LGPD para pequenas empresas: como o sistema pode apoiar

A Lei Geral de Proteção de Dados Pessoais alcança operações de tratamento que entram em seu campo de aplicação, independentemente de a empresa ser grande ou pequena. Nome, telefone, e-mail, localização e histórico de atendimento podem ser dados pessoais; informações de saúde, biometria e outros dados definidos na lei recebem proteção específica como dados pessoais sensíveis.

Agentes de pequeno porte podem ter regras diferenciadas conforme a regulamentação da ANPD, mas isso não equivale a dispensa geral. A análise depende da atividade, do tipo de dado e dos riscos. Este conteúdo não substitui orientação jurídica.

O primeiro passo é conhecer os dados e o fluxo

Antes de comprar uma ferramenta ou adicionar uma caixa de consentimento, mapeie o ciclo do dado. Registre de onde ele vem, para qual finalidade é usado, com quem é compartilhado, onde fica armazenado, quem acessa e quando deve ser revisto ou eliminado. Inclua planilhas, e-mails, WhatsApp, formulários, arquivos físicos, backups e sistemas de fornecedores.

O inventário pode começar com uma tabela de processo, titular, dados, finalidade, sistema, responsável, destinatários e retenção. A ANPD disponibiliza materiais orientativos para agentes de pequeno porte.

Cadastro de lead: quais dados são realmente necessários antes de uma proposta?
Atendimento: a conversa contém informações sensíveis que não deveriam ir para o CRM comercial?
Agendamento: por que cada campo é coletado e por quanto tempo precisa ficar disponível?
Funcionários e fornecedores: quais documentos circulam por e-mail ou pasta compartilhada?
Marketing: como a origem do contato e as preferências de comunicação são registradas?
Desligamento ou encerramento: como acessos são removidos e dados são tratados ao fim da relação?

Finalidade, necessidade e base legal não são a mesma coisa

A finalidade explica por que o dado é tratado; o princípio da necessidade orienta limitar o tratamento ao que é pertinente e não excessivo; a base legal é a hipótese jurídica que sustenta aquela operação. A LGPD prevê mais de uma base, e consentimento é apenas uma delas. Pedir consentimento automaticamente para todo processo pode criar uma falsa sensação de adequação e ainda dificultar a gestão posterior.

A base adequada depende do contexto e, para dados sensíveis, das hipóteses específicas da lei. O sistema pode registrar a decisão e sua versão, mas não deve escolher sozinho a justificativa jurídica. Processos de maior risco, dúvidas sobre saúde, monitoramento, crianças, biometria ou compartilhamento amplo merecem avaliação especializada.

Controles que um sistema pode apoiar

Necessidade	Controle no sistema	Limite do controle
Reduzir coleta	Campos opcionais, validação e formulários diferentes por finalidade	A empresa ainda precisa decidir o que é necessário
Limitar acesso	Perfis por função, autenticação e revisão periódica de usuários	Permissão mal configurada continua expondo dados
Rastrear operações	Logs de acesso e alterações relevantes	Logs precisam de proteção, retenção e análise
Atender titulares	Busca, correção, exportação, restrição e fluxo de solicitação	A resposta e o prazo dependem da análise aplicável
Aplicar retenção	Regras de arquivamento, revisão e eliminação	Obrigações legais e defesa de direitos devem ser consideradas
Responder a incidentes	Alertas, trilha de eventos, bloqueio de sessão e restauração	Comunicação e providências exigem processo e decisão responsável

Um CRM personalizado pode separar permissões comerciais, registrar preferências de contato e manter histórico de alterações. Um sistema de agendamento online pode coletar apenas os dados necessários ao serviço. Essas funções ajudam, mas a configuração e a rotina de uso determinam o efeito real.

Segurança proporcional ao risco

A LGPD prevê medidas técnicas e administrativas aptas a proteger dados contra acesso não autorizado e situações acidentais ou ilícitas. Na prática, pequenas empresas podem começar por inventário de ativos, contas individuais, autenticação multifator quando disponível, perfis de acesso, atualizações, backups protegidos e testados, criptografia adequada ao contexto, gestão de dispositivos e orientação da equipe.

Senhas devem ser armazenadas com hash apropriado, nunca em texto legível. Credenciais não devem ficar expostas no código. HTTPS protege o trânsito, mas não corrige permissões abertas nem computadores comprometidos.

Planilhas não são proibidas pela LGPD. O risco aparece quando um link público, uma cópia local esquecida ou o compartilhamento entre muitas pessoas impede saber quem viu e alterou os dados. Quando a planilha se torna o centro da operação, avalie a migração para um sistema web com permissões e histórico compatíveis com o risco.

Direitos do titular e retenção

O artigo 18 da LGPD reúne direitos como confirmação da existência de tratamento, acesso e correção, entre outros. Receber uma solicitação não significa apagar tudo imediatamente: identidade, base legal, obrigações de conservação, exercício de direitos e demais condições precisam ser analisados. O sistema deve localizar os registros relacionados e permitir executar a decisão de forma controlada.

Defina canal, responsável, registro do pedido e etapas de verificação. Mapeie também integrações e fornecedores; corrigir apenas o cadastro principal pode deixar dados divergentes.

Fornecedores, contratos e desenvolvimento

Hospedagem, mensageria, pagamentos, analytics, suporte e e-mail podem tratar dados em nome da empresa ou para finalidades próprias, conforme o caso. Liste os fornecedores, entenda papéis e fluxos, verifique controles, localização quando relevante, subcontratação, exportação, exclusão e resposta a incidentes. O contrato deve refletir responsabilidades reais; um texto genérico não corrige uma integração insegura.

Ao contratar desenvolvimento de sistemas, inclua requisitos de privacidade no escopo: ambientes separados, dados fictícios em testes sempre que possível, revisão de permissões, logs sem conteúdo excessivo, rotina de atualização, backup e plano de saída. Defina também quem recebe alertas e quem decide sobre incidentes depois da entrega.

Plano prático de adequação técnica

Inventarie processos, sistemas, planilhas, fornecedores e categorias de dados.
Documente finalidade, necessidade, base legal avaliada, compartilhamentos e retenção.
Remova campos e acessos sem justificativa operacional.
Priorize dados sensíveis, grandes volumes e sistemas expostos à internet.
Implemente contas individuais, permissões, logs, atualização e backups testados.
Crie fluxos para titulares, incidentes, entrada e desligamento de colaboradores.
Treine a equipe e revise o mapa quando o processo, fornecedor ou finalidade mudar.

Priorize por risco: um banco compartilhado com dados sensíveis merece mais atenção do que um campo opcional de baixo impacto. Registre decisões e pendências para manter uma rotina verificável.

Perguntas frequentes

Toda pequena empresa precisa pedir consentimento aos clientes?

Não. Consentimento é uma das bases legais, e a escolha depende da operação e do tipo de dado. A finalidade e a base devem ser analisadas, registradas e comunicadas de forma adequada.

A LGPD proíbe usar planilha ou WhatsApp?

A lei não proíbe uma tecnologia pelo nome. É preciso avaliar finalidade, necessidade, acesso, compartilhamento, segurança, retenção e demais requisitos no uso concreto.

Criptografia e backup tornam o sistema adequado?

São controles importantes, mas insuficientes sozinhos. Governança, base legal, contratos, pessoas, atendimento a titulares e resposta a incidentes também fazem parte do processo.

Um sistema sob medida garante conformidade?

Não. Ele pode incorporar controles ao fluxo, mas a empresa continua responsável por decisões, configuração, políticas e operação, conforme seu papel no tratamento.