A LGPD (Lei 13.709/2018) se aplica a toda empresa que trata dados pessoais — inclusive MEI, micro e pequenas empresas. Não existe isenção por porte: o que muda é como cumprir, não se cumpre. Na prática, são cinco frentes: mapear os dados, ter base legal para cada uso, atender os titulares, protegê-los e reagir a incidentes. As três primeiras são do jurídico; as duas últimas, da TI — onde a maioria das PMEs está mais exposta.
Se você apostava que "a ANPD só olha para as grandes", reveja: a primeira multa da história da agência atingiu uma microempresa. Aqui você vê o que a lei exige, o que muda no regime de pequeno porte — e o checklist técnico para tirar do papel.
O que a LGPD exige da sua PME (sem juridiquês)
Primeiro, vocabulário. Dado pessoal é qualquer informação que identifique ou possa identificar alguém: nome, CPF, e-mail, IP. Dado sensível é um rol fechado (saúde, biometria, religião, opinião política, entre outros) com regime mais rígido — e CPF e dados bancários não são "sensíveis" no sentido legal. As obrigações centrais:
- Mapear os dados: saber o que a empresa coleta, onde guarda e para quê — clientes, folha, currículos, câmeras.
- Ter base legal para cada uso: o art. 7º traz 10 hipóteses sem hierarquia — consentimento é só uma, e pedi-lo para o que contrato ou lei já cobrem é o erro clássico.
- Atender os titulares: canal de contato e resposta a pedidos de acesso, correção e exclusão no prazo.
- Proteger os dados (art. 46): medidas de segurança técnicas e administrativas são obrigação legal de todo agente de tratamento.
- Responder a incidentes: detectar, registrar e, quando houver risco relevante, comunicar ANPD e titulares em prazo curto.
Multa da LGPD: a primeira da ANPD foi para uma microempresa
As sanções valem desde 1º de agosto de 2021, e a primeira multa veio em julho de 2023 — para a Telekall Infoservice, uma microempresa: advertência mais R$ 14.400, num caso nascido de denúncia. O valor não é leniência: a dosimetria (Resolução CD/ANPD nº 4/2023) considera porte e gravidade.
O art. 52 prevê ainda multa de até 2% do faturamento no Brasil (excluídos tributos, limitada a R$ 50 milhões por infração), multa diária, publicização da infração e bloqueio e eliminação dos dados. Para uma PME, os 2% e a publicização doem mais que o teto. E o pior custo nem está na lei: o cliente que descobre o vazamento pelo jornal e o contrato perdido quando um cliente maior audita a segurança dos fornecedores.
O lado bom: os incisos VIII e IX do art. 52, §1º mandam considerar na sanção os mecanismos internos de segurança e as boas práticas comprovadas — e a dosimetria da ANPD prevê atenuante de até 20% na multa para quem as demonstra. O checklist abaixo, documentado, pesa a seu favor.
Regime simplificado da ANPD: o que muda para o pequeno porte
A Resolução CD/ANPD nº 2/2022 dá tratamento diferenciado aos agentes de pequeno porte — MEI, ME, EPP, startups e entidades sem fins lucrativos. Em regra:
- Dispensa do encarregado (DPO): basta manter canal de comunicação com o titular; indicar mesmo assim é boa prática.
- Registro simplificado das operações: com modelo fornecido pela própria ANPD.
- Política de segurança simplificada: proporcional ao porte e ao risco.
- Prazos em dobro: para atender titulares, comunicar incidentes e responder à ANPD.
| Obrigação | Prazo padrão | Pequeno porte |
|---|---|---|
| Declaração completa ao titular (art. 19, II) | 15 dias | 30 dias |
| Comunicar incidente à ANPD e aos titulares | 3 dias úteis | 6 dias úteis |
Os prazos de incidente contam em dias úteis (Resolução CD/ANPD nº 15/2024). Atenção à trava: tratamento de alto risco (na régua da ANPD, dados sensíveis tratados em larga escala ou com potencial de afetar significativamente os titulares) ou faturamento acima dos limites legais (ME/EPP na LC 123/2006; para startups, o teto da LC 182/2021) tira a empresa do regime. Uma clínica que vive de dados de saúde pode não se enquadrar; é análise caso a caso, com apoio jurídico.
Jurídico x TI: quem faz o quê na adequação
Uma honestidade rara nessa conversa: nenhum fornecedor sozinho "deixa sua empresa adequada". A adequação combina três papéis:
- Jurídico: define bases legais, escreve políticas que refletem a operação real e revisa contratos com fornecedores que tratam dados por você — com obrigações de proteção e prazos, como no guia sobre SLA de TI.
