Se você tem uma loja, um consultório, um salão, uma oficina ou vende pela internet, você coleta dados pessoais todos os dias: nome, telefone, CPF, endereço, histórico de compras. A LGPD vale para você também, e o jeito de começar é menos assustador do que parece. Este roteiro traz uma orientação geral. Para sua situação específica, confirme com um advogado ou consultor de proteção de dados.
A lei vale para negócio pequeno?
Sim. A LGPD (Lei 13.709/2018) se aplica a quem trata dados pessoais com finalidade econômica ou profissional, de qualquer tamanho. Isso inclui o MEI que anota o WhatsApp do cliente, a loja virtual que guarda endereços e a clínica que mantém fichas.
A boa notícia é que a Autoridade Nacional de Proteção de Dados (ANPD) reconhece que microempresas e pequenos negócios têm menos estrutura e prevê regras simplificadas para os chamados agentes de tratamento de pequeno porte, como prazos diferentes e dispensa de algumas formalidades. Mesmo assim, os princípios básicos valem: usar os dados para um fim claro, coletar só o necessário, ser transparente e proteger o que guarda. Confirme no site da ANPD o que se aplica ao seu enquadramento.
Passo 1: descubra que dados você tem
Antes de qualquer documento, faça um levantamento simples, em planilha ou caderno:
- Que dados você coleta: nome, CPF, telefone, e-mail, endereço, foto, dados de saúde, dados de cartão.
- De quem: clientes, funcionários, fornecedores, candidatos a vaga.
- Por onde entram: balcão, WhatsApp, site, formulário, marketplace, ficha de papel.
- Onde ficam: sistema de gestão, planilha, celular, e-mail, nuvem, caderno, câmera.
- Quem acessa: você, funcionários, contador, fornecedores de sistema.
- Para quê usa e por quanto tempo guarda.
Esse mapa já mostra os maiores riscos: dados espalhados em muitos lugares, planilhas sem senha, pessoas demais com acesso.
Passo 2: defina a base legal e colete só o necessário
Toda coleta precisa de uma justificativa prevista na lei, a chamada base legal. As mais comuns em pequenos negócios:
- Execução de contrato: você precisa do endereço para entregar a compra.
- Obrigação legal: emitir nota fiscal exige alguns dados.
- Consentimento: quando o cliente aceita receber ofertas ou ter a foto usada em divulgação.
- Legítimo interesse: usos razoáveis e esperados, com cuidado para não ferir direitos do cliente.
- Proteção do crédito e outras bases em casos específicos.
Ao mesmo tempo, pratique a minimização: se o cadastro não precisa de data de nascimento, não peça. Dados sensíveis, como saúde, e dados de crianças pedem ainda mais cuidado. Se o negócio é de saúde, estética ou educação, vale orientação profissional.
Passo 3: transparência e política de privacidade
O cliente precisa saber o que você faz com os dados dele. Publique, no site ou em um QR Code no balcão, uma política de privacidade clara, com:
- Quem é o negócio e como falar com ele.
- Quais dados são coletados e para quê.
- Com quem os dados são compartilhados (transportadora, contador, plataforma de pagamento, sistema de gestão).
- Por quanto tempo são guardados.
- Como o cliente exerce os direitos de acesso, correção e exclusão. Veja LGPD: quais são seus direitos.
- Cookies, se houver site, com aviso que permita recusar o que não é essencial.
Evite copiar um texto qualquer da internet: ele precisa refletir o que você realmente faz.
Passo 4: proteja os dados na prática
A lei exige medidas de segurança adequadas. Para o pequeno negócio, isso começa com o básico bem feito:
- Senhas fortes e únicas, em gerenciador, e verificação em duas etapas em e-mail, sistema e redes.
- Acesso por pessoa, nada de login compartilhado. Quem sai da empresa perde o acesso no mesmo dia.
- Backup protegido e testado, e computadores atualizados e com antivírus.
- Criptografia em notebooks e celulares que saem do local.
- Papel com cuidado: fichas em armário trancado, e descarte com fragmentação.
- Cuidado com IA e ferramentas online: não cole dados de clientes em qualquer serviço. Veja é seguro colocar dados de clientes em ferramentas de IA?.
Passo 5: fornecedores, funcionários e incidentes
Seus fornecedores também tratam dados em seu nome: sistema de gestão, plataforma de e-commerce, contador, hospedagem. Confira se têm política de privacidade e segurança, e registre o que cada um recebe. Em contratos relevantes, peça cláusulas de proteção de dados.
Sobre sua equipe:
- Oriente os funcionários: não fotografar telas com dados, não compartilhar listas por conversas pessoais, não abrir anexos suspeitos.
- Assine termos de confidencialidade quando houver acesso a dados sensíveis.
Se houver um incidente, como vazamento, perda de aparelho ou invasão com risco aos clientes:
- Contenha o problema: troque senhas, desconecte aparelhos, bloqueie acessos.
- Registre o que aconteceu: data, dados envolvidos, pessoas afetadas.
- Avalie se há risco ou dano relevante aos titulares. Se houver, é preciso comunicar a ANPD e os titulares em prazo curto, que a regulamentação atual fixa em poucos dias úteis. Confira o prazo no site da ANPD.
- Procure orientação jurídica e técnica.
Veja também vazamento de dados: o que fazer.
Passo 6: crie rotina e responsável
A adequação não termina com um documento. Defina:
- Um responsável pelo assunto, mesmo que seja o dono. Mesmo quando a dispensa de indicar encarregado se aplica, é preciso oferecer um canal para o titular entrar em contato.
- Um canal simples: um e-mail dedicado ou um formulário.
- Revisão a cada poucos meses: novos sistemas, novas campanhas e novos funcionários mudam o mapa de dados.
- Prazo de guarda e descarte registrados.
Erros comuns
- Achar que a lei é só para grandes empresas.
- Pedir consentimento para tudo ou, ao contrário, nenhum.
- Listas de clientes compartilhadas em grupos de WhatsApp.
- Planilhas sem senha circulando por e-mail.
- Política de privacidade copiada que não corresponde à prática.
- Marketing sem cuidado: enviar ofertas para quem não pediu ou sem opção de sair.
Para começar esta semana, faça o mapa de dados em uma folha, apague o que não precisa guardar e coloque senha e verificação em duas etapas nos acessos principais. Com isso, você já reduz muito o risco e tem uma base para conversar com um advogado.