Minha empresa é pequena, a LGPD vale para mim?

"Isso é coisa de empresa grande." Se você já pensou assim sobre a LGPD, saiba que a dúvida é comum — e a resposta é mais simples do que parece: a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) vale para praticamente qualquer negócio que lide com informações de pessoas. Não existe um "tamanho mínimo" para a lei se aplicar. Se a sua empresa tem clientes, funcionários ou fornecedores que são pessoas físicas, ela já trata dados pessoais e, portanto, já está dentro do alcance da LGPD.

Por que a lei não olha o porte da empresa

O artigo 1º da Lei nº 13.709/2018 diz que ela se aplica a qualquer operação de tratamento de dados pessoais, feita por pessoa física ou jurídica, de direito público ou privado. E o artigo 3º reforça: basta que o tratamento ocorra no Brasil ou envolva dados de pessoas localizadas aqui. Em nenhum momento a lei menciona faturamento, número de funcionários ou enquadramento como MEI, ME ou EPP como critério para ficar de fora.

Ou seja: a padaria de bairro, o salão de beleza, a loja virtual de uma pessoa só — todos tratam dados pessoais e todos estão sujeitos à lei.

O que muda para o pequeno: o tratamento flexibilizado da ANPD

A boa notícia é que a Autoridade Nacional de Proteção de Dados (ANPD) reconheceu que uma empresa pequena não tem a mesma estrutura de uma multinacional. A Resolução CD/ANPD nº 2/2022 criou regras diferenciadas para os chamados agentes de tratamento de pequeno porte, categoria que inclui microempresas, empresas de pequeno porte e startups.

Na prática, esses agentes ganham obrigações simplificadas — como a possibilidade de manter um registro das operações de tratamento em formato mais enxuto e prazos em dobro para atender solicitações dos titulares. Atenção a um detalhe: quem realiza tratamento de alto risco (por exemplo, dados sensíveis em larga escala) pode perder parte dessas facilidades. Vale a pena verificar o texto da resolução para o seu caso concreto.

Importante: flexibilizar não é isentar. A empresa pequena continua precisando tratar dados com finalidade legítima e responder aos titulares — só que com um caminho mais proporcional ao seu tamanho.

Os dados que toda empresa coleta sem perceber

Muitos empreendedores acham que "não tratam dados" porque não têm um grande banco de dados. Mas repare no dia a dia:

• Nome e telefone de clientes salvos no WhatsApp comercial;
• CPF em notas fiscais e recibos;
• Currículos recebidos por e-mail;
• Cadastro de funcionários (dados trabalhistas e, às vezes, de saúde);
• Lista de e-mails para promoções;
• Imagens de câmeras de segurança.

Tudo isso é tratamento de dados pessoais na definição do artigo 5º da LGPD — que inclui coleta, armazenamento, uso e até a simples consulta.

A curiosidade técnica

A LGPD quase nunca fala em "coletar" isoladamente: o termo central da lei é tratamento, definido no art. 5º, X, como toda operação realizada com dados pessoais — são mais de quinze verbos listados, incluindo "acesso", "reprodução" e "arquivamento". Por isso, mesmo a empresa que só guarda uma planilha antiga de clientes, sem nunca abri-la, já está tratando dados pessoais aos olhos da lei. Guardar também é tratar.

Os 3 primeiros passos da adequação

1. Mapeie o que você tem. Liste quais dados pessoais a empresa coleta, de quem, onde ficam guardados (planilha, sistema, celular) e quem tem acesso.
2. Pergunte "para quê?". Cada dado precisa de uma finalidade específica e de uma base legal do artigo 7º da LGPD. Se um dado não serve para nada, o caminho natural é eliminá-lo.
3. Informe e organize. Crie um aviso de privacidade simples dizendo ao cliente o que você faz com os dados dele e defina quem, na empresa, responde às solicitações dos titulares (art. 18).

Conclusão prática

A LGPD vale para a sua empresa, sim — mas a adequação de um negócio pequeno pode ser proporcional, organizada em etapas e sem pânico. Multas existem (art. 52 da lei), mas a ANPD prioriza orientação e proporcionalidade, e o empreendedor que começa cedo transforma a lei em diferencial de confiança, não em dor de cabeça.

Quer um diagnóstico simples de como a sua empresa trata dados pessoais? Fale com a SOREN Consultoria Empresarial e comece a adequação no seu ritmo.