LGPD para pequenas empresas: o que muda para o agente de pequeno porte

Quem tem uma pequena empresa costuma ouvir duas versões opostas sobre a LGPD. Uma diz que a lei não vale para quem é pequeno. A outra trata a adequação como se a padaria do bairro precisasse da mesma estrutura de um banco. As duas estão erradas. A LGPD vale para micro e pequenas empresas, mas a ANPD criou regras mais leves para elas, e entender onde fica essa fronteira evita tanto o descuido quanto o gasto desnecessário.

Este guia explica quem se enquadra como agente de tratamento de pequeno porte segundo a Resolução CD/ANPD nº 2/2022, quem fica de fora mesmo sendo pequeno, o que a resolução flexibiliza, o que continua obrigatório e um roteiro mínimo de adequação que cabe na rotina de uma empresa com poucos funcionários.

Vale. O art. 3º da LGPD aplica a lei a qualquer operação de tratamento de dados pessoais feita por pessoa natural ou jurídica, sem distinguir por porte. As exceções do art. 4º tratam de situações específicas, como o uso de dados por pessoa natural para fins exclusivamente particulares e não econômicos, e não do tamanho da empresa. Uma loja que guarda o cadastro de clientes, um salão que anota telefone e histórico de atendimento e um escritório de contabilidade com a folha de pagamento dos clientes tratam dados pessoais todos os dias.

O que a lei fez foi abrir espaço para regras diferenciadas. O art. 55-J, XVIII, deu à ANPD competência para editar normas e procedimentos simplificados, inclusive quanto a prazos, para microempresas, empresas de pequeno porte e startups. Com base nisso, a Autoridade publicou em 27 de janeiro de 2022 a Resolução CD/ANPD nº 2, que aprovou o regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte.

A resolução (art. 2º, I) inclui nesse grupo microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, pessoas naturais e entes privados despersonalizados que tratam dados pessoais como controladores ou operadores. Associações e profissionais autônomos, por exemplo, também podem se enquadrar.

Para micro e pequenas empresas, a resolução remete à Lei Complementar nº 123/2006, o que inclui o microempreendedor individual (MEI). Pelos limites atuais dessa lei, é microempresa quem tem receita bruta anual de até R$ 360 mil, e empresa de pequeno porte quem fica acima disso e até R$ 4,8 milhões. Para startups valem os critérios da Lei Complementar nº 182/2021, que incluem receita bruta de até R$ 16 milhões no ano anterior e até dez anos de inscrição no CNPJ.

Guarde os documentos que comprovam o enquadramento. Se a ANPD pedir, a empresa tem até 15 dias para demonstrar que atende às condições da resolução (art. 5º).

Ser pequeno é condição necessária, mas não suficiente. O art. 3º tira do tratamento diferenciado o agente que:

O critério de receita é fácil de conferir. O de grupo econômico surpreende quem abriu uma empresa menor dentro de um grupo maior: uma pequena prestadora de serviços controlada por uma holding de grande porte, por exemplo, não aproveita as flexibilizações. O critério mais delicado, porém, é o do alto risco.

O art. 4º considera de alto risco o tratamento que atende, ao mesmo tempo, a pelo menos um critério geral e a pelo menos um critério específico. Os critérios gerais são dois: tratamento em larga escala e tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares. Os específicos são quatro:

A resolução também explica os critérios gerais. Larga escala leva em conta o número de titulares, o volume de dados e a duração, a frequência e a extensão geográfica do tratamento. Já o critério de afetar significativamente inclui casos em que o tratamento pode impedir o exercício de um direito ou o uso de um serviço, ou causar danos materiais ou morais, como discriminação, violação à imagem e à reputação, fraude financeira ou roubo de identidade.

O raciocínio é sempre de combinação. No guia sobre a atuação do encarregado, a ANPD analisou uma empresa de atendimento médico domiciliar a idosos: dados de saúde e de pessoas idosas (critério específico) com potencial de afetar significativamente os pacientes (critério geral). Conclusão: alto risco. No mesmo guia, uma startup que analisa crédito com inteligência artificial para mais de 2 milhões de clientes também foi considerada de alto risco, pela larga escala somada à tecnologia emergente. Já uma loja de roupas com cadastro de clientes para entrega e promoções dificilmente reúne os dois tipos de critério.

Para quem se enquadra, as mudanças são concretas. Nenhuma delas apaga uma obrigação da LGPD por completo. O que muda é a forma, o nível de detalhe ou o prazo.

