LGPD para Pequenas Empresas: Guia Prático de Adequação em 2026

Em agosto de 2020 entrou em vigor a Lei Geral de Proteção de Dados (LGPD) — Lei 13.709/2018. Desde então, toda empresa que coleta, armazena ou usa dados pessoais de clientes, fornecedores ou funcionários está sujeita às suas regras. Isso inclui o MEI que guarda o WhatsApp dos clientes e a pequena loja que coleta CPF na nota fiscal.

A boa notícia: adequar uma pequena empresa à LGPD não exige juristas ou sistemas caros. Exige, sim, organização, bom senso e algumas medidas práticas. Neste guia você vai entender o que a lei requer e como implementar em cada etapa do seu negócio.

O que é a LGPD?

A LGPD é a lei brasileira de proteção de dados pessoais, inspirada no GDPR europeu. Ela estabelece as regras sobre como empresas e pessoas podem coletar, armazenar, usar, compartilhar e eliminar informações que identificam ou permitem identificar uma pessoa física.

A lei é fiscalizada pela ANPD (Autoridade Nacional de Proteção de Dados), criada em 2020, com sede em Brasília. A ANPD pode aplicar advertências, bloqueio de dados e multas até o limite legal.

Quem está obrigado a cumprir a LGPD?

Qualquer empresa, de qualquer porte, que realize tratamento de dados pessoais de pessoas físicas localizadas no Brasil. Isso abrange:

• MEI que salva o contato do cliente no celular ou usa um software de agendamento
• Microempresa (ME) com cadastro de clientes em planilha ou sistema
• Pequena empresa com e-commerce, CRM ou software de gestão
• Empresas de qualquer setor: comércio, serviços, indústria, saúde, educação

Exceção: o tratamento realizado por pessoa física para fins exclusivamente particulares e não econômicos (ex.: agenda pessoal do seu celular) está fora do escopo da LGPD.

Principais conceitos que você precisa conhecer

Dados pessoais vs. dados sensíveis

Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, endereço, e-mail, telefone, IP, localização GPS, número de pedido vinculado ao CPF.

Dado sensível merece proteção reforçada: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético, dado biométrico, dado sobre saúde ou vida sexual. Empresas de saúde, academias e RH lidam com esses dados com frequência.

Os papéis na LGPD

As 10 bases legais para tratar dados

Você só pode usar dados pessoais se houver uma base legal que autorize. A LGPD lista 10 hipóteses (art. 7º). Para pequenas empresas, as mais comuns são:

• Consentimento: o titular autorizou expressamente — usado em newsletters, listas de transmissão no WhatsApp, e-mail marketing
• Execução de contrato: necessário para cumprir um contrato com o titular — cadastro de clientes, emissão de NF, entrega de produto
• Obrigação legal: a lei exige — retenção de dados fiscais por 5 anos (Código Tributário Nacional), dados trabalhistas por prazos previdenciários
• Legítimo interesse: para fins legítimos, desde que não prevaleçam direitos e liberdades do titular — análise de crédito, prevenção a fraudes
• Proteção do crédito: para consultar o SPC/Serasa antes de vender a prazo

Dica prática: para cada tipo de dado que sua empresa coleta, documente qual base legal justifica aquele tratamento. Isso vale para clientes, fornecedores, funcionários e contatos de prospecção.

Direitos dos titulares que você precisa respeitar

O art. 18 da LGPD garante ao titular o direito de pedir à sua empresa:

• Confirmação se você trata dados dele
• Acesso a quais dados você tem
• Correção de dados incompletos ou desatualizados
• Anonimização ou bloqueio de dados desnecessários
• Portabilidade dos dados para outro fornecedor
• Eliminação dos dados tratados com consentimento
• Revogação do consentimento a qualquer momento
• Informação sobre com quem você compartilha os dados

Você tem até 15 dias para responder uma solicitação de titular. Tenha um canal acessível (e-mail, formulário ou WhatsApp) e anote todas as solicitações recebidas.

