LGPD para PMEs: Guia Prático de Conformidade

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) é a norma brasileira que regula como empresas coletam, armazenam, usam e compartilham dados pessoais de clientes, colaboradores e fornecedores. Está em vigor desde 2020, e as sanções administrativas passaram a valer em agosto de 2021, aplicadas pela ANPD (Autoridade Nacional de Proteção de Dados). Muitas pequenas e médias empresas ignoram a lei achando que são "pequenas demais para serem fiscalizadas" ou que "custa caro demais implementar". Os dois raciocínios são erros caros.

A tese em uma frase: a LGPD não é assunto só de grande corporação — ela vale para qualquer negócio que colete um único e-mail, e a conformidade básica cabe no orçamento de uma PME, custando muito menos do que a menor das sanções. Este guia mostra o que a lei exige de fato, como se adequar sem consultoria cara, como escolher a base legal certa e o que fazer quando um dado vaza.

O que a LGPD exige: obrigações principais

1. Defina a base legal antes de coletar qualquer dado

O erro mais comum é achar que tudo depende de consentimento. Não depende. A lei prevê 10 bases legais (art. 7º), e você só pode tratar um dado se ele se encaixar em uma delas. Consentimento é apenas uma. As mais usadas numa PME são:

• Consentimento: a pessoa autorizou de forma livre, informada e inequívoca (ex.: assinar a newsletter)
• Execução de contrato: o dado é necessário para cumprir um contrato ou etapa pré-contratual (ex.: endereço para entregar a compra)
• Cumprimento de obrigação legal ou regulatória: a lei obriga a coleta (ex.: dados fiscais para emitir nota)
• Legítimo interesse: uma finalidade legítima e razoável do negócio, sem prejudicar direitos do titular (ex.: prevenção a fraude)

Além dessas, há bases como proteção da vida, tutela da saúde, exercício regular de direitos em processo e proteção ao crédito. Para cada dado que você coleta, registre qual base o sustenta. Exemplo: "Nome + e-mail + telefone: base CONSENTIMENTO (checkbox marcado no formulário em [data])". É esse registro que te protege se a ANPD questionar.

2. Se a base for consentimento, ele precisa ser ativo e informado

Quando você depende de consentimento, ele precisa ser explícito: a pessoa concorda de forma voluntária, com informação clara. Não valem como consentimento: checkbox pré-marcado, aceite automático por entrar no site ou "quem não clicar concorda". A lei exige opt-in ativo — a pessoa clica ou marca para permitir.

Exemplos de coleta com consentimento válido:

• Formulário: "Autorizo a coleta dos meus dados para receber a newsletter" + checkbox que a pessoa marca
• App: "Este aplicativo coleta localização, contatos e câmera. Você autoriza?" + botão "Sim" que a pessoa toca
• Chat: "Você aceita que a gente colete nome e e-mail para responder o seu atendimento?" + confirmação explícita

Texto de consentimento (exemplo): "Autorizo a [nome da empresa] a coletar e tratar meus dados pessoais (nome, e-mail, telefone, endereço, histórico de compras) para: (1) enviar novidades e promoções; (2) melhorar o atendimento; (3) pesquisa de satisfação. Entendo que posso revogar este consentimento a qualquer momento. [ ] Sim, autorizo | [ ] Não, obrigado."

3. Proteja os dados em repouso e em trânsito

A LGPD exige medidas de segurança técnicas e administrativas adequadas para proteger os dados (art. 46). A criptografia é uma das mais importantes — tanto para dados armazenados quanto para dados que trafegam pela internet:

• Em repouso: criptografia de disco (BitLocker no Windows, FileVault no Mac) ou de coluna no banco de dados
• Em trânsito: HTTPS (nunca HTTP), VPN para acesso remoto, SSH para servidores
• Backups: o backup também precisa ser criptografado e, de preferência, offline

Para uma PME, comece pelo básico: HTTPS no site (o Let's Encrypt é gratuito), disco criptografado nas máquinas, senhas guardadas como hash (nunca em texto puro) e acesso restrito por função. Isso já cobre a maior parte do risco real.

4. Comunique o incidente em caso de vazamento

Se dados forem expostos (invasão, perda ou acesso não autorizado), você tem a obrigação de comunicar. A LGPD fala em "prazo razoável" (art. 48), e a ANPD regulamentou o tema: a comunicação à autoridade e aos titulares afetados deve ocorrer em 3 dias úteis a contar da ciência do incidente. A notificação precisa dizer quais dados foram expostos, qual o risco envolvido e quais medidas você tomou.

