Se sua empresa coleta e-mail, CPF, endereço ou histórico de compra de clientes, ela trata dados pessoais e está sujeita à LGPD. A adequação à LGPD para empresas não é um projeto único de TI: é um conjunto de práticas contínuas que envolve mapear dados, definir base legal para cada tratamento, documentar processos e garantir segurança. A Lei 13.709/2018 vale para negócios de qualquer porte, do e-commerce à startup, do consultório à indústria.
O ponto de partida é entender que a lei não exige perfeição imediata. Ela exige responsabilidade demonstrável: saber quais dados você tem, por que os tem e como os protege. A ANPD, autoridade que fiscaliza e sanciona, pode aplicar multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Este guia percorre os passos concretos de adequação, o que muda conforme o porte da empresa e onde estão os riscos reais de não conformidade.
Por onde começa a adequação à LGPD
O primeiro passo de qualquer adequação é o mapeamento de dados. Sem saber o que a empresa trata, nenhuma outra etapa faz sentido.
Liste todas as operações em que dados pessoais entram no negócio: cadastro de clientes, folha de pagamento, currículos recebidos, formulários do site, sistemas de CRM, planilhas internas, integrações com fornecedores. Para cada uma, registre qual dado é coletado, de onde vem, com qual finalidade, por quanto tempo fica armazenado e com quem é compartilhado.
Esse inventário é a base de tudo. Ele revela tratamentos esquecidos (a planilha antiga de leads, o backup que ninguém apaga) e mostra onde estão os dados sensíveis, que recebem proteção reforçada pela lei. Empresas que pulam essa etapa acabam redigindo políticas genéricas que não correspondem à operação real.
Com o mapa em mãos, você identifica finalidades sem justificativa, retenção excessiva e compartilhamentos não documentados. Cada um desses pontos vira uma ação de correção.
Definir a base legal de cada tratamento
Toda operação com dado pessoal precisa de uma base legal. O art. 7º da LGPD lista as hipóteses que autorizam o tratamento, e escolher a base certa para cada finalidade é o núcleo técnico da adequação.
O erro mais comum é tratar consentimento como solução universal. Consentimento é apenas uma das bases, e uma das mais frágeis: pode ser revogado a qualquer momento. Se você apoia a folha de pagamento no consentimento do funcionário, o que acontece quando ele revoga? A base correta para dados de funcionários costuma ser a execução do contrato de trabalho e o cumprimento de obrigação legal, não consentimento.
Alguns exemplos de enquadramento:
| Tratamento | Base legal típica |
|---|---|
| Dados de cliente para entregar um pedido | Execução de contrato |
| Dados de funcionário para folha e eSocial | Obrigação legal |
| E-mail para newsletter e marketing | Consentimento |
| Prevenção a fraude em pagamento | Legítimo interesse |
| Guarda de nota fiscal pelo prazo fiscal | Obrigação legal |
O legítimo interesse (art. 7º) exige um teste de proporcionalidade documentado: a empresa precisa demonstrar que o interesse é legítimo, que o tratamento é necessário e que os direitos do titular foram ponderados. Não é uma base coringa para justificar qualquer coisa.
Segurança da informação e resposta a incidentes
A LGPD impõe o dever de adotar medidas de segurança técnicas e administrativas para proteger os dados (art. 46). A lei não define uma lista fechada de controles, mas exige proporcionalidade ao risco.
Na prática, isso significa controle de acesso (quem pode ver o quê), criptografia de dados sensíveis, backups seguros, política de senhas, registro de logs e revisão periódica de quem tem acesso a sistemas. Empresas que compartilham dados com fornecedores (hospedagem, sistema de e-mail marketing, folha terceirizada) precisam garantir que esses terceiros também tratem os dados de forma adequada, o que se faz por cláusula contratual específica. O escritório mantém um modelo de cláusula LGPD para contrato com fornecedor.
Quando ocorre um incidente de segurança (vazamento, acesso indevido, perda de dados) que possa causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e os titulares afetados em três dias úteis, contados do conhecimento do incidente (art. 48 da LGPD e Resolução ANPD 15/2024). Ter um procedimento de resposta a incidentes definido antes do problema acontecer é o que separa uma comunicação tempestiva de uma exposição descontrolada. O vazamento sem plano de resposta é um dos gatilhos mais frequentes de fiscalização.
Direitos dos titulares e canal de atendimento
A LGPD garante ao titular direitos concretos: acesso aos dados, correção de informação incompleta, eliminação de dados desnecessários, portabilidade e informação sobre com quem os dados foram compartilhados.