O que sua empresa precisa fazer: checklist de adequação

1. Mapeie os dados que você coleta

Antes de qualquer ação, liste onde estão os dados pessoais na sua empresa. Esse levantamento se chama Data Mapping ou mapeamento de dados. Pergunte-se:

• Que dados coleto? (nome, CPF, telefone, endereço, e-mail, IP, histórico de compras…)
• Para que finalidade? (emitir NF, enviar promoções, cobrar inadimplentes…)
• Por quanto tempo armazeno?
• Com quem compartilho? (sistema de gestão, transportadora, parceiros…)
• Como elimino quando não preciso mais?

2. Defina uma base legal para cada tratamento

Ao mapear, associe cada tipo de dado a uma das 10 bases legais. Se um dado não se enquadra em nenhuma, você não deve coletá-lo.

3. Revise ou crie a Política de Privacidade

Todo site ou app que coleta dados deve ter uma Política de Privacidade clara e acessível. Ela deve informar:

• Quais dados são coletados e para qual finalidade
• Por quanto tempo são armazenados
• Com quem são compartilhados
• Como o titular pode exercer seus direitos
• Dados de contato do DPO ou responsável

4. Adeque os formulários de coleta de dados

Formulários físicos ou digitais de cadastro de clientes, contratos e fichas de funcionários devem:

• Informar a finalidade da coleta
• Indicar a base legal
• Coletar apenas os dados realmente necessários (princípio da minimização)
• Incluir campo de consentimento quando a base for consentimento

5. Proteja os dados com medidas de segurança

A LGPD não exige certificações caras, mas exige medidas razoáveis de segurança conforme o porte da empresa. Para uma PME, isso significa:

• Senhas fortes e autenticação em dois fatores nos sistemas
• Acesso restrito: cada colaborador acessa só o que precisa
• Backup regular dos dados em local seguro
• Softwares atualizados (evita brechas de segurança)
• Contrato com fornecedores de tecnologia que garanta segurança (cláusula DPO)

6. Nomeie um encarregado (DPO)

O Encarregado de Proteção de Dados (DPO — Data Protection Officer) é o canal entre a empresa, os titulares e a ANPD. Para a maioria das PMEs, não precisa ser uma pessoa dedicada — pode ser o próprio dono, um funcionário de confiança ou um prestador de serviço externo.

O nome e o contato do DPO devem ser publicados na Política de Privacidade do site.

7. Crie um procedimento para incidentes de segurança

Se houver um vazamento de dados, você tem até 72 horas para comunicar a ANPD (quando o incidente for de risco ou dano relevante) e, em prazo razoável, informar os titulares afetados. Tenha um plano simples:

1. Identifique o que vazou e quantas pessoas foram afetadas
2. Contenha o incidente (altere senhas, bloqueie acessos)
3. Notifique a ANPD pelo portal gov.br
4. Comunique os titulares afetados
5. Documente tudo

8. Revise contratos com parceiros e fornecedores

Quando você compartilha dados com um parceiro (sistema de gestão, transportadora, contador, plataforma de e-mail marketing), esse parceiro é um operador. Seus contratos devem incluir uma cláusula de proteção de dados que exija que o parceiro trate os dados conforme a LGPD e apenas para a finalidade acordada.

Penalidades da LGPD: o que pode acontecer

A ANPD pode aplicar sanções administrativas (art. 52 da LGPD) que variam conforme a gravidade:

Na prática, a ANPD tem priorizado casos de grande impacto e começado com advertências para PMEs. Mas ignorar completamente a LGPD é um risco crescente, especialmente à medida que a autoridade amplia sua capacidade de fiscalização.

Além das sanções da ANPD, o titular pode buscar indenização civil por danos materiais ou morais decorrentes do mau uso de seus dados.

LGPD e MEI: precisa se preocupar?

Sim. A lei não faz distinção de porte. O MEI que mantém uma planilha com nome, telefone e CPF dos clientes já trata dados pessoais. A diferença é que a ANPD considera o porte na hora de aplicar as sanções — uma advertência é mais provável para um MEI do que uma multa milionária.

