A LGPD vale para pequenas empresas?
Sim. A LGPD vale para qualquer tratamento de dados feito por pessoa física ou empresa, sem distinção de porte (Lei 13.709/2018, art. 3º). Ficam de fora, por exemplo, o uso só particular e sem fim econômico (art. 4º, I).
Afinal, tratar dados é quase tudo: coletar, guardar, usar, compartilhar e apagar. Por isso, a nota fiscal, o cadastro e a lista de clientes também contam.
Contudo, a ANPD criou regras mais leves para os agentes de pequeno porte: MEI, microempresa, empresa de pequeno porte e startup (Resolução CD/ANPD nº 2/2022, art. 2º).
Quem fica fora das regras simplificadas
Entretanto, o regime simplificado não vale para quem (art. 3º):
- Faz tratamento de alto risco para as pessoas
- Fatura acima do limite da empresa de pequeno porte
- Faz parte de um grupo econômico que passa desse limite
Alto risco, em resumo, junta dois fatores (art. 4º). De um lado, grande volume de dados ou impacto relevante nos direitos das pessoas. Do outro, por exemplo, dados sensíveis, dados de crianças e idosos, vigilância de áreas públicas ou decisões só automáticas.
Base legal: o motivo de cada dado
Em primeiro lugar, toda empresa precisa de um motivo previsto em lei para cada dado que usa (Lei 13.709/2018, art. 7º). Na pequena empresa, em geral, os mais comuns são estes.
- Cumprir um contrato com o cliente, como entregar e cobrar
- Cumprir obrigação legal, como emitir nota fiscal
- Consentimento, por exemplo para mandar ofertas
- Legítimo interesse, sempre em equilíbrio com os direitos do cliente
- Proteção do crédito
Assim, o dado sem motivo, ou que já cumpriu a sua função, deve sair da base.
LGPD para pequenas empresas: registro e encarregado
Primeiramente, a empresa precisa registrar as operações com dados pessoais (Lei 13.709/2018, art. 37). Entretanto, a pequena empresa pode usar um registro simplificado, num modelo da ANPD (Resolução CD/ANPD nº 2/2022, art. 9º).
Além disso, ela não precisa indicar o encarregado, a pessoa que responde pelos dados (art. 11). Mesmo assim, precisa manter um canal para receber pedidos e reclamações das pessoas (art. 11, § 1º).
Aliás, indicar um encarregado mesmo sem obrigação conta como boa prática, o que pesa a favor numa fiscalização (art. 11, § 2º).
Pedidos dos clientes
O cliente pode pedir, por exemplo, para confirmar se a empresa tem dados dele, acessar, corrigir, apagar o que é desnecessário e revogar o consentimento (Lei 13.709/2018, art. 18).
Contudo, a pequena empresa tem prazo em dobro para atender esses pedidos (Resolução CD/ANPD nº 2/2022, art. 14). Além disso, pode dar a resposta simplificada em até 15 dias (art. 15).
Vazamento e incidente de segurança
Além disso, a empresa precisa adotar medidas de segurança para proteger os dados (Lei 13.709/2018, art. 46). Por exemplo, senha individual, acesso só para quem precisa e cópia de segurança.
Se um incidente puder causar risco ou dano relevante, a empresa comunica a ANPD e as pessoas afetadas (art. 48). Em regra, o prazo é de 3 dias úteis, contados de quando a empresa soube, mas a pequena empresa tem o prazo em dobro (Resolução CD/ANPD nº 15/2024, art. 6º).
O risco é relevante, por exemplo, quando o incidente pode afetar muito os direitos das pessoas e envolve dados financeiros, senhas, dados sensíveis ou dados de crianças e idosos (art. 5º).
Multas e outras sanções
A ANPD pode aplicar advertência, multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e até bloquear ou eliminar os dados (Lei 13.709/2018, art. 52).
Ainda assim, a boa-fé, a cooperação e as boas práticas contam na hora de definir a sanção (art. 52, § 1º). Por isso, organizar o básico já faz diferença.
LGPD para pequenas empresas: por onde começar
Primeiramente, faça um mapa simples dos dados da empresa.
- Quais dados a empresa guarda, de clientes, funcionários e fornecedores
- Onde eles ficam: sistema, planilha, WhatsApp ou papel
- Por que a empresa guarda cada um e por quanto tempo
- Quem tem acesso e com quem a empresa compartilha
Em seguida, ajuste a política de privacidade do site, as cláusulas dos contratos com fornecedores e o canal de atendimento. Assim, a empresa responde rápido quando alguém pede.
Advogado empresarial em São Carlos: contratos, cobrança, sócios e LGPD →
As informações desta página são gerais e, por isso, não substituem a análise do seu caso concreto. Afinal, cada situação depende dos documentos e dos fatos envolvidos.
Dr. Gabriel Rodrigues Advogado empresarial em São Carlos. OAB/SP 459.373 · Publicado em setembro de 2026 · Atualizado em setembro de 2026