indicação de encarregado deixou de ser obrigatória nesses casos, desde que a empresa disponibilize um canal de comunicação com os titulares.

Na prática, para a maioria das pequenas empresas:

• Publique um e-mail de contato específico para assuntos de privacidade;
• Responda aos pedidos dos titulares em prazo razoável;
• Registre o que foi solicitado e como foi resolvido.

Isso já resolve a exigência central sem contratar estrutura.

Direitos do titular que você precisa atender

A pessoa cujos dados você trata pode pedir:

• Confirmação de que existe tratamento;
• Acesso aos dados;
• Correção de dados incompletos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade, nos termos da regulamentação;
• Informação sobre com quem os dados foram compartilhados;
• Revogação do consentimento, quando essa for a base utilizada.

Importante: o direito de exclusão não se sobrepõe à obrigação legal de guarda. Você não pode apagar uma nota fiscal porque o cliente pediu.

O que fazer em caso de incidente de segurança

Vazamento, perda de dispositivo, acesso indevido e ataque de ransomware são incidentes.

1. Contenha o problema, isolando sistemas e revogando acessos;
2. Avalie quais dados foram afetados e quantas pessoas;
3. Registre tudo: data, origem, medidas adotadas;
4. Avalie o risco relevante aos titulares;
5. Comunique a ANPD e os titulares quando houver risco relevante, em prazo razoável;
6. Corrija a causa e documente as melhorias adotadas;
7. Revise contratos e acessos envolvidos.

Empresa que mantém registro do que fez demonstra boa-fé, o que pesa na dosimetria de eventual sanção.

Sanções: o que está em jogo

A ANPD pode aplicar, após processo administrativo:

• Advertência, com prazo para correção;
• Multa simples de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração;
• Multa diária;
• Publicização da infração;
• Bloqueio e eliminação dos dados relacionados à irregularidade;
• Suspensão parcial ou total do tratamento de dados.

Para pequenas empresas, o risco mais concreto não costuma ser a multa máxima, e sim três outros: ação de indenização movida por titular, perda de contrato com cliente grande que exige conformidade, e dano de reputação após um vazamento.

LGPD e inteligência artificial

Usar IA para ler contratos, triar currículos ou analisar documentos é tratamento de dados. Vale o mesmo conjunto de regras: base legal, controle de acesso, transparência e avaliação de onde o dado fica armazenado. O panorama está em Análise de documentos com IA: contratos e notas em segundos.

LGPD e dados de funcionários

A relação de trabalho concentra dados sensíveis. Pontos de atenção:

• Documentos admissionais e exames ocupacionais;
• Dados enviados ao eSocial;
• Biometria de ponto, que é dado sensível;
• Monitoramento de e-mail corporativo e câmeras, que exige transparência prévia;
• Guarda de documentos após o desligamento, respeitando prazos legais.

A rotina trabalhista completa está na solução de departamento pessoal, e o custo da contratação em Quanto custa um empregado CLT em 2026.

Erros comuns de pequenas empresas

• Achar que a LGPD só vale para empresa grande;
• Pedir consentimento quando a base correta é contrato ou obrigação legal;
• Copiar política de privacidade de outro site sem adaptar;
• Guardar dado indefinidamente, sem prazo de descarte;
• Compartilhar planilha de clientes por aplicativo de mensagem;
• Usar a mesma senha para toda a equipe;
• Contratar sistema sem cláusula de proteção de dados;
• Divulgar foto de cliente sem autorização;
• Enviar marketing para lista comprada;
• Não ter ideia de onde os dados estão guardados.

Casos práticos

Loja que perdeu um contrato corporativo

O cliente exigia política de privacidade e cláusula de proteção de dados no contrato. A loja não tinha nenhum dos dois e o cadastro de fornecedor foi reprovado.

Clínica que guardava atestados em pasta compartilhada

Todos os funcionários tinham acesso a documentos de saúde dos colegas. A correção foi simples, com restrição de acesso, mas o risco existia havia anos.

Prestadora que usava lista comprada

Enviava e-mail marketing para contatos adquiridos de terceiros. Recebeu reclamações, perdeu reputação de domínio e passou a construir base própria com consentimento.

Comércio que teve notebook roubado

O equipamento tinha a base de clientes sem criptografia. Além do prejuízo do equipamento, a empresa precisou avaliar a comunicação do incidente.

Conclusão: adequação é processo, não projeto

A LGPD para pequenas empresas não exige departamento jurídico nem software caro. Exige saber quais dados você tem, por que tem, por quanto tempo vai manter e quem pode acessar. A maior parte do risco em negócios pequenos vem de hábitos simples de corrigir: planilha de clientes circulando por aplicativo, senha compartilhada, dado guardado para sempre e contrato de fornecedor sem cláusula alguma.

A Razonet apoia a organização documental e contratual da sua empresa, com contratos revisados, documentos guardados em cofre digital e acesso controlado.

Para continuar, veja Contratos empresariais em 2026: quais sua empresa precisa ter, Como organizar os documentos fiscais da empresa e Análise de documentos com IA.

Jurídico, contábil e documental no mesmo plano

Contratos revisados, documentos protegidos e rotinas organizadas com suporte humano. Conheça em razonet.com.br/solucoes/juridico 👉 Quero falar com a Razonet

Base legal citada

• Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, com destaque para os artigos 5º (definições), 6º (princípios), 7º e 11 (bases legais), 18 (direitos do titular), 46 a 49 (segurança e boas práticas), 48 (comunicação de incidente) e 52 (sanções administrativas);
• Lei nº 13.853/2019 (criação da Autoridade Nacional de Proteção de Dados e alterações na LGPD);
• Resolução CD/ANPD nº 2/2022 (regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte);
• Resolução CD/ANPD nº 1/2021 (regulamento do processo de fiscalização e sancionador);
• Resolução CD/ANPD sobre dosimetria e aplicação de sanções administrativas;
• Lei nº 12.965/2014, Marco Civil da Internet;
• Lei nº 8.078/1990, Código de Defesa do Consumidor;
• Decreto-Lei nº 5.452/1943, CLT (tratamento de dados na relação de trabalho);
• Lei nº 5.172/1966, Código Tributário Nacional, artigos 173, 174 e 195 (prazos de guarda que prevalecem sobre pedidos de exclusão).