A LGPD vale para empresas de todos os tamanhos. A ANPD flexibilizou algumas obrigações para microempresas, empresas de pequeno porte e startups, mas não as dispensou de tratar dados com base legal, respeitar os direitos dos titulares e proteger as informações. O começo é saber quais dados a empresa tem, por que tem e onde estão.
O que a lei exige de todos
- Base legal. Todo uso de dado pessoal precisa se apoiar em uma das hipóteses da lei, como cumprimento de contrato, obrigação legal, legítimo interesse ou consentimento (LGPD, art. 7º).
- Direitos dos titulares. Clientes, empregados e fornecedores podem pedir acesso, correção e informações sobre o uso dos seus dados.
- Segurança. Medidas técnicas e administrativas para proteger os dados contra acesso indevido e vazamento.
- Incidentes. Incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares (art. 48).
O que a ANPD flexibilizou para os pequenos
O regulamento para agentes de tratamento de pequeno porte (Resolução CD/ANPD 2/2022) trouxe, entre outros pontos:
- Dispensa de indicar encarregado, desde que a empresa mantenha um canal de comunicação com os titulares (art. 11).
- Registro simplificado das operações de tratamento.
- Prazos em dobro para várias obrigações. Na comunicação de incidentes, o prazo geral de três dias úteis passa a ser contado em dobro para esses agentes (Resolução CD/ANPD 15/2024).
A flexibilização não vale para quem faz tratamento de alto risco, como o tratamento em larga escala de dados sensíveis ou a vigilância de pessoas, nem para quem ultrapassa os limites de receita do regulamento (art. 3º). E não isenta ninguém dos princípios, das bases legais e dos direitos dos titulares (art. 6º).
As sanções
A ANPD pode aplicar advertência, bloqueio ou eliminação de dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (LGPD, art. 52). Em 2026, a Lei 15.352 transformou a ANPD em agência reguladora, com autonomia reforçada, sem mudar as obrigações das empresas.
Cinco primeiros passos
- Mapeie os dados. Quais dados pessoais a empresa coleta, de quem, para quê, onde guarda e com quem compartilha.
- Defina a base legal de cada uso e elimine o que não tem finalidade.
- Publique um aviso de privacidade claro no site e nos pontos de coleta, com o canal de contato.
- Revise contratos com fornecedores que acessam dados, como sistemas, contabilidade e marketing.
- Prepare a resposta a incidentes: quem decide, quem comunica e em quanto tempo.
Checklist
Fontes
- Lei 13.709/2018 (LGPD), arts. 7º, 41, 48 e 52, com as alterações da Lei 15.352/2026.
- Resolução CD/ANPD 2/2022, arts. 3º, 6º e 11.
- Resolução CD/ANPD 15/2024.
Conteúdo informativo. Não substitui consulta a um advogado.
