Governança, ISO 27001 e LGPD5 min de leitura
LGPD para pequenas empresas: o que fazer primeiro
Por onde começar a adequação à LGPD sem parar a empresa: inventário de dados, bases legais, acessos e o que fazer em caso de incidente.
Sua empresa guarda nome, CPF, telefone e e-mail de clientes? Então a LGPD (Lei 13.709/2018) vale para ela, não importa o tamanho. A boa notícia: para começar, você não precisa de um projeto enorme. Precisa de ordem.
1. Descubra quais dados pessoais você guarda
Faça uma lista simples: que dados entram, por onde chegam (site, WhatsApp, ficha, sistema), onde ficam guardados e quem acessa. Em muitas empresas, essa planilha já revela o primeiro risco: cópias de documentos de clientes espalhadas em e-mails e celulares.
2. Defina por que você usa cada dado
A LGPD só permite tratar dados pessoais com uma base legal, listada no art. 7º. As mais comuns em pequenas empresas são:
- execução de contrato: dados para emitir nota, entregar e cobrar;
- obrigação legal: o que a contabilidade e o fisco exigem;
- legítimo interesse: usos que o cliente espera, com cuidado e registro;
- consentimento: newsletter e marketing, com opção clara de sair.
Dado sem finalidade é dado para apagar.
3. Feche os acessos
Quem saiu da empresa ainda tem senha do sistema? O estagiário vê o financeiro? Revise as contas, ative a autenticação em dois fatores no e-mail e limite cada pessoa ao que ela precisa para trabalhar.
4. Combine prazos de retenção
Defina quanto tempo cada dado fica guardado. Currículos de candidatos que não foram contratados, por exemplo, não precisam ficar para sempre.
5. Tenha um plano para incidentes
Se dados vazarem e houver risco relevante para as pessoas, a empresa deve comunicar a ANPD e os titulares. O regulamento da ANPD (Resolução CD/ANPD nº 15/2024) prevê prazo de 3 dias úteis. Escreva hoje quem decide, quem comunica e onde estão as informações.
E o encarregado de dados?
Agentes de tratamento de pequeno porte têm regras simplificadas (Resolução CD/ANPD nº 2/2022) e podem ser dispensados de indicar um encarregado, mas precisam manter um canal de comunicação com os titulares. Na dúvida, confirme se a sua empresa se enquadra.
Quanto custa não fazer
As sanções vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Para uma pequena empresa, o maior custo costuma ser outro: perder a confiança de quem compra dela.
Veja como trabalhamos com governança e LGPD.