LGPD na Prática para Empresa Pequena: o Mínimo Necessário

LGPD na prática para uma empresa de dez funcionários não é contratar um escritório para produzir 80 páginas de política que ninguém lê. É ter cinco peças funcionando: alguém que responde pelos dados, um inventário do que você guarda, uma base legal para cada uso, contratos decentes com fornecedores e um plano para quando algo vazar. Este guia mostra como montar cada uma, quanto custa e onde as empresas pequenas desperdiçam dinheiro.

TL;DR

• Microempresa e empresa de pequeno porte (faturamento até R$ 4,8 milhões/ano) têm regras mais leves pela Resolução CD/ANPD nº 2/2022: podem dispensar o encarregado, fazer registro simplificado e ganham prazo em dobro. Mas não ficam isentas da lei.
• O mínimo real: canal de contato para titulares, inventário de dados, base legal por finalidade, cláusulas de proteção de dados nos contratos com fornecedores e um plano de incidente de uma página.
• Incidente relevante deve ser comunicado à ANPD e aos titulares em 3 dias úteis; para pequeno porte, 6 dias úteis. O registro de todos os incidentes fica guardado por 5 anos.
• A ANPD virou agência reguladora em 2026 (Lei nº 15.352/2026) e está revisando as regras de fiscalização. A primeira multa da história da LGPD foi para uma microempresa.
• Comprar "kit LGPD" pronto quase nunca resolve: o documento precisa descrever o que a sua empresa realmente faz.

Antes de começar, um aviso honesto. Eu não sou advogado. Sou desenvolvedor e CTO, e há mais de 15 anos opero servidores, Moodle com dados de alunos, hospedagem gerenciada e integrações com a API oficial do WhatsApp. O que segue é a visão de quem implementa a parte técnica e operacional da lei, o lado que mais falha nas empresas pequenas. Para redação final de contratos, um advogado de proteção de dados continua sendo a pessoa certa.

LGPD na prática começa por saber se você é pequeno porte

A Lei nº 13.709/2018 vale para qualquer empresa que trate dados pessoais: nome, CPF, telefone, e-mail, endereço, foto, histórico de compra. Se você tem cliente, funcionário ou lead, você trata dados pessoais. Não existe empresa pequena demais para a LGPD, e é por isso que falar de LGPD na prática começa pelo porte, não pelo documento.

O que existe é um regime mais leve. A Resolução CD/ANPD nº 2/2022 define como agentes de tratamento de pequeno porte as microempresas, empresas de pequeno porte, startups, entidades sem fins lucrativos e até pessoas naturais que tratam dados como controladoras. Na prática, o corte é o faturamento do Simples: até R$ 4,8 milhões de receita bruta anual (para startups, o limite da Lei Complementar nº 182/2021).

Quem perde o benefício

O art. 3º da resolução tira o regime simplificado de quem faz tratamento de alto risco. É alto risco quando você combina um critério geral (larga escala ou tratamento que pode afetar significativamente direitos dos titulares) com um critério específico, como:

• uso de dados sensíveis (saúde, biometria, religião, filiação sindical) ou de crianças, adolescentes e idosos;
• decisões tomadas só por algoritmo, como aprovação de crédito automática;
• vigilância de áreas acessíveis ao público;
• uso de tecnologias emergentes ou inovadoras.

Uma clínica com dez funcionários que guarda prontuários, ou uma escola de cursos livres com alunos menores no Moodle, precisa olhar para isso com cuidado. Uma loja de material de construção com cadastro de clientes, provavelmente não.

O que muda de verdade

Obrigação	Empresa comum	Pequeno porte (sem alto risco)
Encarregado (DPO)	Obrigatório	Dispensado, desde que mantenha canal de comunicação com o titular
Registro das operações (art. 37)	Completo	Simplificado, com modelo gratuito da ANPD
Política de segurança	Proporcional ao risco	Pode ser simplificada
Prazo para atender titular e comunicar incidente	Normal	Em dobro
Bases legais, princípios e direitos do titular	Obrigatórios	Continuam obrigatórios

A última linha é a que as pessoas esquecem. O art. 6º da resolução diz com todas as letras que a flexibilização não isenta ninguém das bases legais, dos princípios e dos direitos dos titulares. LGPD na prática para pequeno porte é menos papel, não menos responsabilidade.

Encarregado ou canal: a primeira peça da LGPD na prática

O encarregado, o famoso DPO, é a pessoa que recebe reclamações dos titulares, conversa com a ANPD e orienta a equipe. Para empresa comum, o art. 41 da LGPD obriga a indicar um e publicar nome e contato no site. A Resolução CD/ANPD nº 18/2024 detalhou o papel: indicação por ato formal, substituto para ausências e cuidado com conflito de interesse.

