LGPD para pequenas empresas e MEI: o que realmente precisa fazer

Se você guarda o telefone de clientes na agenda, dispara promoções por WhatsApp, tem funcionários ou usa um sistema com dados de pessoas, você trata dados pessoais. A LGPD alcança isso. Não existe faixa de faturamento que dispense a lei por completo. O que existe é um regime mais leve para os pequenos.

Circula por aí a ideia de que a LGPD só interessa a banco, operadora e grande varejo. Não é verdade. Uma clínica, uma escola de idiomas, uma loja online, um escritório de contabilidade, todos tratam dados de pessoas e estão sujeitos à lei. A diferença é o tamanho da estrutura que cada um precisa montar para cumprir, não o dever de cumprir.

A ANPD editou a Resolução CD/ANPD nº 2, de 2022, com um tratamento diferenciado para agentes de tratamento de pequeno porte, categoria que inclui microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados com fins econômicos. As principais facilidades ajudam a caber no orçamento do pequeno.

As facilidades não são um passe livre. O essencial da lei continua valendo para todo mundo: ter uma base legal para cada tratamento, coletar só o necessário, ser transparente com as pessoas, respeitar os direitos dos titulares, proteger os dados com segurança adequada e comunicar incidentes relevantes. O pequeno porte alivia a burocracia, não a responsabilidade.

A primeira multa aplicada pela ANPD, aliás, foi contra uma microempresa, por falta de base legal e de cooperação. Serviu de recado: ser pequeno não coloca ninguém fora do alcance da fiscalização. A boa notícia é que o essencial é justamente o que dá menos trabalho, quando feito desde o começo, e o que mais reduz risco.

É comum o pequeno negócio pensar só nos dados de clientes e esquecer que também trata dados de funcionários. Ficha de admissão, CPF, conta bancária, atestados médicos, biometria de ponto: tudo isso é dado pessoal, e parte é dado sensível. A LGPD vale para essa relação da mesma forma que vale para o cliente.

Na prática, isso significa guardar documentos de RH com acesso restrito, não deixar cópias de identidade espalhadas em e-mails e planilhas abertas e ter cuidado redobrado com dados de saúde ocupacional, que são sensíveis. Ao contratar e ao desligar alguém, vale revisar quem acessa o quê. Muita exposição de dados começa dentro de casa, não em um ataque externo.

O tropeço mais comum do pequeno negócio está no marketing. Comprar uma lista de contatos e disparar mensagens em massa é um dos usos que mais gera reclamação e foi, inclusive, o centro da primeira multa da ANPD. O contato não deu consentimento, não existe relação prévia e não há base legal que sustente o envio. Barato na aparência, caro no risco.

O caminho seguro é construir a própria base com quem realmente quer receber, deixar claro o que a pessoa vai receber ao se cadastrar e oferecer uma saída fácil, o descadastro, em toda mensagem. Isso vale tanto para e-mail quanto para WhatsApp. Uma lista menor e consentida rende mais e não deixa a empresa exposta.

A parte técnica assusta, mas boa parte do que protege um pequeno negócio é de baixo custo: senhas fortes, verificação em duas etapas, backup, cuidado com phishing e acesso restrito aos dados. Ferramentas open source, como as usadas em firewall e VPN, dão controle de nível corporativo sem licença por funcionalidade, o que ajuda quem tem orçamento apertado. Conformidade e economia não são inimigas.

Um roteiro simples já muda o patamar: ativar dois fatores nas contas principais, usar um gerenciador de senhas, manter um backup automático em nuvem e outro fora dela, limitar quem acessa o sistema de clientes e revogar acessos de quem saiu. Nada disso exige um time de TI. Exige método e um pouco de disciplina, que é exatamente o que a LGPD espera de qualquer porte.