LGPD na prática: conformidade para pequenas e médias empresas

Comece pelo inventário, não pela política

Muitas empresas publicam uma política de privacidade copiada antes de saber quais dados tratam. O caminho correto é o inverso: primeiro o mapeamento, depois os documentos que descrevem a realidade.

O inventário responde a perguntas objetivas: quais dados pessoais entram na empresa, por quais canais, para qual finalidade, com qual base legal, onde ficam armazenados, quem acessa, com quem são compartilhados e por quanto tempo permanecem.

Base legal correta para cada finalidade

Consentimento não é a base padrão — é uma das dez, e uma das mais frágeis, porque pode ser revogada a qualquer momento.

• Execução de contrato: dados de clientes e fornecedores necessários à prestação do serviço.
• Obrigação legal: folha de pagamento, obrigações fiscais e trabalhistas.
• Legítimo interesse: segurança da informação, prevenção a fraude e comunicação com clientes ativos, sempre com teste de balanceamento documentado.
• Consentimento: marketing para quem não é cliente, cookies não essenciais e uso de imagem.

Rotinas mínimas para uma PME

Um programa proporcional ao porte da empresa cabe em poucas práticas bem executadas.

• Registro das operações de tratamento (ROPA) revisado ao menos uma vez por ano.
• Canal de atendimento ao titular divulgado e com prazos controlados.
• Cláusulas de proteção de dados nos contratos com fornecedores que acessam informações.
• Controle de acesso por perfil, MFA e política de senhas.
• Descarte seguro de documentos físicos e digitais ao fim do prazo de retenção.
• Plano de resposta a incidentes com critério de comunicação à ANPD e aos titulares.
• Treinamento anual das equipes que lidam com dados pessoais.

O custo de não fazer

As sanções previstas na lei vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados envolvidos.

Na prática, porém, o impacto que chega primeiro costuma ser comercial: cada vez mais contratos exigem evidências de conformidade, questionários de segurança e a indicação formal de um encarregado. Sem isso, a empresa perde negócios antes de qualquer fiscalização.