Para quem é pequeno porte, o art. 11 da Resolução nº 2/2022 dispensa o encarregado, mas exige um canal de comunicação com o titular. E há um detalhe que vale dinheiro: indicar um encarregado mesmo assim conta como boa prática de governança, um dos atenuantes que a ANPD considera na hora de calcular uma sanção (art. 52, §1º, IX da LGPD).

Como fazer sem contratar ninguém

1. Crie um e-mail específico, como [email protected], e publique na política de privacidade e no rodapé do site.
2. Defina uma pessoa que lê esse e-mail toda semana. Em empresa de dez pessoas, costuma ser o sócio administrativo ou quem cuida do financeiro.
3. Escreva um roteiro curto de resposta: confirmar a identidade do solicitante, localizar os dados, responder dentro do prazo e registrar o pedido.
4. Se decidir indicar formalmente essa pessoa como encarregada, faça um documento simples, datado e assinado. Custa nada e pesa a seu favor.

Quando não fazer

Não indique como encarregado alguém que decide sozinho sobre o uso dos dados e ao mesmo tempo deveria fiscalizar esse uso, como o diretor de marketing que compra listas de leads. E não terceirize para um "DPO as a service" que você nunca viu, que não conhece seus sistemas e só empresta o nome para o site. Na nossa leitura, isso é fachada, e fachada não ajuda quando o problema real aparece.

Inventário de dados: o mapa que sustenta todo o resto

O inventário, ou registro das operações de tratamento, é a planilha que responde: que dados eu coleto, de quem, para quê, onde ficam, com quem compartilho e por quanto tempo guardo. Sem ele, todo o resto é chute. Se eu tivesse que escolher uma única tarefa de LGPD na prática para uma empresa de dez pessoas, seria esta. Você não consegue escolher base legal, revisar contrato nem responder a um titular se não sabe onde o dado mora.

A boa notícia: em junho de 2023 a ANPD publicou um modelo de registro simplificado para agentes de pequeno porte, uma planilha com poucos campos (categorias de titulares, dados, compartilhamento, medidas de segurança, tempo de guarda, finalidade e base legal). O uso do modelo não é obrigatório, mas é o caminho mais curto.

Como montar em uma tarde

Reúna as três ou quatro pessoas que mais mexem com dados e percorra os processos da empresa, um por linha:

• Vendas e atendimento: CRM, planilhas de orçamento, WhatsApp, formulário do site.
• RH: ficha de admissão, exames, folha, ponto, currículos recebidos.
• Financeiro: notas fiscais, cobrança, dados bancários de fornecedores.
• Marketing: lista de e-mail, pixels de anúncio, públicos personalizados.
• TI: backups, logs de servidor, câmeras, contas de e-mail.

Para cada linha, anote onde o dado fica de verdade: "Google Drive do sócio", "servidor da hospedagem", "celular da vendedora". É nessa coluna que aparecem as surpresas.

A armadilha que mais encontramos

Nos diagnósticos que fazemos, o inventário quase sempre revela as mesmas três coisas: currículos de anos atrás guardados num e-mail sem prazo de descarte, planilhas com CPF de clientes compartilhadas por link público e backups antigos que ninguém sabe que existem. Em servidores que assumimos de outros fornecedores, já encontramos cópias completas do banco de dados de um Moodle esquecidas numa pasta acessível pela web. O dado mais perigoso é o que você esqueceu que tem, e é por isso que a LGPD na prática começa pelo mapa.

Base legal: a LGPD na prática vai além do consentimento

Toda vez que você usa um dado pessoal, precisa de uma das hipóteses do art. 7º da LGPD (ou do art. 11, para dados sensíveis). O erro mais comum em empresa pequena é achar que tudo depende de consentimento e sair colocando caixinha de "aceito" em todo formulário.

Consentimento é a base mais frágil: o titular pode revogar a qualquer momento, e você precisa provar que ele foi livre, informado e específico. Na LGPD na prática do dia a dia, a maior parte da rotina de uma empresa tem bases melhores:

Processo	Base legal mais comum	Observação
Emitir nota fiscal e guardar documentos contábeis	Cumprimento de obrigação legal	Não depende de autorização do cliente
Entregar o produto ou prestar o serviço contratado	Execução de contrato	Inclui o contato por WhatsApp sobre o pedido
Folha de pagamento, eSocial, FGTS	Obrigação legal	Exames ocupacionais envolvem dado sensível de saúde
Cobrança de inadimplente	Exercício regular de direitos / proteção do crédito	Sem expor o devedor
Newsletter e ofertas para quem não é cliente	Consentimento	Opt-in claro e descadastro fácil
Câmeras e controle de acesso	Legítimo interesse (segurança)	Exige avaliação de equilíbrio e aviso visível

Legítimo interesse tem regra

Legítimo interesse não é coringa. Ele exige que o uso seja algo que o titular razoavelmente espera, que você registre o raciocínio e que respeite os direitos dele. Mandar oferta para um cliente que comprou mês passado tende a passar. Comprar lista de telefones e disparar mensagem, não. Foi exatamente esse tipo de prática que gerou a primeira multa da LGPD, como veremos adiante.

