LGPD para Pequenas Empresas: Obrigações Essenciais em 2026


A LGPD não é só para grandes empresas

A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigor desde 2020 e se aplica a qualquer pessoa jurídica — pública ou privada, com ou sem fins lucrativos — que trate dados pessoais no Brasil. A ANPD (Autoridade Nacional de Proteção de Dados) já aplica sanções e publicou regulamentos específicos para pequenas e médias empresas.

A Resolução CD/ANPD nº 2/2022 criou regime simplificado, mas não isenta as PMEs das obrigações principais.

O que é "dado pessoal"

Qualquer informação relacionada a pessoa natural identificada ou identificável: nome, CPF, e-mail, telefone, endereço IP, dados de localização, fotografias e até preferências de compra. Dados sensíveis (saúde, biometria, religião, orientação sexual) recebem proteção reforçada.

As bases legais para tratar dados

Toda atividade que envolve dados deve ter base legal entre as 10 hipóteses do art. 7º da LGPD. As mais comuns para PMEs:

1. Consentimento do titular.

2. Execução de contrato (ex.: dados do cliente para entrega).

3. Cumprimento de obrigação legal (ex.: emissão de nota fiscal).

4. Legítimo interesse (ex.: prevenção a fraudes).

5. Proteção do crédito.

Cada finalidade precisa de uma base — e a base não pode ser trocada por conveniência.

O mínimo que sua empresa deve ter

1. Mapeamento de dados

Lista do que se coleta, de quem, para quê, onde se armazena e por quanto tempo. É o Registro das Atividades de Tratamento (RAT), exigido pelo art. 37.

2. Política de privacidade

Documento público, em linguagem clara, explicando quais dados são coletados, com qual finalidade, por quanto tempo e como o titular pode exercer seus direitos.

3. Termos de consentimento

Quando a base for o consentimento, ele deve ser livre, informado, inequívoco e específico (art. 8º). Caixas pré-marcadas não valem.

4. Encarregado de Proteção de Dados (DPO)

Toda empresa precisa ter um encarregado. Para PMEs, a ANPD permite que a função seja exercida por sócio, funcionário ou terceiro, sem certificação obrigatória.

5. Procedimentos de segurança

Senhas fortes, controle de acesso, backups, criptografia, atualização de sistemas. A LGPD não exige tecnologia específica, mas medidas técnicas e administrativas adequadas ao risco (art. 46).

6. Plano de resposta a incidentes

Em caso de vazamento, a ANPD deve ser comunicada e os titulares afetados notificados. O prazo recomendado é de 3 dias úteis, conforme Resolução CD/ANPD nº 15/2024.

Direitos dos titulares

A empresa precisa responder, em até 15 dias, a pedidos de:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção.
• Anonimização, bloqueio ou eliminação.
• Portabilidade.
• Revogação do consentimento.

A ausência de canal claro de atendimento é uma das principais causas de denúncias na ANPD.

Sanções

A ANPD pode aplicar:

• Advertência.
• Multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração.
• Multa diária.
• Publicização da infração.
• Bloqueio e eliminação dos dados.

Em 2024 e 2025, a Autoridade aplicou sanções relevantes envolvendo PMEs por vazamentos de dados e ausência de encarregado — sinal de que o regime é cobrado.

Regime simplificado para PMEs

A Resolução 2/2022 permite que microempresas, EPPs, startups, MEIs e pessoas físicas que tratem dados em escala reduzida:

• Mantenham registro de tratamento simplificado.
• Comuniquem incidentes em prazo dobrado.
• Tenham prazos elásticos para responder a titulares.
• Possam acumular as funções de controlador e encarregado em casos específicos.

Por onde começar

1. Diagnóstico com mapeamento de dados.

2. Política de privacidade e termos revistos.

3. Treinamento da equipe.

4. Indicação formal do encarregado.

5. Contratos com fornecedores revisados (cláusulas de proteção de dados).

6. Plano de resposta a incidentes.

Conclusão

LGPD não é projeto pontual, e sim uma cultura. Para a pequena empresa, o custo de conformidade é muito inferior ao da reputação manchada por um vazamento. Um advogado especialista em privacidade e dados conduz a adequação com proporcionalidade ao porte do negócio.