LGPD para pequena empresa: o mínimo viável

A Lei 13.709/2018 vale para o escritório de contabilidade com quatro funcionários do mesmo jeito que vale para o banco. O que muda é a proporcionalidade: a ANPD orienta que agentes de pequeno porte tenham obrigações simplificadas, não que estejam dispensados.

Este é o conjunto mínimo que consideramos defensável para uma empresa pequena. Não substitui advogado — mas evita que você chegue no advogado sem nada feito.

1. Saber que dado você tem

Antes de qualquer política, faça o inventário. Uma planilha basta:

• Que dado pessoal você coleta (nome, e-mail, CPF, telefone, currículo, foto).
• Onde ele fica (CRM, planilha no Drive, caixa de e-mail, sistema do contador).
• Por quanto tempo você mantém.
• Quem tem acesso.
• Para quem você envia (contador, plataforma de e-mail, gateway de pagamento).

Quase toda empresa que faz esse exercício descobre pelo menos um lugar onde havia dado guardado sem motivo. Apagar isso é a melhoria de segurança mais barata que existe.

2. Ter uma base legal para cada tratamento

Consentimento é uma das dez bases legais do art. 7º, e frequentemente não é a melhor. Para emitir nota fiscal você não precisa de consentimento — precisa de obrigação legal. Para executar um contrato, a base é a execução do contrato.

Isso importa na prática: tratamento baseado em consentimento pode ser revogado a qualquer momento, e você precisa parar. Tratamento baseado em obrigação legal, não. Usar consentimento onde ele não é necessário cria um problema que você mesmo criou.

3. Política de privacidade que descreve a realidade

Política copiada da internet é pior que nenhuma: ela declara práticas que você não tem e vira prova contra você. A sua precisa dizer, em linguagem clara, o que o inventário do passo 1 mostrou — que dados, para quê, por quanto tempo, com quem compartilha, e como a pessoa exerce os direitos dela.

E precisa ter um canal real. Um e-mail que alguém lê.

4. Direitos do titular com prazo

O art. 18 dá ao titular o direito de confirmar, acessar, corrigir, anonimizar, portar e eliminar seus dados. Você precisa de um caminho para atender isso — mesmo que o caminho seja "o e-mail chega para a Maria, que sabe onde procurar".

Defina um prazo interno e cumpra. Não conseguir encontrar o dado de alguém que pediu exclusão é, por si só, sinal de que o inventário não está feito.

5. Plano para quando der errado

Incidente de segurança com risco relevante precisa ser comunicado à ANPD e aos titulares em prazo razoável. Ter isso escrito antes — quem decide, quem comunica, qual o texto base — é a diferença entre responder em dois dias e responder em duas semanas.

Escreva uma página. Sério: uma página com telefones e ordem de acionamento resolve mais que um manual de cinquenta que ninguém leu.

6. O básico técnico

Nada disso funciona sem:

• MFA em e-mail, banco e painéis administrativos.
• Acesso por pessoa, não por senha compartilhada. Quando alguém sai, você revoga.
• Backup testado. Restaure de verdade uma vez por semestre.
• Atualização de sistemas em rotina, não quando quebra.
• HTTPS em tudo que é público.

O que não fazer

Não instale um banner de cookies que bloqueia o site e registra consentimento que você nunca usa. Não peça CPF em formulário de contato porque "pode ser útil depois" — dado que você não coleta é dado que não vaza. E não trate a LGPD como projeto com data de término: é rotina.

Se quiser ajuda para sair do papel, veja cibersegurança ou fale com a gente.