LGPD para pequenas empresas: por onde começar

LGPD para pequenas empresas quase nunca entra na agenda por iniciativa própria. O assunto chega de fora: um cliente grande manda um questionário de conformidade antes de renovar o contrato, uma cláusula de proteção de dados aparece na minuta, alguém pede para ter o cadastro apagado. A empresa procura a lei, encontra um texto jurídico e sai com uma de duas conclusões erradas: que precisa de um projeto caro ou que aquilo é problema de empresa grande.

Não é nem uma coisa nem outra. O porte reduz a formalidade esperada, não a obrigação. O que a lei cobra de uma operação pequena, em linguagem de rotina, é um conjunto enxuto de decisões organizadas, escritas e mantidas vivas. A diferença entre a empresa em ordem e a que não está raramente é o tamanho do investimento — é a existência de registro.

Este texto trata do começo: o mapa de dados, a distinção entre dado pessoal e dado sensível, o motivo registrado de cada tratamento, quem responde pelo quê quando há fornecedor no meio, o que fazer quando alguém cobra os próprios dados e o que precisa acontecer no dia de um incidente. O foco é duplo: o que sua empresa precisa fazer e o que precisa conseguir mostrar se for questionada. Uma ressalva: este material organiza a rotina operacional do tema e não substitui a orientação do seu jurídico.

LGPD para pequenas empresas: o que a lei cobra, em linguagem de operação

Tire o vocabulário jurídico e a Lei Geral de Proteção de Dados Pessoais vira um conjunto de perguntas que a empresa precisa conseguir responder a qualquer momento, sem reunião de emergência:

• Que informações de pessoas a sua empresa tem hoje — de clientes, funcionários, candidatos, fornecedores e visitantes?
• Por que você tem cada uma delas, e esse motivo continua válido?
• Quem consegue acessar cada base, dentro e fora da empresa, e com quem elas são compartilhadas?
• Por quanto tempo ficam, e o que acontece quando deixam de ser necessárias?
• Como são protegidas, quem responde por isso e o que a empresa faz quando o dono do dado pede algo ou quando alguma coisa dá errado?

Nenhuma exige software novo. Todas exigem decisão registrada. A lei trabalha com a lógica da prestação de contas: estar certo não basta, é preciso demonstrar que está. Quem faz tudo direito e não anota nada fica, na prática, na mesma posição de quem não fez.

Dois princípios funcionam como régua no dia a dia. A finalidade: todo dado é coletado para um uso específico e declarado, e usá-lo para outra coisa exige nova justificativa. E a minimização: colete apenas o que a finalidade exige — campo de formulário que ninguém usa é risco guardado sem contrapartida.

Comece pelo mapa de dados, e não pelo documento

O erro mais comum é começar pelo fim: copiar um modelo de política de privacidade da internet, publicar no site e considerar o assunto encerrado. Documento sem mapa é ficção — descreve uma empresa que não é a sua, e a incoerência entre o texto e a prática é o que aparece quando alguém verifica. Comece pelo inventário: percorra a operação e liste cada lugar em que informação de pessoa entra, fica ou sai.

• Onde o dado entra. Formulário do site, mensagem de aplicativo, cadastro no sistema de gestão, currículo, ficha de admissão, controle de ponto, câmera, portaria.
• Onde o dado fica. Sistema de gestão, servidor de arquivos, pasta sincronizada em nuvem, caixa de e-mail, planilha na máquina de alguém, papel na gaveta.
• Quem acessa. Nomeie pessoas e perfis, não departamentos. A pergunta é quem consegue abrir, não quem deveria abrir.
• Para onde vai. Contabilidade, folha, plataforma de e-mail marketing, transportadora, plano de saúde, banco, prestador de serviço de TI.
• Por quanto tempo fica e o que acontece depois. Eliminação, anonimização ou arquivamento com acesso restrito — e como isso é comprovado.

Uma planilha simples resolve. Esse mapa sustenta as outras decisões e é o primeiro documento que você mostra quando perguntam como a sua empresa trata dados. Coloque data de atualização e o nome de quem responde por ele.

Duas descobertas são quase garantidas: a base paralela, criada por conveniência sem que ninguém soubesse, e a coleta sem uso, com campos que nenhum processo consome. Reduzir superfície é a forma mais barata de reduzir risco.

Dado pessoal e dado sensível: a distinção que muda o cuidado

Dado pessoal é qualquer informação que identifica uma pessoa ou permite chegar até ela: nome, documento, endereço, telefone, e-mail nominal, foto — e também o que passa batido, como o código interno que a empresa consegue ligar a alguém e o histórico de compra associado a um cadastro.

Dentro desse conjunto há uma categoria mais delicada, o dado pessoal sensível, que reúne informações cujo uso indevido expõe a pessoa a discriminação: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dados de saúde ou vida sexual e dados genéticos ou biométricos.