Para o MEI, as ações mínimas são:

• Coletar apenas os dados necessários para prestar o serviço
• Informar o cliente para que serve o dado coletado
• Não compartilhar dados de clientes com terceiros sem autorização
• Eliminar dados de ex-clientes após o prazo legal de guarda
• Manter o celular e o computador com senha

Quanto tempo guardar os dados dos clientes?

Depende da finalidade e da legislação aplicável:

• Dados fiscais (NF, contratos): mínimo 5 anos (prazo decadencial tributário — CTN art. 173)
• Dados trabalhistas (holerites, ponto): 5 anos após o encerramento do contrato, salvo processos em curso
• Dados de saúde (prontuários): mínimo 20 anos (Resolução CFM)
• Dados de clientes sem contrato vigente: até o titular pedir a exclusão, ou prazo definido em sua política, observando o princípio da necessidade

Após o término do prazo de guarda, os dados devem ser eliminados de forma segura (exclusão definitiva dos sistemas e destruição física de documentos, quando for o caso).

Casos práticos para pequenas empresas

Loja de varejo

Coleta CPF na nota fiscal (base legal: obrigação legal), cadastra o e-mail para envio de promoções (base legal: consentimento — adicione um checkbox no cadastro) e compartilha endereço com transportadora para entrega (base legal: execução de contrato — inclua cláusula no contrato com a transportadora).

Prestador de serviço (encanador, designer, consultor)

Salva o contato dos clientes no WhatsApp Business (base legal: execução de contrato ou legítimo interesse). Envia lista de transmissão com promoções (base legal: consentimento — obtenha autorização prévia antes de incluir na lista). Emite NFS-e com CPF do tomador (base legal: obrigação legal).

Clínica ou estúdio de estética

Coleta dados de saúde (base legal: consentimento explícito para dados sensíveis — use ficha de anamnese com consentimento assinado). Agenda pelo WhatsApp (base legal: execução de contrato). Precisa de atenção redobrada por tratar dados sensíveis.

Passo a passo para começar hoje

1. Semana 1: Liste todos os sistemas e planilhas onde você guarda dados de pessoas físicas
2. Semana 2: Para cada dado, identifique a finalidade e a base legal
3. Semana 3: Crie ou revise a Política de Privacidade do seu site e coloque no rodapé
4. Semana 4: Revise os formulários de cadastro — colete só o necessário e informe a finalidade
5. Mês 2: Inclua cláusulas de proteção de dados nos contratos com fornecedores e parceiros
6. Mês 2: Nomeie um responsável (DPO) e publique o contato
7. Mês 3: Treine os colaboradores: o que é dado pessoal, como tratar, o que fazer se houver vazamento
8. Revisão anual: Repita o mapeamento e atualize a Política de Privacidade conforme mudanças no negócio

Não precisa ser perfeito de imediato. A ANPD valoriza a boa-fé e o esforço documentado de adequação. Começar e registrar o progresso já é uma proteção relevante.

A LGPD e a contabilidade da empresa

Seu contador tem acesso a dados fiscais, trabalhistas e societários de toda a sua empresa — e, portanto, é um operador nos termos da LGPD. Isso significa que:

• O contrato de prestação de serviços contábeis deve ter cláusula de confidencialidade e proteção de dados
• O contador deve tratar os dados apenas para as finalidades acordadas (contabilidade, folha, impostos)
• Em caso de encerramento do contrato, os dados devem ser devolvidos ou eliminados conforme acordado

Na FinanServ Sul, todos os contratos de clientes já contemplam as exigências da LGPD. Nossos sistemas utilizam autenticação segura, acesso restrito e backup criptografado.

Resumo: o que a LGPD exige das PMEs

• Tratar dados pessoais apenas com base legal
• Coletar só o necessário (minimização)
• Informar ao titular a finalidade do uso dos dados
• Garantir segurança adequada ao porte
• Responder solicitações de titulares em até 15 dias
• Notificar a ANPD em até 72h em caso de incidente grave
• Nomear um encarregado (DPO)
• Ter Política de Privacidade acessível
• Documentar as decisões sobre tratamento de dados