Pequena empresa precisa se adequar à LGPD? O que muda para ME, EPP e MEI

Pequena empresa precisa se adequar à LGPD? Sim: a Lei Geral de Proteção de Dados vale para qualquer pessoa jurídica que trate dados pessoais no Brasil, de qualquer porte. A Resolução CD/ANPD 2/2022 reduz algumas obrigações das empresas pequenas, mas não as dispensa da lei.

Esta página é o mapa curto do que a ME, a EPP e o MEI precisam fazer. O papel do contador nos dados da sua empresa está em Contador e LGPD: o papel do escritório nos dados dos seus funcionários e clientes. Outras respostas rápidas estão em Perguntas.

A LGPD vale para pequena empresa?

Vale. O art. 3º da Lei 13.709/2018 diz que ela se aplica a qualquer operação de tratamento por pessoa natural ou jurídica, de direito público ou privado, desde que a operação seja realizada no território nacional ou a atividade vise ofertar bens ou serviços a pessoas no Brasil. Fica de fora, entre outros casos, o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos (art. 4º, I).

Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Nome, CPF, e-mail e telefone de cliente, ficha de funcionário e dado de saúde de paciente entram aí. Quase toda empresa trata dados.

Pequena empresa precisa se adequar à LGPD em quê, na prática?

A lei traz as regras para todos os agentes de tratamento:

• Ter base legal para cada uso do dado. O art. 7º lista as hipóteses, como o consentimento, o cumprimento de obrigação legal, a execução de contrato e o legítimo interesse.
• Respeitar os princípios do art. 6º, entre eles finalidade, adequação e necessidade.
• Atender os direitos do titular (art. 18): confirmação do tratamento, acesso, correção, eliminação de dados desnecessários e outros.
• Manter segurança (art. 46): medidas técnicas e administrativas para proteger os dados de acessos não autorizados e de perda ou alteração.
• Registrar as operações de tratamento (art. 37).
• Comunicar incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48).

Para a maioria dos pequenos negócios, o ponto de partida é um levantamento simples: que dados pessoais a empresa coleta, para quê, onde ficam e com quem são compartilhados. Documentar esse fluxo é parte do que se faz em Processos internos: o que documentar primeiro na pequena empresa e como fazer.

O que a Resolução CD/ANPD 2/2022 flexibiliza?

A ANPD editou regras para os agentes de tratamento de pequeno porte, definidos como microempresas, empresas de pequeno porte e startups, além de pessoas jurídicas sem fins lucrativos e pessoas naturais que tratam dados com obrigações de controlador ou operador. A norma inclui o MEI na definição de microempresa e empresa de pequeno porte (art. 2º). Em resumo, para quem se enquadra:

• Encarregado: não é obrigatório indicar (art. 11), mas é preciso disponibilizar um canal de comunicação com o titular. Indicar encarregado conta como boa prática.
• Registro das operações: pode ser feito de forma simplificada (art. 9º).
• Segurança: a empresa adota medidas essenciais e pode ter política simplificada de segurança da informação (arts. 12 e 13).
• Prazos: prazo em dobro para atender solicitações dos titulares e para comunicar incidentes de segurança (art. 14).
• Atendimento ao titular: pode ser por meio eletrônico, impresso ou outro que assegure o acesso facilitado (art. 7º).

Quando o regime flexível não vale?

A flexibilização não vale para quem (art. 3º da resolução):

• realiza tratamento de alto risco para os titulares;
• tem receita bruta acima do limite de microempresa e empresa de pequeno porte da LC 123 (ou da startup, na LC 182);
• pertence a grupo econômico cuja receita global ultrapasse esse limite.

Alto risco, pelo art. 4º, é o tratamento que atende ao menos um critério geral (larga escala, ou impacto significativo nos direitos dos titulares) e um específico (tecnologia inovadora, vigilância de zonas públicas, decisão automatizada ou uso de dados sensíveis ou de crianças, adolescentes e idosos). Clínica que trata dado de saúde em larga escala, por exemplo, precisa olhar essa conta com cuidado.

Além disso, a dispensa de uma obrigação não isenta o pequeno agente das demais regras da LGPD, das bases legais, dos princípios e dos direitos dos titulares (art. 6º), e a ANPD pode determinar o cumprimento de obrigações dispensadas conforme o caso (art. 16).

E se a empresa não se adequar?

A lei prevê sanções administrativas aplicadas pela ANPD, que vão de advertência a multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de publicização da infração, bloqueio e eliminação dos dados (art. 52). Quem causa dano a outrem em violação à lei é obrigado a repará-lo (art. 42).

A aplicação depende da gravidade e das circunstâncias. O ponto prático: o pequeno negócio que documenta o básico está em posição melhor do que o que não tem nada escrito.

Como a WJR trata o tema

A WJR tem serviços de terceirização da folha e de consultoria de processos internos, e o cliente fala com o time especializado no grupo de WhatsApp da empresa, num escritório presencial com pessoas reais, com mais de 30 anos de experiência e 5 estrelas no Google.

O serviço mais próximo é BPO financeiro e consultoria de processos internos para a sua empresa. Como a LGPD fica no seu caso, depende do caso, no Diagnóstico WJR a gente diz, gratuito e sem compromisso.

Perguntas frequentes

Fontes: Planalto, Lei 13.709/2018 (LGPD), arts. 3º, 4º, 5º, 6º, 7º, 18, 37, 41, 46, 48 e 52 https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm, ANPD, Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (texto atualizado pela Resolução CD/ANPD nº 15/2024) https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022