LGPD na prática: checklist para pequenas empresas

Muita pequena e média empresa trata LGPD como assunto de empresa grande — "isso é pra quem tem departamento jurídico". Na prática, a lei se aplica independente do tamanho da empresa, mas a ANPD (Autoridade Nacional de Proteção de Dados) criou um regime simplificado justamente para reconhecer que negócio pequeno não tem a mesma estrutura que uma multinacional. Este checklist é o ponto de partida realista.

Primeiro: mapear o que a empresa realmente coleta

Antes de qualquer documento ou política, é preciso saber, de fato, quais dados pessoais a empresa trata: dados de clientes (nome, e-mail, telefone, CPF), dados de funcionários, dados de fornecedores, dados coletados em formulários do site. Sem esse mapeamento, qualquer política de privacidade escrita depois vira ficção — descreve práticas que a empresa não segue de verdade.

O checklist prático

1. Identifique a base legal de cada tratamento. Para cada tipo de dado coletado, qual das hipóteses do art. 7º da LGPD justifica isso — consentimento, execução de contrato, cumprimento de obrigação legal, legítimo interesse?

2. Publique uma política de privacidade verdadeira. Não um modelo genérico baixado da internet — um documento que reflete o que a empresa realmente faz com os dados que coleta.

3. Estabeleça um canal de contato para o titular de dados. Um e-mail dedicado ou uma pessoa responsável, capaz de receber e responder pedidos de acesso, correção ou exclusão de dados.

4. Avalie se precisa nomear um encarregado de dados (DPO) formal. Pela Resolução CD/ANPD nº 2/2022, empresas de pequeno porte com tratamento de baixo risco podem dispensar essa nomeação formal, desde que mantenham o canal de contato do item anterior funcionando de verdade.

5. Revise contratos com fornecedores que também tratam dado em nome da empresa. Provedor de e-mail, sistema de folha de pagamento, ferramenta de CRM — todos que recebem dado pessoal da empresa deveriam ter cláusulas de proteção de dados no contrato.

6. Treine quem tem acesso a dado pessoal no dia a dia. A maior parte dos incidentes de dados não vem de invasão externa — vem de erro operacional: enviar planilha de cliente pro destinatário errado, deixar acesso liberado além do necessário.

7. Tenha um plano mínimo para incidente. Não precisa ser um documento de 40 páginas — precisa existir uma resposta clara para "o que fazemos se um dado vazar", incluindo o prazo e a forma de notificar titulares afetados e a ANPD quando aplicável.

O que o regime simplificado realmente dispensa

Vale ser específico: o regime simplificado da ANPD para pequenas empresas não dispensa a LGPD em si — dispensa formalidades específicas, como a nomeação obrigatória de um DPO, desde que a empresa mantenha um canal de comunicação eficaz com os titulares de dados. Não é uma isenção geral, é uma flexibilização pontual.

Erros mais comuns

• Copiar política de privacidade de outra empresa sem adaptar. Já é uma inconformidade por si só — a política passa a descrever práticas que não correspondem à realidade.
• Tratar LGPD como projeto único, feito uma vez e esquecido. Conformidade é rotina, não evento — precisa acompanhar mudança de fornecedor, novo formulário no site, nova ferramenta interna.
• Focar só no site institucional e esquecer processos internos. Planilha de RH, sistema de vendas, WhatsApp com cliente — tudo isso trata dado pessoal, e tudo isso precisa da mesma atenção que o site recebe.

Por onde continuar

Se o site institucional da empresa já tem formulário de contato ou qualquer coleta de dado, vale revisar especificamente o que a LGPD exige nesse contexto — é geralmente o ponto de contato mais visível (e mais auditável por terceiros) entre a empresa e o público.