A reação típica da empresa pequena é concluir que não trata nada disso, e quase sempre está enganada. Atestado e afastamento médico são dado de saúde. Leitura de digital ou de rosto no ponto é dado biométrico. Desconto de contribuição sindical na folha revela filiação.

A consequência vale escrever no mapa: dado sensível admite um leque mais estreito de justificativas, exige acesso mais restrito — idealmente nominal e registrado — e torna qualquer incidente mais grave. Informação de criança e de adolescente segue a mesma lógica reforçada, com atenção a quem autoriza o tratamento.

Marque no mapa quais linhas contêm dado sensível: a marcação orienta onde investir primeiro em controle de acesso. Se a sua empresa ainda monta essa camada, o guia de segurança da informação para pequenas e médias empresas cobre a base que a conformidade pressupõe.

Base legal: o motivo pelo qual você guarda cada dado

A lei não proíbe usar dado pessoal. Ela exige que cada uso tenha um motivo previsto, escolhido antes e registrado — a base legal. É aqui que a maioria das empresas pequenas tropeça, por copiar o hábito errado: tratar consentimento como resposta universal. Pedir autorização parece a saída mais segura e costuma ser a pior escolha, porque o consentimento precisa ser livre, informado e específico, pode ser retirado a qualquer momento — obrigando a empresa a parar de usar o dado — e é desnecessário quando existe justificativa mais firme.

Na rotina de uma PME, a maior parte dos tratamentos se apoia em motivos mais sólidos. Guardar dados de folha e de obrigação fiscal existe porque outra norma manda guardar. Usar os dados do cliente para emitir a nota, entregar e cobrar existe porque há contrato em execução. Registrar a entrada de visitantes pode se apoiar no interesse legítimo da empresa, dentro de um limite razoável e nunca para dado sensível. Consentimento fica reservado ao que é opcional de verdade.

Transforme isso em exercício. Para cada linha do seu mapa, complete a frase: “tratamos este dado porque…”. Se ela só fecha com “porque sempre fizemos assim”, você encontrou um tratamento que provavelmente não deveria existir. Elimine em vez de justificar.

Falta a transparência: a pessoa precisa saber o que você faz com os dados dela, e isso vira aviso de privacidade no site, texto claro no formulário e cláusula no contrato. O critério de qualidade é a coerência — o aviso descreve exatamente o que o mapa registra.

Controlador, operador e o contrato com fornecedor

A lei separa dois papéis, e saber qual é o seu em cada fluxo muda a sua responsabilidade: controlador é quem decide por que e como o dado é tratado; operador é quem trata o dado em nome do controlador, seguindo instruções.

A maioria das empresas pequenas ocupa os dois papéis em momentos diferentes. Ao tratar dados dos seus clientes e funcionários, você é controlador. Ao prestar um serviço que envolve dados da operação de um cliente — como faz um escritório contábil com a folha ou um prestador de TI com o ambiente onde os dados moram —, você é operador naquele fluxo. O papel vem do que você decide, não do nome do contrato: quem escolhe a finalidade é controlador, e terceirizar a execução não terceiriza a responsabilidade. Como operador vale o inverso — a base que você acessa para prestar o serviço não vira sua base de prospecção.

Anote no mapa, por fluxo, em qual papel a sua empresa está. Feito isso, o instrumento que organiza a relação com quem toca esses dados é o contrato — vale para sistema de gestão, plataforma de e-mail, contabilidade, folha, prestador de TI e serviço em nuvem. O que precisa estar escrito:

• A finalidade e o limite do uso. Para que ele pode usar os dados e o que fica expressamente fora.
• A proibição de uso para finalidade própria e a regra de subcontratação: se ele pode repassar o tratamento a terceiros e sob quais condições.
• As medidas de segurança que ele mantém e quem responde por elas. “Ambiente seguro” não é compromisso, é adjetivo.
• A obrigação de comunicar incidente imediatamente, com canal e gatilho, e o apoio para responder pedido de titular a tempo de você cumprir o seu prazo.
• O que acontece no encerramento: devolução ou eliminação dos dados, prazo e comprovação de que ela ocorreu.
• O registro de acessos, a evidência que você pode exigir e onde os dados ficam armazenados, especialmente quando há tratamento fora do país.

Peça evidência, não declaração: fornecedor que responde com uma frase genérica sobre compromisso com a privacidade está devolvendo o risco para você. É a mesma lógica de governança em TI: dono, critério e prestação de contas — sem dono nomeado, nada disso se mantém vivo.

