Uma empresa com três funcionários se adequa à LGPD (Lei 13.709/2018) em sete passos, e nenhum deles exige contratar consultoria. A ANPD criou um regime simplificado para agentes de pequeno porte, que dispensa a nomeação de um encarregado de dados e reduz a burocracia dos registros. O que fica é o essencial: saber onde os dados estão, ter motivo para cada um, proteger e responder ao cliente.
O pequeno negócio costuma travar em dois extremos. Ou acha que a lei "é para empresa grande" e não faz nada, ou compra um pacote de 40 páginas de documentos que ninguém lê. Nenhum dos dois protege. O que protege é a prática, e a prática cabe numa tarde por semana durante um mês.
Por onde começar a adequação?
Pelo mapa de dados, que responde a quatro perguntas por lugar: que dado está aqui, de quem, para quê, quem acessa. Faça numa planilha simples, uma linha por lugar. Numa empresa de três pessoas, o mapa costuma ter de oito a 15 linhas: WhatsApp, planilha de clientes, sistema de vendas, e-mail, formulário do site, folha de pagamento, maquininha, arquivo físico.
Com o mapa pronto, aparecem o dado sem motivo, que você apaga, o lugar sem dono, que você atribui, e o acesso de quem não precisa, que você corta. Só esse exercício já reduz o risco, porque o vazamento típico vem do dado esquecido, não do dado usado.
Quais são os sete passos?
Deslize a tabela para os lados para ver todas as colunas.
| Passo | O que fazer | Tempo |
|---|---|---|
| 1. Mapa de dados | Planilha: lugar, dado, finalidade, quem acessa | Uma tarde |
| 2. Política de privacidade | Uma página, em português claro, a partir do mapa | Duas horas |
| 3. Canal do titular | E-mail privacidade@ e quem responde, em até 15 dias | Uma hora |
| 4. Senhas e duas etapas | Gerenciador de senhas e verificação em duas etapas no e-mail, no Instagram e no sistema | Duas horas |
| 5. Acesso por pessoa | Cada funcionário com login próprio; sem senha compartilhada | Duas horas |
| 6. Fornecedores | Confirmar que contador, plataforma e transportadora têm contrato ou termo de tratamento | Uma tarde |
| 7. Equipe | Conversa de 30 minutos: o que pode, o que não pode, o que fazer se der problema | 30 minutos |
O passo 5 é o que a maioria pula e o que mais dói depois. Senha compartilhada significa que, quando alguém sai da empresa, você não sabe o que ela ainda acessa. Login próprio se desliga em um clique no dia da saída.
O passo 7 vale mais que qualquer documento. Bastam estas regras: não guarde dado de cliente no celular pessoal, não mande planilha por WhatsApp, avise na hora se perder o celular ou clicar num link estranho. Sobre celular pessoal, o assunto tem guia próprio: https://avilaops.com/guias/dado-de-cliente-no-whatsapp-pessoal-do-funcionario/.
O que a empresa pequena pode deixar de fazer?
No regime simplificado da ANPD, a pequena empresa não precisa nomear encarregado, mas precisa manter um canal de contato para o titular. O relatório de impacto, documento longo sobre riscos, é feito quando a ANPD pede. Só que o regime simplificado (Resolução CD/ANPD nº 2/2022) não vale para quem faz tratamento de alto risco, como dado sensível em larga escala. Registros das operações podem ser simplificados: o seu mapa de dados atende.
O que não muda para ninguém: base legal para cada dado, informação clara ao titular, segurança proporcional e comunicação de incidente relevante. Se a sua empresa trata dado sensível, como clínica ou academia com biometria, o cuidado sobe e vale uma conversa com quem entende.
O que fazer agora
Reserve a primeira tarde para o mapa de dados. Sem ele, os outros seis passos são chute. Com ele, a política se escreve em duas horas e os acessos se corrigem no mesmo dia. Se preferir que alguém olhe a sua operação e diga o que está exposto, a gente faz esse diagnóstico em uma conversa: https://avilaops.com/contato/ ou chame no WhatsApp: https://wa.me/5517997811471. O básico da lei está em https://avilaops.com/guias/o-que-e-lgpd-a-quem-se-aplica/.
Perguntas frequentes
Preciso de um encarregado de dados (DPO)? No regime simplificado da ANPD para pequeno porte, não. Você precisa de um canal de contato publicado, como um e-mail, e de alguém que responda por ele. Pode ser o dono.
Meu contador cuida da LGPD? Não. O contador é operador dos dados da folha e precisa de contrato ou termo dizendo isso. A responsabilidade pela adequação da empresa é sua.
Quanto custa se adequar? Os sete passos custam tempo, não dinheiro: gerenciador de senhas tem versão gratuita, e-mail profissional custa a partir de uns R$ 10 por caixa por mês. O custo real aparece quando um sistema precisa substituir planilha e celular, e isso depende do diagnóstico.
