LGPD na prática: guia para PMEs se adequarem sem complicação

O que é a LGPD e por que ela importa para PMEs

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018), conhecida como LGPD, é a legislação brasileira que regulamenta a coleta, o armazenamento, o tratamento e o compartilhamento de dados pessoais. Inspirada na GDPR europeia, a LGPD entrou em vigor em setembro de 2020 e as sanções administrativas estão sendo aplicadas pela ANPD (Autoridade Nacional de Proteção de Dados) desde agosto de 2021.

Muitas PMEs ainda acreditam que a LGPD é "coisa de empresa grande". Esse é um dos maiores equívocos do mercado. A lei se aplica a qualquer pessoa física ou jurídica, de qualquer porte, que realize tratamento de dados pessoais — ou seja, que colete, armazene, use, compartilhe ou elimine dados que identifiquem ou possam identificar uma pessoa. Se sua empresa tem colaboradores com CPF na folha, clientes com e-mail cadastrado ou visitantes no site com cookies, a LGPD se aplica a você.

Além do aspecto legal, a adequação à LGPD é cada vez mais um diferencial competitivo. Grandes empresas e órgãos públicos já exigem que seus fornecedores e parceiros estejam em conformidade. PMEs que não se adequam perdem oportunidades de negócio, além de ficarem expostas a multas que podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração.

Conceitos fundamentais que você precisa conhecer

Antes de iniciar a adequação, é essencial dominar os conceitos básicos da lei. Eles aparecem em todos os documentos, contratos e relatórios relacionados à LGPD:

Dado pessoal

Qualquer informação que identifique ou possa identificar uma pessoa natural. Exemplos: nome, CPF, RG, e-mail, endereço, telefone, IP, localização GPS, cookies de navegação. Dados de pessoas jurídicas (CNPJ, razão social) não são dados pessoais para fins da LGPD.

Dado pessoal sensível

Categorias especiais que exigem proteção reforçada: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dados genéticos, dados biométricos. Empresas que tratam esses dados (clínicas, academias com biometria, RH com dados de saúde) precisam de cuidado redobrado.

Controlador

É a empresa ou pessoa que decide por que e como os dados pessoais são tratados. Na maioria dos casos, sua empresa é o controlador dos dados dos seus clientes e colaboradores. O controlador é o principal responsável perante a LGPD e a ANPD.

Operador

É a empresa ou pessoa que realiza o tratamento de dados em nome do controlador. Exemplos: empresa de contabilidade que processa folha de pagamento, plataforma de e-mail marketing, provedor de backup em nuvem. O operador deve seguir as instruções do controlador e manter medidas de segurança adequadas.

DPO (Encarregado de Proteção de Dados)

Pessoa indicada pelo controlador para ser o canal de comunicação entre a empresa, os titulares dos dados e a ANPD. A ANPD flexibilizou essa exigência para PMEs — agentes de tratamento de pequeno porte podem indicar o DPO de forma simplificada ou até dispensá-lo em alguns casos, desde que disponibilizem um canal de comunicação com os titulares.

"A LGPD não foi criada para punir empresas — foi criada para proteger pessoas. Quando você se adequa, não está apenas evitando multas: está demonstrando respeito pelos dados dos seus clientes, colaboradores e parceiros. E isso constrói confiança."

Passos práticos para adequação de PMEs

A adequação à LGPD não precisa ser um projeto de milhões. Para PMEs, a abordagem deve ser prática, proporcional ao risco e progressiva. Veja o passo a passo:

1. Mapeamento de dados (Data Mapping)

O primeiro e mais importante passo é mapear todos os dados pessoais que sua empresa coleta, armazena e compartilha. Para cada dado, documente:

• Que dados são coletados: nome, CPF, e-mail, telefone, endereço, dados bancários, etc.
• De quem: clientes, colaboradores, candidatos, fornecedores, visitantes do site
• Para qual finalidade: cadastro, faturamento, marketing, folha de pagamento, etc.
• Onde são armazenados: planilhas, ERP, CRM, e-mail, servidor de arquivos, nuvem
• Com quem são compartilhados: contabilidade, marketing, parceiros, ferramentas SaaS
• Por quanto tempo são mantidos: definir prazos de retenção para cada tipo de dado
• Qual a base legal: consentimento, contrato, obrigação legal, legítimo interesse, etc.

Esse mapeamento pode começar com uma planilha simples. O importante é ser honesto e completo — não adianta mapear apenas o que é conveniente.

2. Definição de bases legais

A LGPD prevê 10 bases legais que autorizam o tratamento de dados. Para PMEs, as mais comuns são:

• Consentimento: o titular autoriza expressamente (ex.: aceitar receber newsletter). Deve ser livre, informado e específico. O titular pode revogar a qualquer momento
• Execução de contrato: dados necessários para cumprir um contrato (ex.: endereço para entrega de produto)
• Obrigação legal ou regulatória: dados exigidos por lei (ex.: CPF para nota fiscal, dados trabalhistas para eSocial)
• Legítimo interesse: quando o tratamento é necessário para uma finalidade legítima do controlador, desde que não prejudique os direitos do titular (ex.: envio de ofertas relacionadas a compras anteriores). Requer uma análise documentada (LIA — Legitimate Interest Assessment)

