Empresa pequena também precisa cumprir a LGPD?

Quem recebe o regime simplificado

Microempresas, empresas de pequeno porte, startups, organizações sem fins lucrativos e pessoas naturais em atividade profissional podem se enquadrar. Receita, grupo econômico e tratamento de alto risco precisam ser verificados.

Tratamento de alto risco pode afastar benefícios.

Consentimento não é a única base

Contrato, obrigação legal, exercício de direitos, legítimo interesse e outras bases podem autorizar o tratamento. Pedir consentimento para tudo cria insegurança e não corrige coleta excessiva.

Cada finalidade deve ter fundamento e transparência.

Adequação prática

Comece mapeando dados, sistemas, papéis, fornecedores, prazos e acessos. Elimine informações sem finalidade e crie canal para titulares.

Uma planilha bem mantida pode ser mais útil que software caro sem governança.

Segurança proporcional

Senhas individuais, autenticação em dois fatores, backups, atualizações, controle de acesso, descarte seguro e treinamento são medidas básicas.

Dados de saúde, biometria, crianças e grande volume exigem proteção reforçada.

Fornecedores e incidentes

Contador, nuvem, marketing e software podem tratar dados. Contratos devem prever finalidade, segurança, subcontratação, eliminação e resposta a incidentes.

Terceirizar não elimina a responsabilidade de escolher e fiscalizar adequadamente.

Como a análise jurídica deve ser construída

Uma avaliação segura de empresa pequena precisa cumprir a LGPD não pode partir apenas do título do problema. É necessário organizar a sequência dos acontecimentos, identificar todas as pessoas e instituições envolvidas e separar o que está comprovado do que ainda depende de confirmação. Na área de Digital e LGPD, costumam ter especial importância origem dos dados ou do conteúdo, logs, versões, cadeia de compartilhamento, papéis de controlador e operador e medidas de segurança.

Os documentos precisam ser lidos em conjunto. Registro simplificado, aviso de privacidade, política interna, contratos, matriz de acessos podem revelar datas, obrigações, contradições e providências já tentadas. Uma mensagem isolada ou um documento sem contexto raramente responde a todas as questões. A força da prova aumenta quando diferentes fontes confirmam a mesma cronologia.

Também é preciso comparar a versão da outra parte e antecipar as objeções mais prováveis. Isso permite formular pedidos proporcionais, evitar alegações que não podem ser demonstradas e distinguir uma irregularidade efetiva de uma situação apenas desagradável. O objetivo da análise não é prometer um resultado, mas identificar riscos, alternativas e a estratégia compatível com as provas disponíveis.

Cenários que podem mudar o resultado

Casos aparentemente semelhantes podem terminar de forma diferente. O resultado depende da combinação entre regra jurídica, prova e comportamento das partes. Entre os pontos que merecem conferência estão:

• A data e a forma como ocorreu quem recebe o regime simplificado podem alterar a regra aplicável.
• A data e a forma como ocorreu consentimento não é a única base podem alterar a regra aplicável.
• A data e a forma como ocorreu adequação prática podem alterar a regra aplicável.
• A data e a forma como ocorreu segurança proporcional podem alterar a regra aplicável.
• A existência de acordo, aviso prévio ou tentativa documentada de solução pode influenciar a avaliação.
• Fatos novos posteriores ao primeiro pedido ou à primeira notificação podem exigir mudança de estratégia.

Também devem ser verificados pagamentos, benefícios já recebidos, medidas adotadas para reduzir o prejuízo e eventual contribuição da própria parte para o agravamento. Essa conferência evita pedidos duplicados e ajuda a calcular corretamente valores, períodos e responsabilidades.

Caminhos extrajudiciais, administrativos e judiciais

A resposta pode combinar preservação técnica, notificação, canal da plataforma, comunicação regulatória, revisão contratual e ação judicial. Em ambiente digital, remover o conteúdo sem guardar os registros pode dificultar a identificação do responsável e a prova do alcance.

Uma comunicação extrajudicial eficiente deve ser objetiva, indicar o fato, a prova disponível, a providência solicitada e um prazo razoável. Ela não precisa conter ameaças ou extensa argumentação. Sua função é registrar a controvérsia, permitir resposta e demonstrar que houve tentativa de solução.

Quando o processo se torna necessário, a petição deve relacionar cada pedido a um fato e a uma prova. Tutela de urgência, indenização, cancelamento, obrigação de fazer, prestação de contas ou reconhecimento de direito possuem requisitos distintos. Pedir todas as medidas possíveis sem demonstrar sua necessidade pode enfraquecer a apresentação do caso.

Prazos, urgência e organização antes de decidir

Fraude ativa, exposição de dados sensíveis, deepfake, clonagem de voz e acesso indevido exigem contenção imediata. A rapidez deve ser acompanhada de registro das decisões, para que a organização demonstre o que sabia e quais medidas adotou.

Os prazos variam conforme a natureza do direito, a data em que o problema foi conhecido, o tipo de procedimento e a existência de decisão anterior. Por isso, não é recomendável aguardar o último momento. Com o passar do tempo, arquivos podem ser apagados, testemunhas podem se afastar e registros eletrônicos podem deixar de estar disponíveis.

Uma organização inicial pode seguir esta sequência: Nomear responsável interno.; Mapear dados e finalidades.; Definir bases legais.; Revisar formulários e avisos.. Paralelamente, evite condutas como copiar política de outro site, pedir consentimento para tudo, compartilhar senha, guardar dados para sempre, porque elas podem dificultar a prova ou criar responsabilidade adicional. A decisão entre negociar, recorrer ou ajuizar deve ser tomada depois de estimar benefícios, custos, tempo e risco.

Documentos e provas que podem ser relevantes

• registro simplificado
• aviso de privacidade
• política interna
• contratos
• matriz de acessos
• prazos de retenção
• plano de incidente
• registros de treinamento

Erros comuns que podem prejudicar o caso

• copiar política de outro site
• pedir consentimento para tudo
• compartilhar senha
• guardar dados para sempre
• ignorar WhatsApp e planilhas

Perguntas frequentes