- TI: implementa e opera o art. 46 — acessos, MFA, criptografia, backup, logs e resposta a incidentes. Política impecável no papel não segura vazamento por senha compartilhada.
- Gestor: prioriza, patrocina o treinamento e cobra evidências dos outros dois.
Às claras: este artigo é informação geral, não aconselhamento jurídico — bases legais, políticas e contratos pedem assessoria jurídica especializada. O território da Hexan é o pilar técnico, obrigação legal tão real quanto as outras.
Checklist técnico da LGPD: 8 medidas que a TI implementa
A ANPD publica um guia de segurança da informação para o pequeno porte, e segui-lo conta como boa prática — a mesma que atenua sanção. Em ações:
- Contas nominais e privilégio mínimo: cada um acessa só o que precisa; senha compartilhada, nunca. Criar, bloquear e revisar acessos exige um help desk estruturado.
- MFA em tudo que importa: e-mail, sistemas e acessos remotos — a defesa mais barata contra conta invadida.
- Criptografia em repouso e em trânsito: suítes como Microsoft 365 e Google Workspace já trazem criptografia, MFA e gestão de dispositivos.
- Backup testado e segregado: perda de disponibilidade também é incidente. A referência é a regra 3-2-1, com teste de restauração.
- Atualizações e firewall: sistema sem patch é porta aberta.
- Registro de logs: quem acessou o quê e quando — sem isso, não há como dimensionar um incidente no prazo legal.
- Treinamento contra phishing: uma das principais portas de entrada dos vazamentos é um clique errado — veja o guia de phishing.
- Descarte seguro: HDs antigos, papéis e contas de ex-funcionários pedem fim documentado, não gaveta.
São os itens que o nosso serviço de Segurança Cibernética opera de forma contínua — na LGPD, nada fica pronto uma vez; precisa ficar pronto sempre.
Vazou um dado: o plano de resposta e o prazo de 3 dias úteis
O art. 48 obriga o controlador a comunicar à ANPD e aos titulares os incidentes com risco relevante — envolvendo, por exemplo, dados sensíveis, de crianças, adolescentes ou idosos, financeiros, credenciais de acesso ou larga escala. O prazo (Resolução CD/ANPD nº 15/2024) é de 3 dias úteis a partir do conhecimento — 6 para o pequeno porte. E todo incidente, comunicado ou não, deve ser registrado internamente por no mínimo 5 anos.
O relógio corre a partir do conhecimento — e não saber que vazou não livra ninguém. Sem monitoramento e logs, a empresa descobre o problema pelo cliente e já começa fora do prazo. Os passos imediatos após um ataque estão no guia de ransomware em PMEs; voltar a operar com os dados disponíveis é papel do plano de recuperação de desastres.
Sua empresa cumpriria o prazo de 3 dias úteis se um dado vazasse hoje?
No diagnóstico gratuito da Hexan, avaliamos o pilar técnico da LGPD na sua operação — acessos, MFA, backup, logs e capacidade de resposta a incidentes — e você recebe um parecer executivo sem compromisso (análise técnica, que não substitui sua assessoria jurídica).
Agendar diagnóstico grátisSem compromisso · Resposta em até 2 horas úteis
Quanto custa a adequação à LGPD — e por que não é um projeto com data de fim
Desconfie de atalhos: "kit LGPD" com política genérica não é adequação — documento que não reflete a operação real pode virar prova de desconformidade — e software sozinho não resolve. Adequação também não termina: novos sistemas, fornecedores e normas da ANPD exigem revisão contínua.
A boa notícia: o custo cabe no bolso de PME. O jurídico é pontual, com revisões periódicas; o pilar técnico é operação contínua — e não exige equipe interna: o outsourcing de TI cobre esse pilar por assinatura. Compare o custo mensal de TI gerenciada com 2% do faturamento, dias parados e um cliente perdido: a conta fecha rápido. Nossos planos entregam essa previsibilidade.
LGPD para pequenas empresas: por onde começar
A LGPD não pergunta o tamanho da sua empresa — pergunta o que você faz com os dados dos outros. O regime simplificado facilita o como, não dispensa o quê: base legal, atendimento a titulares, segurança e resposta a incidentes. E a régua é justa: quem comprova boas práticas paga menos; quem ignora paga multa, manchete e cliente perdido.
O caminho é dividir para conquistar: a parte legal com sua assessoria jurídica; o pilar técnico, com quem opera segurança todos os dias. Para saber em que pé sua empresa está, fale com a Hexan e agende o diagnóstico técnico gratuito.
← Voltar para o blog