Exemplo de comunicação: "Em [data], identificamos acesso não autorizado a dados de clientes (nomes, e-mails e senhas em hash). Imediatamente: (1) redefinimos todas as senhas; (2) ativamos monitoramento reforçado; (3) tornamos o MFA obrigatório. Recomendamos que você troque a senha em outros sites onde use o mesmo e-mail. Mais informações em [link]."

Não tente esconder o vazamento. Ocultar um incidente agrava a situação, pode configurar infração autônoma e destrói mais reputação do que o próprio vazamento. Transparência rápida é obrigação legal e também a decisão mais inteligente — as pessoas descobrem de qualquer forma, e é melhor virem saber por você.

5. Publique uma política de privacidade clara e acessível

A política de privacidade é o documento público que explica como a empresa coleta, usa, protege e compartilha dados. Precisa estar em linguagem clara (sem juridiquês), acessível no site (link no rodapé) e não pode estar enterrada em dezenas de páginas. Os elementos essenciais:

• Quais dados você coleta (nome, e-mail, telefone, localização etc.)
• Com qual base legal (consentimento, contrato, obrigação legal, legítimo interesse)
• Como você protege (criptografia, controle de acesso, backups)
• Com quem compartilha (fornecedores, parceiros, autoridades quando exigido)
• Por quanto tempo guarda cada dado
• Quais são os direitos do titular e como exercê-los
• O canal de contato para assuntos de privacidade

6. Indique um responsável — e conheça a regra especial da sua PME

A LGPD prevê a figura do encarregado (art. 41), a pessoa que faz a ponte entre a empresa, os titulares e a ANPD. Aqui há um detalhe importante para quem é pequeno: a ANPD, no regulamento para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), dispensou micro e pequenas empresas da indicação obrigatória do encarregado.

Ou seja, sua PME não é obrigada a nomear formalmente um encarregado — mas ainda precisa manter um canal para o titular tratar de seus dados (um e-mail como privacidade@sua-empresa.com resolve). E indicar alguém por conta própria, mesmo sem obrigação, conta como fator atenuante se você for fiscalizado. Se optar por designar, pode ser alguém interno (você, o gestor de TI) — não exige dedicação exclusiva.

Como se adequar passo a passo (roteiro de 90 dias)

Semanas 1–2: inventário de dados e política

• Mapeie quais dados você coleta, onde armazena, quem tem acesso e por quanto tempo guarda
• Monte uma planilha simples: Dado | Onde é armazenado | Base legal | Prazo de retenção
• Escreva a política de privacidade em linguagem clara e publique com link no rodapé do site
• Consulte os guias orientativos da ANPD (gov.br/anpd) como referência

Semanas 3–4: consentimento e canal de contato

• Adicione o checkbox de consentimento (desmarcado por padrão) nos formulários que dependem dele
• Se já tem uma base antiga coletada sem base legal clara, revise: reconquiste o consentimento ou reenquadre a base
• Crie o canal de privacidade (ex.: privacidade@sua-empresa.com) e publique-o no site e na política

Semanas 5–6: segurança técnica

• Ative o HTTPS no site (Let's Encrypt, gratuito)
• Criptografe os discos das máquinas e servidores
• Guarde senhas como hash e ative autenticação forte (MFA onde for possível)
• Configure backups criptografados e offline e aplique o princípio do menor privilégio no acesso

Semanas 7–8: procedimentos e treinamento

• Documente como reportar e investigar um vazamento (quem aciona, o que fazer, como comunicar em 3 dias úteis)
• Documente como atender um pedido do titular (acesso, correção, eliminação)
• Treine a equipe sobre o que não fazer com dados: não compartilhar, não vender, tratar como confidencial

Semanas 9–10: teste e ajuste

• Simule um pedido "quero ver meus dados" — você consegue gerar o relatório no prazo?
• Revise o que foi implementado e ajuste o que faltou
• Documente tudo: conformidade é também deixar rastro do que foi feito

Os direitos do titular (art. 18)

Qualquer pessoa cujos dados você trata pode exercer os direitos abaixo, e você precisa estar pronto para atender — em regra, a informação completa de acesso deve ser entregue em até 15 dias (art. 19).

Há exceções à eliminação: você não apaga quando há obrigação legal de guardar (ex.: dados fiscais) ou um contrato ativo que os exige. Nesses casos, documente o motivo de não ter apagado — é a sua proteção.

