Existe uma ideia equivocada de que a Lei Geral de Proteção de Dados é assunto só de grande empresa, com departamento jurídico próprio e orçamento de tecnologia robusto. Na prática, a lei se aplica a qualquer negócio que colete dado pessoal — nome, e-mail, telefone, CPF — independentemente do tamanho.
A diferença não está em se a lei se aplica, mas em quão elaborado precisa ser o programa de adequação — uma empresa pequena não precisa da mesma estrutura de uma multinacional, mas precisa dos mesmos princípios básicos.
Passos práticos de adequação
- Mapeamento de dados: entender quais dados pessoais a empresa coleta, de onde vêm, onde ficam armazenados e quem tem acesso
- Base legal: definir com que fundamento jurídico cada dado é tratado
- Política de privacidade: documento claro, disponível ao titular dos dados
- Adequação de formulários e sites: campos de coleta proporcionais à finalidade
- Resposta a titulares: processo definido para solicitação de acesso, correção ou exclusão
- Encarregado (DPO): nem toda empresa pequena precisa de profissional dedicado exclusivamente, mas precisa de responsável definido
Os riscos de não se adequar
O risco mais imediato não é necessariamente uma multa da ANPD — embora ela exista e possa ser aplicada. O risco mais comum, na prática, é o dano reputacional: um vazamento de dados de clientes, mesmo pequeno, se torna rapidamente um problema de confiança.
Há também o risco contratual: cada vez mais, contratos B2B exigem cláusulas específicas de conformidade com a LGPD como condição pra fechar negócio.
Por onde começar
O primeiro passo real, antes de qualquer documento, é o mapeamento: sem saber exatamente quais dados a empresa coleta e onde eles ficam, qualquer política de privacidade escrita é só um texto genérico, sem relação com a operação de verdade.