Se a sua empresa usa IA para responder clientes ou resumir documentos, a base legal vale também para o que entra nessas ferramentas. Escrevi sobre isso no guia de política de uso de IA na empresa, que complementa esta parte.

Contratos com fornecedores: quem é operador e o que exigir

Na LGPD, sua empresa normalmente é a controladora: decide para que os dados servem. Quem trata dados em seu nome é operador: a hospedagem do site, o sistema de gestão na nuvem, o contador, a plataforma de e-mail marketing, o provedor de WhatsApp. Pela lei, controlador e operador podem responder juntos por danos, então o contrato com cada operador importa.

Uma empresa de dez pessoas costuma ter vários fornecedores que tocam dados pessoais, e LGPD na prática inclui saber quem são. Você não precisa renegociar todos amanhã. Comece pelos que guardam mais dados ou dados mais sensíveis.

O que o contrato precisa dizer

• que o fornecedor só trata os dados conforme as suas instruções e para a finalidade contratada;
• quais medidas de segurança ele mantém (criptografia, controle de acesso, backup);
• em quanto tempo ele avisa você de um incidente, idealmente em 24 a 48 horas, para você conseguir cumprir o seu prazo com a ANPD;
• se ele usa suboperadores e onde os dados ficam (Brasil ou exterior);
• o que acontece com os dados no fim do contrato: devolução e eliminação.

O que vemos do lado de cá do balcão

Como hospedagem e desenvolvedores, nós somos operadores dos nossos clientes. Na hospedagem gerenciada de Moodle, por exemplo, guardamos dados de milhares de alunos, às vezes menores de idade, e a pergunta "em quanto tempo vocês me avisam de um incidente?" deveria estar em toda negociação. Raramente está.

Na API oficial do WhatsApp há uma camada extra: a Meta processa as mensagens, o provedor da plataforma de atendimento também, e sua empresa é a controladora das conversas. Vale saber onde os históricos ficam e por quanto tempo. Se você opera Moodle, o guia de LGPD no Moodle aprofunda o caso de instituições de ensino.

Quando o fornecedor só oferece termos padrão, como as grandes nuvens, leia o anexo de proteção de dados (o DPA) dele, guarde uma cópia e registre no inventário. Não dá para negociar com o Google, mas dá para saber o que ele promete. Isso também é LGPD na prática feita com honestidade.

Plano de incidente: LGPD na prática em uma página

Na LGPD na prática do dia a dia, incidente de segurança é qualquer evento que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais: notebook roubado, e-mail invadido, planilha enviada para o cliente errado, ransomware no servidor.

O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), que detalha o art. 48 da LGPD, define as regras. Em LGPD na prática para empresa pequena, o que importa é isto:

• a comunicação à ANPD e aos titulares é obrigatória quando o incidente pode causar risco ou dano relevante, por exemplo quando envolve dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, senhas e dados de autenticação, dados protegidos por sigilo ou dados em larga escala;
• o prazo é de 3 dias úteis a partir do momento em que você sabe que o incidente afetou dados pessoais;
• para pequeno porte, o prazo é contado em dobro (6 dias úteis), salvo quando há risco à integridade física ou moral dos titulares;
• a comunicação é feita por formulário eletrônico da ANPD;
• todo incidente, comunicado ou não, deve ficar registrado por no mínimo 5 anos.

O plano cabe numa folha

1. Quem decide: nome e telefone de quem coordena (sócio) e de quem cuida da parte técnica (interno ou fornecedor).
2. Primeira hora: isolar o problema, trocar senhas, preservar evidências. Não apague logs.
3. Primeiro dia: descobrir quais dados e quantas pessoas foram afetados. Aqui o inventário paga o investimento.
4. Até o prazo: decidir se há risco relevante, comunicar ANPD e titulares se for o caso.
5. Depois: registrar o incidente e o que mudou para não repetir.

Prevenção que custa pouco

A Resolução nº 2/2022 aceita uma política de segurança simplificada, e a ANPD publicou um guia de segurança para agentes de pequeno porte. Em LGPD na prática a prevenção é a parte mais barata: autenticação em dois fatores em e-mail e sistemas (detalhei no guia de autenticação em dois fatores na empresa), backup com cópia fora do alcance de um ransomware, revogação de acessos no dia em que alguém sai da empresa e sistemas atualizados. A maior parte dos incidentes que atendemos começou numa senha reutilizada, não num ataque sofisticado.

