LGPD na prática: o que o sistema de uma pequena empresa precisa ter

A LGPD vale para a minha empresa?

Vale para qualquer empresa que trata dados pessoais no Brasil, e todo negócio com cadastro de clientes trata. Nome, telefone, CPF, endereço e histórico de compras são dados pessoais. A lei não isenta ninguém por tamanho.

A Autoridade Nacional de Proteção de Dados (ANPD) publicou a Resolução CD/ANPD nº 2/2022, com regras diferenciadas para microempresas, empresas de pequeno porte e startups, chamadas de agentes de tratamento de pequeno porte. Entre as flexibilizações estão prazos maiores em alguns procedimentos e a dispensa de indicar um encarregado, desde que exista um canal de comunicação com o titular. Quem faz tratamento de alto risco, como o uso de dados sensíveis em larga escala, não aproveita esse tratamento diferenciado.

• Dado pessoal: informação que identifica ou pode identificar uma pessoa
• Dado sensível: saúde, vida sexual, dado genético ou biométrico, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político (art. 5º, II)
• Titular: a pessoa a quem os dados se referem, seja cliente, paciente, aluno ou funcionário
• Controlador: a sua empresa, que decide o que fazer com os dados

Coletar só o necessário e com base legal

O primeiro requisito é de desenho, não de tecnologia. O art. 6º lista os princípios da lei, entre eles finalidade, adequação e necessidade: você só deve pedir o dado que tem um uso definido.

Na prática, isso muda o formulário. Uma barbearia precisa de nome e telefone para agendar; não precisa de CPF. Uma clínica precisa de dados de saúde para atender, mas não para mandar promoção.

Cada uso precisa de uma base legal do art. 7º, ou do art. 11 quando o dado é sensível. As mais comuns em pequenos negócios são execução de contrato, cumprimento de obrigação legal, legítimo interesse e consentimento. Mensagem de marketing por WhatsApp costuma depender de consentimento, e o sistema precisa guardar quando ele foi dado e permitir que seja retirado.

• Cada campo do cadastro tem uma finalidade escrita
• Campos opcionais são de fato opcionais
• Consentimento para marketing separado do aceite do serviço
• Registro da data e da forma do consentimento, com opção de cancelar

Quem da equipe vê o quê

O art. 46 exige medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados. Numa pequena empresa, a medida com mais efeito prático é o controle de acesso por função.

Planilha compartilhada e um login único para a equipe toda são os pontos fracos mais comuns. No sistema, cada pessoa tem o próprio usuário, e o perfil define o que ela vê: a recepção vê agenda e contato; o financeiro vê pagamentos; só o profissional responsável vê prontuário ou anotações clínicas. Quando alguém sai da empresa, o acesso é desligado no mesmo dia.

• Um login por pessoa, nunca senha compartilhada
• Perfis de acesso por função
• Dado sensível visível só para quem precisa dele
• Desligamento imediato do acesso de ex-funcionários
• Verificação em duas etapas para contas administrativas

Registro de quem acessou e alterou

O art. 37 determina que controlador e operador mantenham registro das operações de tratamento que realizam. No dia a dia, isso se traduz num log: quem viu, criou, alterou, exportou ou excluiu um dado, e quando.

O log serve para três coisas: descobrir o que aconteceu num incidente, demonstrar que a empresa agiu corretamente se for questionada e inibir uso indevido pela própria equipe. Planilha não faz isso de forma confiável. Um sistema bem feito faz por padrão.

• Data, hora e usuário de cada alteração
• Registro de exportações e downloads em massa
• Log protegido contra edição por usuários comuns

Os direitos do titular dentro do sistema

O art. 18 dá ao titular direitos que a empresa precisa conseguir atender: confirmar se trata dados dele, acessar, corrigir, pedir anonimização ou eliminação do que for desnecessário, pedir portabilidade, saber com quem os dados foram compartilhados e revogar o consentimento.

Sem sistema, atender um pedido desses significa procurar o nome da pessoa em planilhas, conversas e pastas. Com sistema, é uma busca. Uma área do cliente com login vai além: o próprio titular consulta e corrige parte dos dados sozinho.

Eliminar não é apagar tudo. O art. 16 permite manter dados para cumprir obrigação legal ou regulatória. Documentos fiscais e prontuários, por exemplo, têm regras próprias de guarda. O sistema precisa separar o que pode ser eliminado do que deve ser mantido, e registrar o motivo.

• Busca de todos os dados de uma pessoa num lugar só
• Exportação dos dados do titular em formato legível
• Correção com registro de quem alterou
• Eliminação ou anonimização, respeitando o que a lei manda guardar
• Revogação de consentimento com efeito imediato nos envios

Incidente de segurança: o que fazer

Se houver vazamento ou acesso indevido que possa causar risco ou dano relevante aos titulares, o art. 48 obriga o controlador a comunicar a ANPD e os titulares afetados. A ANPD regulamentou o prazo e o conteúdo dessa comunicação em resolução própria; confira a regra vigente no site oficial da autoridade (gov.br/anpd) quando precisar, porque ela pode ser atualizada.

O sistema ajuda em duas frentes: reduzir a chance de incidente, com acesso por função, conexão criptografada e cópias de segurança, e responder rápido quando ele acontece, com log para saber o que foi acessado, quando e por quem.

• Cópias de segurança automáticas e testadas
• Conexão criptografada (HTTPS) em todas as telas
• Log para medir o alcance do incidente
• Responsável pela resposta definido antes de precisar

Sanções e por que vale se preparar

O art. 52 prevê sanções que vão de advertência e multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, até o bloqueio e a eliminação dos dados envolvidos. Para uma pequena empresa, além da multa, pesam a reclamação do cliente e o dano à reputação.

A boa notícia é que a maior parte do que a lei pede coincide com boa organização: saber quais dados você tem, quem acessa e onde estão guardados.

O caminho para um sistema que já nasce com isso

Um sistema pronto de boa reputação já traz login individual, permissões e cópia de segurança. Se ele atende o seu processo, é um bom caminho para organizar a proteção de dados sem projeto próprio.

Num sistema sob medida, a proteção de dados entra no desenho desde o primeiro dia. No HireBrazilDevs Brasil, o levantamento inclui quais dados são coletados, para quê, quem acessa e por quanto tempo ficam guardados. Perfis de acesso, log de alterações e cópias de segurança são definidos no escopo, por R$ 2.000 por mês pagos por Pix, com hospedagem e manutenção. Escopo e prazo ficam no contrato antes de começar, e os dados pertencem à sua empresa.

Um aviso honesto: sistema não substitui orientação jurídica. Política de privacidade, bases legais e contratos com fornecedores devem ser revisados por um advogado. O sistema é a ferramenta que permite cumprir o que foi decidido.

• Mapa dos dados coletados e da finalidade de cada um
• Perfis de acesso e log definidos no escopo
• Revisão da política de privacidade com advogado de sua confiança