LGPD para pequeno negócio: o que você precisa fazer na prática

A LGPD vale para qualquer empresa que colete dados de pessoas — inclusive MEI, inclusive a loja com um caderno de clientes. Não há isenção por porte.

O que existe é um tratamento diferenciado: a ANPD simplificou as obrigações para pequenas empresas. Mas simplificado não é dispensado.

O que a LGPD considera dado pessoal?

Qualquer informação que identifique alguém: nome, CPF, telefone, e-mail, endereço, foto, placa do carro, histórico de compra.

E há os dados sensíveis, com proteção maior: saúde, biometria, religião, opinião política, orientação sexual. Uma clínica ou um pet shop que registra condição de saúde está lidando com dado sensível.

As seis obrigações práticas

1. Ter um motivo legal para cada dado. A LGPD chama de base legal. Para venda, a base costuma ser "execução de contrato" — você precisa do CPF do cliente para emitir a nota. Para mandar promoção, a base é o consentimento, que precisa ser dado de forma livre e informada.

2. Coletar só o necessário. Pedir data de nascimento, estado civil e nome da mãe para vender uma camiseta é coleta excessiva. Cada campo a mais é risco a mais sem contrapartida.

3. Informar o que faz com os dados. Um aviso de privacidade simples, acessível, dizendo quais dados você coleta, para quê, com quem compartilha e por quanto tempo guarda.

4. Atender pedidos do titular. A pessoa pode pedir acesso, correção ou exclusão dos dados dela. O prazo é de 15 dias. Atenção: dado de nota fiscal não pode ser apagado — a legislação fiscal exige a guarda por cinco anos, e essa obrigação prevalece.

5. Proteger. Senha individual por funcionário, acesso limitado ao que cada um precisa, backup e conexão segura. Planilha de clientes num pendrive que circula é o cenário clássico.

6. Avisar em caso de vazamento. Incidente que possa causar risco relevante precisa ser comunicado à ANPD e aos titulares afetados.

Preciso de encarregado (DPO)?

A ANPD dispensou a obrigação de indicar encarregado para agentes de pequeno porte. Mas você precisa de um canal de contato divulgado para receber pedidos dos titulares — um e-mail no aviso de privacidade resolve.

E as multas?

Até 2% do faturamento, limitado a R$ 50 milhões por infração. Há também advertência, bloqueio e eliminação dos dados.

Na prática, a ANPD tem priorizado orientação e advertência para empresas pequenas. O risco maior para negócio pequeno costuma ser outro: a ação individual de um cliente no Juizado, que sai muito mais barata para ele do que para você.

O que fazer nesta semana

Um roteiro curto, na ordem:

• Liste onde há dado de cliente. Sistema, planilha, WhatsApp, caderno, e-mail. A maioria se surpreende com o tamanho da lista.
• Apague o que não usa. Planilha antiga de 2019 é risco sem benefício.
• Dê senha individual a cada funcionário. Login compartilhado impede saber quem acessou o quê.
• Escreva o aviso de privacidade. Uma página, linguagem simples.
• Peça consentimento para marketing. Separado da venda — quem compra não autorizou automaticamente receber promoção.

Quem é responsável: eu ou o meu sistema?

Os dois, em papéis diferentes. A sua empresa é a controladora — decide quais dados coleta e para quê. O fornecedor do sistema é o operador — trata os dados conforme a sua instrução.

Isso significa que escolher um fornecedor que protege mal é responsabilidade sua. Vale perguntar: os dados ficam no Brasil? Há backup? Como é o controle de acesso?

Como o InsoftERP se posiciona

Os dados ficam em servidor no Brasil, o acesso é sempre por conexão criptografada e as senhas são guardadas de forma irreversível — nem nós conseguimos lê-las. Há backup automático diário, guardado separado do servidor principal.

Cada empresa enxerga apenas os próprios dados, com a separação feita no banco em toda consulta. E cada usuário tem perfil próprio, com permissão por tela e por ação — que é o que atende à obrigação de limitar o acesso ao necessário.