A empresa precisa de um canal para receber e responder essas solicitações em prazo razoável. Um endereço de e-mail dedicado (privacidade@empresa.com.br) já cumpre a função básica. O que não pode é ignorar o pedido ou dificultar seu exercício.
Isso conecta diretamente ao mapeamento: sem saber onde os dados estão, é impossível atender um pedido de exclusão de forma completa. Uma empresa que não localiza todos os registros de um titular ao receber uma solicitação está expondo a falha do seu inventário.
O regime dos agentes de pequeno porte
Nem toda empresa carrega o mesmo peso de obrigações. A Resolução ANPD 2/2022 criou um regime simplificado para agentes de tratamento de pequeno porte, categoria que abrange microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados em pequena escala.
Esse regime traz flexibilizações relevantes:
- Dispensa da indicação obrigatória de encarregado (DPO), desde que seja disponibilizado um canal de comunicação com os titulares.
- Prazos em dobro para atender requisições dos titulares e da ANPD.
- Simplificação na forma de manter registros das operações de tratamento.
A dispensa não é isenção. O agente de pequeno porte continua obrigado a ter base legal para cada tratamento, a garantir segurança dos dados, a atender os direitos dos titulares e a ser transparente. O que muda é o grau de formalismo exigido, não a essência dos deveres.
Importante notar que o enquadramento como pequeno porte pode ser afastado se a empresa tratar dados em alto volume ou dados sensíveis de forma que gere risco elevado aos titulares. Nesses casos, o regime simplificado não se aplica mesmo para uma microempresa.
O que diz a lei
A base normativa está na Lei Geral de Proteção de Dados (Lei 13.709/2018).
O art. 6º estabelece os princípios que orientam todo tratamento: finalidade, adequação, necessidade, transparência, segurança e responsabilização. Esses princípios são o parâmetro contra o qual a conformidade da empresa é medida.
O art. 7º lista as bases legais que autorizam o tratamento de dados pessoais comuns. Sem enquadramento em uma dessas hipóteses, o tratamento é irregular.
O art. 37 trata da obrigação de manter registro das operações de tratamento. O art. 41 trata do encarregado. O art. 46 impõe o dever de adotar medidas de segurança. O art. 48 cuida da comunicação de incidentes à ANPD e aos titulares, cujo prazo de três dias úteis foi fixado pela Resolução ANPD 15/2024. O art. 52 define as sanções administrativas, entre elas advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração e bloqueio ou eliminação dos dados.
A Resolução ANPD 2/2022 regula o tratamento por agentes de pequeno porte e detalha as flexibilizações aplicáveis a esse grupo. As resoluções estão no site da ANPD. O que a autoridade tem punido na prática está no post sobre sanções da ANPD em 2026.
Além da via administrativa, a empresa responde civilmente por danos causados aos titulares (arts. 42 a 45). Na prática dos tribunais, o titular precisa demonstrar o dano concreto decorrente do incidente, e a prova de que a empresa adotou medidas adequadas de segurança é o elemento central da defesa. Ter a adequação documentada não é formalidade: é o que sustenta a posição da empresa quando um problema chega ao Judiciário.
Quando vale procurar advogado
Boa parte da adequação inicial pode ser conduzida internamente: o mapeamento de dados, a criação de um canal de atendimento, a revisão de senhas e acessos. Uma empresa pequena e organizada consegue avançar sozinha nas primeiras etapas.
A análise técnica se torna necessária quando entram decisões jurídicas de enquadramento: qual base legal se aplica a cada tratamento, como redigir a política de privacidade para refletir a operação real, como estruturar cláusulas de proteção de dados em contratos com fornecedores e como conduzir o teste de legítimo interesse. Errar a base legal cria uma fragilidade que só aparece na fiscalização ou no litígio, quando corrigir sai mais caro.
Também demanda apoio jurídico a resposta a um incidente de segurança, a interlocução com a ANPD em caso de notificação e a defesa em processo administrativo sancionador ou em ação judicial movida por titular. Nessas situações, a decisão sobre o que comunicar, quando e em que termos tem consequências diretas sobre a responsabilidade da empresa.
Conclusão
Adequar a empresa à LGPD é um processo contínuo que começa por saber exatamente quais dados você trata e por qual motivo. Base legal correta, segurança proporcional ao risco, transparência com os titulares e capacidade de responder a incidentes são os pilares que a ANPD examina.
Empresas de pequeno porte têm um caminho mais leve pela Resolução ANPD 2/2022, mas nenhuma está fora da lei. A adequação bem feita não é só proteção contra multa: é o que dá sustentação à empresa quando um cliente questiona, um fornecedor exige garantias ou um incidente chega ao Judiciário.