Toda empresa que coleta nome, CPF, telefone ou endereço de clientes e funcionários trata dados pessoais e está sujeita à Lei Geral de Proteção de Dados (Lei nº 13.709/2018). A fiscalização tem crescido: em 2025, a Autoridade Nacional de Proteção de Dados (ANPD) abriu 27 processos de fiscalização, mais do que a soma de 2020 a 2024, e recebeu cerca de 8,7 mil requerimentos de titulares, segundo dados do painel da ANPD.
O que é simplificado para os agentes de pequeno porte
A Resolução CD/ANPD nº 2/2022 criou regras próprias para microempresas, empresas de pequeno porte, startups e MEIs:
- Encarregado (DPO): não é obrigatório indicar, mas é preciso manter um canal de comunicação com os titulares.
- Registro das operações de tratamento: pode ser feito de forma simplificada.
- Prazos: em dobro para algumas obrigações, como responder a titulares e comunicar a ANPD.
O benefício não vale para quem faz tratamento de alto risco, por exemplo, em larga escala combinado com dados sensíveis ou com uso de tecnologias inovadoras.
O que continua obrigatório
- Ter uma base legal para cada uso de dados, como contrato, obrigação legal ou consentimento.
- Respeitar os direitos dos titulares: acesso, correção e eliminação, entre outros.
- Adotar medidas de segurança proporcionais ao negócio.
- Comunicar à ANPD e aos titulares os incidentes de segurança com risco ou dano relevante. Pela Resolução CD/ANPD nº 15/2024, o prazo geral é de 3 dias úteis.
As sanções da lei vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52 da LGPD).
Por onde começar
- Mapear quais dados a empresa coleta, para quê e onde ficam guardados.
- Publicar um aviso de privacidade claro no site e nos formulários.
- Rever contratos com fornecedores que acessam esses dados, como contabilidade e sistemas.
- Definir quem responde pelo canal com os titulares e como agir em caso de vazamento.
Este texto tem caráter informativo e não substitui a análise do caso concreto por profissional habilitado.
Fontes