O art. 37 da LGPD obriga controladores e operadores a manter registro das operações de tratamento. O art. 9º da resolução permite que o agente de pequeno porte cumpra essa obrigação de forma simplificada, e a ANPD publicou um modelo de registro para agentes de pequeno porte. O modelo cabe em uma página e pede os dados de contato da organização, as categorias de titulares (com campos próprios para crianças e adolescentes e para idosos), os tipos de dados pessoais, os compartilhamentos com terceiros, as medidas de segurança, o período de armazenamento e, para cada processo, a finalidade e a hipótese legal. Para quem quiser detalhar mais cada atividade, o nosso guia sobre como montar o RoPA na prática ajuda a ir além do modelo.

O art. 11 dispensa o agente de pequeno porte de indicar encarregado. Em troca, ele precisa disponibilizar um canal de comunicação com o titular, para cumprir o que a LGPD atribui ao encarregado no art. 41, § 2º, I: aceitar reclamações e comunicações, prestar esclarecimentos e adotar providências. Pode ser um e-mail dedicado, um formulário no site ou um número de atendimento, desde que alguém acompanhe as mensagens e responda. O art. 7º aceita que as informações e o atendimento sejam feitos por meio eletrônico, impresso ou qualquer outro que garanta os direitos e o acesso facilitado.

Quem decide indicar um encarregado mesmo sem obrigação ganha um ponto a favor: a indicação é considerada política de boas práticas e governança (art. 11, § 2º), um dos critérios que a LGPD manda considerar na aplicação de sanções (art. 52, § 1º, IX). Quem pode assumir a função está no nosso guia sobre o encarregado de dados.

A obrigação de proteger os dados continua. O art. 12 pede medidas administrativas e técnicas essenciais, com base em requisitos mínimos de segurança, considerando o risco para os titulares e a realidade da empresa. O art. 13 permite adotar uma política simplificada de segurança da informação, que leve em conta os custos de implementação e a estrutura, a escala e o volume das operações. A ANPD vai considerar a existência dessa política ao avaliar a prestação de contas e as boas práticas da empresa (art. 13, § 2º).

Um bom ponto de partida é o guia orientativo de segurança da informação para agentes de pequeno porte, que a ANPD publicou com um checklist. Entre as medidas administrativas estão a política de segurança, o treinamento da equipe e cláusulas de confidencialidade nos contratos. Entre as técnicas, controle de acesso, cópias de segurança regulares, criptografia, firewall e antivírus. Seguir as recomendações divulgadas pela ANPD conta a favor da empresa na avaliação de uma eventual sanção (art. 12, parágrafo único).

O art. 14 concede prazo em dobro ao agente de pequeno porte em quatro situações:

No caso de incidentes, a Resolução CD/ANPD nº 15/2024 fixa três dias úteis para comunicar o incidente à ANPD e aos titulares quando houver risco ou dano relevante. Para o agente de pequeno porte, esse prazo passa a seis dias úteis, e o prazo para complementar as informações enviadas à ANPD passa de vinte para quarenta dias úteis. Já a declaração simplificada de confirmação de existência ou de acesso aos dados, que a LGPD manda fornecer imediatamente, pode ser entregue pelo agente de pequeno porte em até 15 dias (art. 15 da resolução).

Sobre o primeiro item, um cuidado: a LGPD deixa os prazos da maior parte dos direitos dos titulares para regulamento (art. 18, § 5º), e até o fechamento deste texto a lista oficial de regulamentações da ANPD não trazia uma norma específica sobre o tema. Enquanto isso, o mais seguro é responder sem demora e registrar a data de cada pedido e de cada resposta.

O art. 6º da resolução é direto: a dispensa ou a flexibilização não isenta o agente de pequeno porte dos demais dispositivos da LGPD, incluindo bases legais, princípios e direitos dos titulares, nem de outras normas legais, regulamentares e contratuais. E o art. 16 permite que a ANPD determine o cumprimento de obrigações dispensadas ou flexibilizadas, considerando a natureza e o volume das operações e os riscos para os titulares. Na prática, a pequena empresa continua precisando de:

O último item costuma ser esquecido. O registro de incidentes do art. 10 da Resolução CD/ANPD nº 15/2024 vale para todo controlador e não tem regra específica para pequeno porte. Um incidente pequeno, que não precisou ser comunicado, também entra nesse registro.

Com as regras claras, dá para montar uma adequação proporcional em poucas etapas. A ordem abaixo é uma sugestão prática, e não uma exigência da ANPD.