Conformidade contínua: checklist mensal

• [ ] Os novos clientes têm base legal válida e registrada?
• [ ] Houve acesso suspeito ou indício de vazamento?
• [ ] Os pedidos de titulares (acesso, correção, eliminação) foram atendidos no prazo?
• [ ] Alguém que saiu da empresa ainda tem acesso a dados?
• [ ] O backup foi testado (restauração funciona)?
• [ ] O compartilhamento com terceiros ainda é necessário e está sob contrato?
• [ ] O inventário de dados está atualizado?
• [ ] A política de privacidade acompanha as mudanças do negócio?

As sanções da ANPD e por que isso importa

Ao contrário do que muita gente repete, a multa da LGPD não é "R$ 50 milhões ou 2% do faturamento, o que for maior". A regra é outra: a multa simples é de até 2% do faturamento da empresa no Brasil no último exercício (excluídos os tributos), limitada a R$ 50 milhões por infração (art. 52, II). O valor de R$ 50 milhões é o teto, não uma alternativa.

E a multa é só uma das sanções possíveis. A ANPD pode aplicar, isolada ou cumulativamente:

Repare que várias dessas sanções não custam dinheiro direto — mas travam a operação ou expõem publicamente a empresa, o que costuma doer mais numa PME do que a própria multa. Para um negócio pequeno, a conformidade é um seguro barato.

O benefício vai além de evitar sanção. Empresas com conformidade clara ganham confiança do cliente. "Seus dados estão seguros conosco" é diferencial competitivo real — as pessoas preferem comprar de quem respeita a privacidade. A LGPD é obrigação legal, mas também é reputação.

Perguntas frequentes sobre LGPD

A LGPD se aplica à minha PME pequena?

Sim. A lei vale para qualquer empresa que trate dados pessoais de pessoas físicas, independentemente do porte. Se você guarda o e-mail de um cliente num formulário de contato, já está sujeito a ela. A única exceção real é o tratamento feito por pessoa física para fins exclusivamente particulares e não econômicos. Se é negócio, a lei se aplica.

Qual é o valor da multa da LGPD?

A multa simples é de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, com teto de R$ 50 milhões por infração — não é "2% ou R$ 50 milhões, o que for maior". Além da multa, a ANPD pode aplicar advertência, multa diária, publicização da infração, bloqueio e eliminação dos dados e até suspensão da atividade de tratamento. Boa parte dessas sanções não custa dinheiro direto, mas trava a operação.

Minha PME é obrigada a ter um encarregado (DPO)?

Não necessariamente. A LGPD prevê a figura do encarregado (art. 41), mas a ANPD, no regulamento para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), dispensou micro e pequenas empresas da indicação obrigatória. Ainda assim, você precisa manter um canal para o titular falar sobre seus dados, e indicar um encarregado por conta própria conta como atenuante numa fiscalização.

Preciso de consentimento para coletar e-mail num formulário?

Depende da base legal. Para marketing e newsletter, sim: precisa de consentimento explícito, com opt-in ativo. Para responder a um contato ou executar um contrato, a base pode ser "execução de contrato" ou "legítimo interesse", sem consentimento formal. O que a lei exige é que exista uma das 10 bases legais e que você a documente. De qualquer forma, ofereça sempre o descadastro nas comunicações de marketing.

Em quanto tempo devo comunicar um vazamento de dados?

A LGPD fala em "prazo razoável" (art. 48) e a ANPD regulamentou o tema: a comunicação à autoridade e aos titulares afetados deve ocorrer em 3 dias úteis a contar da ciência do incidente. A notificação precisa dizer quais dados foram expostos, quais os riscos e quais medidas você tomou. Esconder um vazamento agrava a situação e pode virar uma infração autônoma.

Conclusão

A LGPD não é opcional nem exclusiva de grande empresa. Qualquer PME que trate dados de pessoas físicas precisa se adequar — e a boa notícia é que o básico é viável mesmo com orçamento apertado. Seu plano de ação:

1. Semanas 1–2: inventário de dados + política de privacidade publicada
2. Semanas 3–4: consentimento nos formulários + canal de privacidade
3. Semanas 5–6: segurança técnica (HTTPS, hash de senhas, backups, menor privilégio)
4. Semanas 7–8: procedimentos de incidente e de atendimento ao titular + treinamento
5. Semanas 9–10: teste, ajuste e documentação

O texto oficial da lei está disponível na Lei nº 13.709/2018 no Planalto, e os guias orientativos e regulamentos da autoridade ficam no site da ANPD. Consulte-os sempre que precisar confirmar um requisito atualizado.

Leia também: Cibersegurança para PMEs, Backup 3-2-1 e Firewall e antivírus essenciais. A conformidade com a LGPD é a camada legal que se apoia numa boa cibersegurança — vale executar as duas juntas.