VKSECURITY LGPD para pequenas e médias: por onde começar sem travar a operação
A primeira multa da ANPD caiu numa microempresa — mas há um regime simplificado que quase ninguém usa. O plano de 90 dias, começando pelo RH.
A primeira multa da história da LGPD, aplicada pela ANPD em julho de 2023, não caiu sobre um banco nem sobre uma big tech. Caiu sobre uma microempresa — a Telekall Infoservice, punida por usar dados pessoais em disparos de WhatsApp eleitoral sem base legal. O valor foi modesto (R$ 14,4 mil); o recado, não: tamanho não é blindagem, e a fiscalização começou justamente por onde ninguém esperava. Desde então, as sanções da autoridade alcançaram inclusive órgãos públicos.
O que a lei realmente pede — sem juridiquês
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale desde setembro de 2020 e tem uma espinha dorsal simples: todo uso de dado pessoal precisa de um motivo previsto em lei. São dez as chamadas “bases legais” do artigo 7º — cumprir contrato, obrigação legal, interesse legítimo, consentimento, entre outras. “Sempre guardamos” não está na lista.
As sanções vão de advertência a multa de até 2% do faturamento, com teto de R$ 50 milhões por infração. Mas o custo que chega primeiro é comercial: cliente grande hoje exige adequação em contrato, e quem não responde ao questionário de privacidade perde o negócio antes de ver qualquer fiscal.
E um alívio que pouca PME conhece: a ANPD criou um regime simplificado para agentes de pequeno porte (Resolução CD/ANPD nº 2/2022) — micro e pequenas empresas têm obrigações reduzidas, prazos em dobro e ficam até dispensadas de nomear o “encarregado de dados” formal, desde que mantenham um canal de contato com titulares. Adequação de PME não precisa (nem deve) copiar o programa de um banco.
Comece pelos armários, não pela carteira
Muita empresa trava porque acha que adequação começa comprando sistema. Começa com uma pergunta trabalhosa: quais dados de pessoas a empresa guarda, onde, e quem acessa? Planilha de RH, currículos parados no e-mail, cadastro de clientes, gravações do WhatsApp comercial, cópias de RG num armário físico — tudo é dado pessoal, tudo conta.
Com o mapa na mão, o caminho tem quatro passos:
- Inventarie (primeiros 30 dias) — sistemas, planilhas, e-mails, papel. Sem mapa, política é ficção.
- Justifique (até 60 dias) — para cada uso, uma base legal do artigo 7º, anotada. O exercício revela os usos que não se sustentam — e que devem parar.
- Minimize (até 90 dias) — o dado que você não tem é o dado que não vaza. Currículo de 2019, cadastro morto e cópia de RG sem função só geram risco.
- Prepare a resposta — canal para o titular pedir seus dados e um plano de incidente com nomes e prazos. Desde 2024, a regulamentação da ANPD exige comunicar vazamentos relevantes em 3 dias úteis. A primeira pergunta é sempre “quando você soube e o que fez”.
Por que o RH está no centro disso
O RH é o maior guardião de dados pessoais da empresa — e dos mais sensíveis: salário, saúde, dependentes, conta bancária, atestados. É também onde moram os dados de ex-colaboradores que ninguém mais olha, mas continuam sendo responsabilidade legal da empresa por anos, por causa das obrigações trabalhistas. Começar o inventário pelo RH não é sugestão de consultor: é onde mora o risco concentrado.
Um teste honesto para fazer hoje: peça ao RH a lista de quem tem acesso à pasta de atestados médicos. Se a resposta demorar mais de uma hora — ou for “todo mundo do departamento” —, você acabou de encontrar o ponto de partida do seu programa.
LGPD não é um projeto com data de fim — é rotina, como fechamento de folha. O programa simples que roda todo mês vale mais que o perfeito que parou no ano passado.
Fontes
- Lei nº 13.709/2018 (LGPD), íntegra: planalto.gov.br
- Regime simplificado para pequeno porte: Resolução CD/ANPD nº 2/2022 — gov.br/anpd
- Primeira sanção (Telekall, jul/2023) e Regulamento de Comunicação de Incidentes (3 dias úteis): ANPD