Quando o titular cobra: o pedido que exige resposta

A pessoa dona do dado pode procurar a sua empresa para confirmar se você trata informações dela, obter acesso, corrigir o que está errado, pedir eliminação quando cabível, saber com quem você compartilhou e retirar o consentimento quando essa era a justificativa. O pedido chega por e-mail, mensagem, formulário ou pessoalmente, e precisa ser tratado como processo. Monte o procedimento antes de precisar dele:

• Declare um canal de contato e indique quem responde por ele. Ter alguém nomeado para questões de dados pessoais é parte do que se espera de qualquer empresa, inclusive das pequenas.
• Registre o pedido com data de entrada, como um chamado com prazo. A lei estabelece prazo de resposta, e depender de memória é a forma mais fácil de perdê-lo.
• Confirme a identidade de quem pediu sem coletar mais informação do que o necessário.
• Use o mapa de dados para localizar tudo, incluindo cópias em planilhas e caixas de e-mail. É aqui que o inventário paga o esforço.
• Responda por escrito, sempre. Inclusive quando a resposta é negativa: há casos em que a eliminação não pode ser atendida, como quando a guarda é exigida por obrigação legal. Explique o motivo em vez de ignorar.
• Arquive o pedido e a resposta. Esse histórico prova que o canal funciona.

Empresa que responde bem ao primeiro pedido raramente vira caso; a que responde tarde e mal transforma um contato simples em reclamação formal.

Incidente com dado pessoal: o que precisa acontecer no dia

Incidente não é só ataque. É também o anexo enviado ao destinatário errado, a pasta compartilhada por link público, o notebook esquecido no carro e a base exportada por quem estava de saída. O que a sua empresa precisa conseguir fazer:

• Detectar e reconhecer. Alguém precisa ter autoridade para dizer que aquilo é um incidente com dado pessoal, e não um chamado comum. Saber como identificar um incidente de segurança na sua empresa evita que o caso seja tratado como suporte de rotina enquanto o relógio corre.
• Conter. Cortar acesso indevido, revogar credencial, desativar link, isolar equipamento — antes de discutir responsabilidade.
• Avaliar o risco para as pessoas. Que dados foram atingidos, se havia dado sensível e que consequência isso gera para quem foi afetado. É o que define o tamanho da resposta.
• Comunicar quem precisa ser comunicado. Quando o incidente puder gerar risco relevante aos titulares, a autoridade de proteção de dados e as pessoas afetadas precisam ser informadas, em prazo razoável e com informação útil sobre o que elas devem fazer. Não existe versão em que esconder melhora a situação.
• Registrar do começo ao fim. O que aconteceu, quando a empresa soube, o que foi feito e quem decidiu. Sem registro você não demonstra que agiu — e demonstrar que agiu é metade da defesa.
• Corrigir a causa. Todo incidente termina em mudança concreta: permissão revista, procedimento alterado ou controle implantado.

Tudo isso se apoia na camada técnica — controle de acesso, cópia protegida, monitoramento e atualização em dia. Vale revisar como proteger os dados da empresa na prática em paralelo: conformidade sem segurança é papel, e segurança sem registro não se demonstra.

Checklist: o que você precisa conseguir mostrar se for questionado

Marque apenas o que existe hoje documentado e acessível — não o que está na cabeça de alguém:

• O mapa de dados está montado, com origem, finalidade, acesso, compartilhamento, prazo de guarda e responsável nomeado.
• Cada tratamento tem motivo escrito, e o consentimento aparece só onde a escolha é realmente opcional.
• As linhas com dado sensível estão marcadas e têm acesso mais restrito que o restante.
• O aviso de privacidade publicado descreve o que o mapa registra, e está anotado, por fluxo, se a empresa atua como controladora ou operadora.
• Os contratos com fornecedores que tocam dados trazem finalidade, segurança, comunicação de incidente, apoio ao titular e destino dos dados no encerramento.
• Existe canal declarado para pedidos de titular, com responsável, registro de entrada, prazo controlado e histórico de respostas.
• Existe procedimento escrito de incidente, com quem aciona, o que se faz primeiro e como o caso é registrado.
• Os prazos de guarda estão definidos e há evidência de que a eliminação acontece quando vencem.
• A lista de quem acessa cada base é revisada e o desligamento remove acesso em todos os lugares.
• A orientação dada à equipe está registrada, assim como as decisões relevantes: o que foi decidido, por quem e quando.

Se a maior parte ficou sem marcação, o problema não é falta de sistema: é ausência de registro — e registro se constrói com uma planilha, uma reunião e um responsável nomeado.

Próximo passo

LGPD para pequenas empresas não é um projeto com data de encerramento nem um documento no rodapé do site. É rotina: saber que dado você tem, por que tem, quem acessa, quanto tempo guarda, como protege e como responde quando alguém pergunta. Empresa em ordem não é a que promete nunca falhar — é a que consegue mostrar o que faz.

A OpTec IT trabalha com empresas de pequeno e médio porte que precisam sustentar essa exigência sem parar a operação, organizando controle de acesso, proteção do ambiente, cópia segura e registro do que acontece. Se você já mapeou onde os dados estão e precisa fechar a parte técnica, conheça os serviços de segurança da informação da OpTec IT e leve o checklist acima para a conversa. Descreva onde os dados pessoais da sua operação moram hoje e a nossa equipe ajuda a definir o que resolver primeiro.