O segundo passo costuma ser o mais revelador. A empresa começa achando que só trata dados de clientes e, ao listar, encontra currículos antigos, fotos de funcionários nas redes sociais e planilhas de inadimplentes circulando por WhatsApp. O último passo parece exagero até o dia em que um celular com a lista de clientes é perdido. Para esse momento, vale ter lido antes o nosso guia sobre como organizar a resposta a um incidente.

Imagine uma loja de materiais de construção com 12 funcionários, receita dentro do limite de empresa de pequeno porte, atendimento no balcão e vendas pelo WhatsApp. Ela não pertence a grupo econômico. Na análise de alto risco, dois pontos chamam atenção: os atestados médicos dos funcionários, que são dados de saúde, e as câmeras que filmam a área de vendas. Os dois podem se encaixar em critérios específicos, mas o tratamento não é de larga escala e não há indício de que possa afetar significativamente as pessoas. A conclusão é que não há alto risco, e a análise fica registrada.

Em uma tarde, o dono e a gerente preenchem o modelo da ANPD com seis tratamentos: cadastro de clientes para entrega e nota fiscal, lista de promoções no WhatsApp, folha de pagamento, atestados, currículos recebidos e imagens das câmeras. A lista revela dois problemas: currículos guardados há anos sem motivo e uma lista de promoções montada sem que as pessoas tivessem pedido para recebê-las.

A loja cria um e-mail de privacidade, divulga no site e no balcão e define que a gerente responde. Escreve uma política de segurança de duas páginas com senhas individuais no sistema, backup semanal e acesso restrito à pasta do RH. Combina com o escritório de contabilidade as regras para os dados da folha e anota onde registrar qualquer incidente. O exemplo é fictício, mas mostra que o esforço acompanha o tamanho da operação e depende mais de atenção do que de estrutura.

Uma pequena empresa consegue cumprir boa parte desse roteiro com o modelo da ANPD, um e-mail dedicado e uma pasta organizada. A dificuldade costuma aparecer com o tempo: o registro não é atualizado quando um sistema muda, ninguém lembra onde ficou a análise de alto risco e, no dia de um incidente, não existe um lugar definido para anotar o que aconteceu.

O plano Start da LGPD Cloud custa R$ 199,90 por mês e reúne os módulos de Mapeamento de Dados, RIPD, LIA, Gestão de Incidentes e Eliminação de Dados. No Mapeamento de Dados, cada atividade de tratamento é registrada com finalidade, setor, bases legais, tempo de retenção, perfis de titulares, forma de armazenamento, sistemas usados, compartilhamentos com terceiros e eventual transferência internacional. Boa parte das perguntas do modelo simplificado da ANPD tem campo próprio ali, e cada atividade fica separada, pronta para ser revisada quando algo mudar.

Na Gestão de Incidentes, cada ocorrência fica registrada com data e hora, sistema afetado, tipos de dados, quantidade de titulares, avaliação de risco, medidas de contenção e status. Isso ajuda a manter o registro pelo prazo mínimo de cinco anos e a reunir, dentro do prazo, as informações necessárias para decidir se o caso precisa ser comunicado.

O módulo de Direito dos Titulares, que organiza o canal com protocolo, controle de prazo e histórico de cada pedido, faz parte dos planos Premium e Enterprise, com valores sob consulta. Para uma empresa que recebe poucos pedidos, um e-mail bem acompanhado costuma dar conta no início. Os detalhes de cada plano estão na página de planos.

A Resolução CD/ANPD nº 2/2022 reconhece que uma microempresa não tem a estrutura de uma grande companhia e ajusta o que pode ser ajustado. O primeiro passo é confirmar o enquadramento com honestidade, principalmente a análise de alto risco, porque é ela que decide se as flexibilizações valem para a sua empresa.

Confirmado o enquadramento, as regras jogam a favor: registro em uma página, canal simples funcionando, política de segurança do tamanho da empresa e prazos maiores para responder. Feito com cuidado, esse trabalho cabe na rotina e deixa a empresa organizada para quando ela crescer e sair do regime diferenciado.

Consulte a Resolução CD/ANPD nº 2/2022, que traz o regulamento completo para agentes de pequeno porte; a Resolução CD/ANPD nº 15/2024, com as regras de comunicação e registro de incidentes; o modelo de registro simplificado da ANPD; o guia de segurança da informação para agentes de pequeno porte; e o texto compilado da LGPD, especialmente os arts. 3º, 4º, 18, 19, 37, 41 e 55-J.