Armadilhas, custos e o que a ANPD está fiscalizando em 2026

A LGPD na prática ficou mais séria nos últimos meses. A MP nº 1.317/2025 foi convertida na Lei nº 15.352/2026, e a ANPD virou agência reguladora, com autonomia e 200 cargos de especialista criados. Em setembro de 2026 ela abriu a Consulta Pública nº 1/2026 para revisar o regulamento de fiscalização e o processo sancionador, com contribuições até 26 de outubro de 2026.

As sanções previstas no art. 52 vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. E o histórico mostra que porte pequeno não protege: a primeira multa da LGPD, publicada em julho de 2023, foi aplicada à Telekall Infoservice, uma microempresa, por oferecer listas de contatos de WhatsApp para campanha eleitoral. Foram R$ 14.400 em multas, mais uma advertência por não ter indicado encarregado nem demonstrado base legal.

Onde as empresas pequenas perdem dinheiro

• Kit LGPD pronto. Modelos genéricos de política de privacidade descrevem uma empresa que não é a sua. Se o documento diz que você não compartilha dados e o seu CRM fica nos Estados Unidos, ele vira prova contra você.
• Banner de cookies decorativo. Botão de "aceitar" que não bloqueia pixel nenhum até o clique não cumpre o que promete.
• Projeto de adequação de seis meses. Para dez funcionários, a LGPD na prática cabe em poucas semanas de trabalho focado.
• Fazer uma vez e esquecer. A LGPD na prática é rotina: o inventário muda quando você contrata um sistema novo, e o contrato muda quando troca de fornecedor.

Quanto custa, de verdade

A LGPD na prática pode sair perto de zero se alguém da empresa tiver tempo: o modelo de registro da ANPD é gratuito, o canal de comunicação é um e-mail e o plano de incidente é uma folha. O custo aparece em três lugares: horas da equipe para montar o inventário, revisão jurídica dos contratos mais sensíveis e correções técnicas, como ativar 2FA, organizar backups e fechar acessos. Essa última parte é onde a maioria trava, porque exige alguém que entenda de servidor, sistema e fornecedor ao mesmo tempo.

Se você leu até aqui e percebeu que não sabe onde estão os dados da sua empresa, o problema não é jurídico, é de diagnóstico. É exatamente o ponto de partida de uma consultoria de tecnologia com foco em segurança e LGPD.

Como a Agathas Web resolve isso

A maioria das empresas pequenas não precisa de um DPO contratado em tempo integral para colocar a LGPD na prática em pé. Precisa de alguém que mapeie o cenário técnico uma vez, corrija o que está exposto e deixe a rotina simples o bastante para o próprio time manter.

Na consultoria da Agathas Web, segurança e LGPD são um dos vetores que auditamos em todo diagnóstico. Com a gente, a LGPD na prática funciona assim:

• Conversa inicial gratuita para entender a empresa, os sistemas e onde estão os dados mais sensíveis.
• Mergulho técnico com acesso somente leitura, sob NDA bilateral assinado antes de começar: mapeamos onde os dados ficam, quem tem acesso, como estão backups, senhas e fornecedores.
• Entregáveis práticos: inventário de dados preenchido, plano de incidente, política de acessos, lista de contratos com fornecedores a revisar e as correções técnicas priorizadas.
• Execução ou acompanhamento: se você quiser, implementamos as correções (2FA, backups, hardening de servidor, revisão de acessos); ou acompanhamos o seu time no formato CTO as a Service.

Uma auditoria pontual de segurança dura de 2 a 3 semanas e fica entre R$ 6 mil e R$ 12 mil, com orçamento fechado depois da conversa inicial. Quem conduz é sócio da empresa, com experiência operando Moodle em produção, hospedagem gerenciada, desenvolvimento de sistemas e integrações com a API oficial do WhatsApp. Não somos escritório de advocacia: quando o caso pede revisão jurídica, dizemos isso no relatório e entregamos o material técnico que o seu advogado precisa. E como não revendemos software, a recomendação é a que serve para você.

Conclusão: LGPD na prática é rotina, não documento

Para uma empresa de dez funcionários, LGPD na prática se resume a cinco peças: um canal de comunicação (ou encarregado), um inventário honesto, uma base legal para cada finalidade, contratos que digam o que o fornecedor faz com seus dados e um plano de incidente que alguém sabe usar. O regime de pequeno porte deixa tudo mais leve, mas não apaga a lei, e a ANPD está mais estruturada do que nunca para fiscalizar.

Comece esta semana pelo inventário: reúna quem mexe com dados e preencha a planilha da ANPD. Se travar na parte técnica, ou se descobrir dados onde não deveriam estar, agende um diagnóstico gratuito com a Agathas Web e saia com um plano que cabe no tamanho da sua empresa.