3. Consentimento e transparência

Sempre que o tratamento se basear em consentimento, este deve ser obtido de forma clara, específica e documentada. Isso significa:

• Checkboxes específicos e desmarcados por padrão (nada de "ao continuar, você concorda com tudo")
• Informar claramente para que os dados serão usados antes de coletar
• Permitir que o titular revogue o consentimento de forma tão fácil quanto deu
• Registrar quando, como e para que o consentimento foi dado (log de consentimento)

4. Política de privacidade

Toda empresa que coleta dados pessoais — inclusive pelo site — deve ter uma política de privacidade acessível, em linguagem clara e que informe:

• Quais dados são coletados e para quais finalidades
• Com quem os dados são compartilhados
• Como os dados são protegidos
• Quais são os direitos do titular (acesso, correção, exclusão, portabilidade)
• Como exercer esses direitos e como contatar o DPO ou canal responsável
• Prazo de retenção dos dados

Evite copiar políticas genéricas da internet. A política deve refletir a realidade da sua empresa.

Medidas de segurança exigidas pela LGPD

O artigo 46 da LGPD determina que os agentes de tratamento devem adotar "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas". Embora a lei não especifique quais medidas exatas, as boas práticas incluem:

Medidas técnicas

• Controle de acesso: cada colaborador acessa apenas os dados necessários para sua função (princípio do menor privilégio)
• Criptografia: dados sensíveis devem ser criptografados em trânsito (HTTPS/TLS) e em repouso (AES-256)
• Backup regular: backups automáticos com testes de restauração periódicos
• Firewall e antivírus: proteção de perímetro e endpoints atualizados
• Autenticação forte: senhas complexas + autenticação de dois fatores (2FA) para sistemas críticos
• Atualizações de segurança: patches aplicados regularmente em sistemas operacionais, aplicações e firmwares
• Monitoramento: logs de acesso a dados pessoais para auditoria e detecção de anomalias

Medidas administrativas

• Política de segurança da informação: documento formal que define regras, responsabilidades e procedimentos
• Treinamento de colaboradores: todos devem saber o que são dados pessoais, como protegê-los e o que fazer em caso de incidente
• Contratos com operadores: incluir cláusulas de proteção de dados em contratos com fornecedores que acessam dados pessoais
• Plano de resposta a incidentes: procedimento documentado para agir rapidamente em caso de vazamento ou violação
• Registro das atividades de tratamento: documentação de todos os tratamentos realizados (o mapeamento de dados é a base)

"A LGPD não exige perfeição — exige diligência. A ANPD avalia se a empresa tomou medidas proporcionais ao seu porte e ao risco envolvido. Uma PME que demonstra esforço legítimo de adequação, com documentação e medidas básicas implementadas, está em posição muito melhor do que uma que não fez nada."

Penalidades: o que está em jogo

As sanções da LGPD são aplicadas pela ANPD e variam conforme a gravidade da infração, a boa-fé do infrator, a adoção de políticas de proteção de dados e a cooperação com a autoridade. As penalidades incluem:

• Advertência: com prazo para adoção de medidas corretivas
• Multa simples: até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração
• Multa diária: para forçar o cumprimento de uma obrigação, acumulando enquanto a irregularidade persistir
• Publicização da infração: divulgação pública do incidente, causando dano reputacional
• Bloqueio ou eliminação dos dados: a empresa é proibida de usar os dados até se regularizar
• Suspensão parcial do banco de dados: por até 6 meses, prorrogáveis
• Proibição parcial ou total de atividades de tratamento: a penalidade mais severa, que pode inviabilizar operações que dependem de dados

Além das sanções da ANPD, empresas podem ser processadas judicialmente por titulares que sofreram danos — e decisões judiciais por vazamento de dados estão se tornando cada vez mais comuns no Brasil, com indenizações que variam de R$ 5.000 a R$ 100.000 por titular afetado.

Como a MakWeb ajuda na adequação à LGPD

A MakWeb oferece um pacote completo de adequação à LGPD voltado para PMEs, combinando consultoria em processos com implementação de medidas técnicas de segurança. Nosso trabalho começa com o mapeamento de dados e a análise de gaps, identificando exatamente onde sua empresa está hoje e o que precisa ser feito para atingir conformidade.

Na frente técnica, implementamos as camadas de segurança necessárias: firewall gerenciado com controle de acesso, backup com criptografia AES-256 e conformidade com a lei, proteção de endpoints com SentinelOne, e-mail seguro com MakWeb Mail (já configurado com SPF, DKIM e DMARC), e monitoramento contínuo para detecção e resposta a incidentes.

Na frente documental, apoiamos a elaboração da política de privacidade, política de segurança da informação, termos de consentimento, contratos com operadores e plano de resposta a incidentes. Tudo personalizado para a realidade da sua empresa — não usamos templates genéricos.

Além da adequação inicial, a MakWeb oferece gestão contínua de compliance, com revisões periódicas do mapeamento de dados, testes de segurança (pentest), treinamento de colaboradores e suporte para atender solicitações de titulares e demandas da ANPD. A adequação à LGPD não é um projeto com data de fim — é um processo contínuo, e a MakWeb garante que sua empresa se mantenha em conformidade ao longo do tempo.