LGPD na Prática: O Que Toda Pequena Empresa Precisa Fazer

Uma pergunta que ouço com uma frequência que já perdi a conta, "minha empresa é pequena, a LGPD vale mesmo para mim?" A resposta é sempre a mesma, vale sim. A Lei Geral de Proteção de Dados não faz distinção de tamanho ou faturamento, ela se aplica a qualquer empresa que colete, armazene ou trate dados pessoais, e isso inclui coisas bem simples do dia a dia de um pequeno negócio.

Neste artigo reúno o que costumo explicar nas consultorias que faço para empresas de São José dos Campos e região, por que a lei vale para negócios de qualquer porte, o que ela realmente exige na prática e um passo a passo direto para começar a se adequar sem transformar isso em um projeto complicado.

O que conta como dado pessoal no dia a dia da empresa

Muita gente ainda associa a LGPD a sistemas grandes e bancos de dados complexos, mas a realidade é bem mais simples. Nome, telefone, e-mail, endereço, CPF, data de nascimento, e até o histórico de compras de um cliente são dados pessoais. Isso significa que uma planilha de contatos, um formulário de contato no site, a lista de conversas do WhatsApp Business ou o cadastro de funcionários no departamento pessoal já colocam a empresa dentro do escopo da lei.

Não importa se o dado está em um sistema de CRM sofisticado ou em uma planilha do Excel salva no computador da recepção. O que importa é que existe uma pessoa identificável por trás daquela informação, e a partir daí a empresa passa a ter responsabilidades sobre como esse dado é coletado, usado, armazenado e eventualmente descartado.

Por que ignorar a LGPD custa caro

A Autoridade Nacional de Proteção de Dados, a ANPD, é o órgão responsável por fiscalizar e aplicar sanções quando a lei não é respeitada. As penalidades previstas vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a 50 milhões de reais por infração, além da possibilidade de bloqueio ou eliminação dos dados envolvidos no caso.

Na prática, para a maioria das pequenas empresas, o risco mais comum não é uma multa pesada da ANPD, e sim o vazamento de dados por descuido interno, uma planilha compartilhada por engano, um funcionário que leva a base de clientes para outra empresa, ou um sistema mal configurado exposto na internet. Esse tipo de incidente já é motivo suficiente para dor de cabeça, prejuízo à reputação e, dependendo do caso, responsabilização judicial.

O passo a passo prático de adequação

Recomendo sempre começar pelo básico, sem tentar resolver tudo de uma vez. Esta é a ordem que costumo seguir com meus clientes:

• Mapeie os dados que a empresa coleta. Liste onde ficam guardados os dados de clientes, fornecedores e funcionários, planilhas, sistemas, formulários do site, WhatsApp Business, e-mail marketing.
• Defina a base legal de cada tratamento. A lei prevê hipóteses como consentimento do titular, execução de contrato ou cumprimento de obrigação legal. Cada uso do dado precisa se encaixar em uma delas.
• Revise a política de privacidade do site. Ela precisa refletir exatamente o que a empresa faz com os dados coletados, sem textos genéricos copiados de outro site.
• Restrinja o acesso aos dados. Nem todo funcionário precisa ter acesso à base completa de clientes. Limitar o acesso já reduz boa parte do risco de vazamento interno.
• Treine a equipe. A maior parte dos incidentes de segurança de dados começa em erro humano, um clique em link errado, uma senha fraca, um arquivo enviado para o destinatário errado, não em ataque sofisticado de hacker.
• Tenha um plano para incidentes. Saber o que fazer caso um vazamento aconteça, incluindo a quem comunicar e como conter o problema, faz toda diferença no resultado final.

Preciso ter um encarregado de dados (DPO)?

A indicação de um encarregado pelo tratamento de dados, o chamado DPO, é uma exigência da lei, mas a ANPD já reconheceu que pequenas empresas podem cumprir esse papel de forma simplificada, muitas vezes com o próprio responsável pelo negócio acumulando essa função, desde que exista um canal claro de contato para que clientes e funcionários possam tirar dúvidas ou solicitar informações sobre seus dados.

O importante é que esse canal exista de verdade e que a pessoa responsável saiba, na prática, o que fazer quando alguém pedir para corrigir, atualizar ou excluir seus dados pessoais. Esse tipo de solicitação é direito garantido pela lei a qualquer titular de dados.

Um processo contínuo, não uma tarefa única

Um erro comum é tratar a LGPD como um projeto que se encerra depois de assinado um contrato de consultoria ou preenchida uma planilha de mapeamento. Na prática, é um processo contínuo, a cada novo sistema contratado, cada nova campanha de marketing ou cada novo fornecedor de tecnologia, vale revisar se o tratamento de dados envolvido está de acordo com o que foi definido inicialmente.

Empresas que tratam esse tema com seriedade desde o início costumam ter bem menos trabalho depois, porque já nasce com processos organizados em vez de precisar reconstruir tudo às pressas diante de um incidente ou de uma notificação da ANPD.

LUÍS MARCELO ACHITE
Mestre em Computação Aplicada
Especialista em Engenharia de Software
Especialista em Inovação em Unidades de Informação
Consultoria de TI e Marketing Digital, São José dos Campos, SP
[12-99116-4273] | [contato@lmachite.com.br] | [ 👉 Siga-me no LinkedIn]