LGPD na pequena empresa: por onde começar

Muita gente ainda acha que a Lei Geral de Proteção de Dados é assunto de banco, de operadora de telefonia ou de grande empresa de tecnologia. Não é. A Lei 13.709/2018 vale para qualquer organização que trate dados pessoais, e isso inclui a sua: a lista de clientes, a ficha de cadastro, o currículo que chegou por e-mail, os dados dos funcionários na folha de pagamento.

A boa notícia é que começar não exige um projeto gigante. Exige clareza sobre o que você tem e disciplina para organizar. Este é o caminho que costuma funcionar para empresas pequenas e médias.

Entenda o que a lei considera dado pessoal

Dado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la: nome, CPF, telefone, e-mail, endereço, foto, dados de localização. Existem também os dados pessoais sensíveis, como informações de saúde, origem racial ou étnica, convicção religiosa e biometria. Eles pedem cuidado redobrado.

Se você tem uma clínica, uma escola ou uma loja com programa de fidelidade, já lida com dados pessoais todos os dias. Reconhecer isso é o primeiro passo.

Faça um mapa simples dos dados

Antes de qualquer documento, responda a quatro perguntas, de preferência numa planilha:

• Que dados pessoais a empresa coleta?
• De quem: clientes, funcionários, fornecedores, candidatos?
• Onde ficam guardados: sistema, planilha, e-mail, papel, celular do vendedor?
• Quem tem acesso e com quem os dados são compartilhados (contador, plataforma de pagamento, agência de marketing)?

Esse mapa costuma revelar surpresas. É comum descobrir planilhas esquecidas com dados de clientes antigos ou acessos que ninguém revisa há anos. Sem esse levantamento, qualquer adequação vira chute.

Justifique cada uso dos dados

A lei diz que todo tratamento precisa de uma base legal. O consentimento é uma delas, mas não é a única nem a mais comum no dia a dia. Há também o cumprimento de obrigação legal, a execução de contrato, o legítimo interesse, entre outras. Emitir nota fiscal, por exemplo, decorre de uma obrigação legal; entregar o produto que o cliente comprou decorre do contrato.

Para cada item do seu mapa, identifique a base que se aplica. Se não encontrar nenhuma, provavelmente você está coletando um dado de que não precisa. Coletar menos é a forma mais barata de reduzir risco.

Reduza o que você guarda e por quanto tempo

A lei traz o princípio da necessidade: trate apenas o que é indispensável para a finalidade. Pergunte-se se o formulário de cadastro realmente precisa de todos aqueles campos. Defina também por quanto tempo cada tipo de dado será mantido e o que acontece depois disso: exclusão ou anonimização. Alguns dados precisam ser guardados por prazos previstos em outras leis, como as trabalhistas e as fiscais, e isso deve constar no seu controle.

Cuide da segurança do básico

Não é preciso começar por ferramentas caras. Comece pelo que mais evita problemas na prática:

• senhas individuais e, quando possível, verificação em duas etapas;
• acesso aos dados apenas para quem precisa deles no trabalho;
• cópias de segurança testadas de verdade;
• computadores e celulares da empresa com atualizações em dia;
• orientação à equipe sobre golpes de e-mail e mensagens falsas.

A maior parte dos incidentes com dados nasce de erro humano ou de acesso mal controlado, não de ataques sofisticados.

Defina quem responde pelo assunto e como atender o titular

A lei prevê a figura do encarregado, a pessoa que serve de canal entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Nem toda empresa de pequeno porte precisa seguir as mesmas exigências, mas ter alguém responsável e um canal claro de contato é uma boa prática em qualquer caso.

Os titulares têm direitos, como confirmar se a empresa trata seus dados, acessá-los, corrigi-los e pedir a exclusão quando cabível. Deixe combinado internamente quem recebe esses pedidos e como responder dentro do prazo. Tenha também um plano para o caso de vazamento: quem decide, quem comunica e como.

Documente o que foi feito

Aviso de privacidade no site, cláusulas nos contratos com fornecedores que tratam dados em seu nome, registro das decisões tomadas. A documentação é o que mostra, a um cliente ou a um fiscalizador, que a empresa se preocupou com o tema de forma organizada.

Trate como rotina, não como projeto

A adequação à LGPD não termina. Entra um novo sistema, contrata-se uma nova agência, abre-se uma nova frente de vendas, e o mapa muda. O ideal é revisar o essencial uma ou duas vezes por ano e incluir a pergunta sobre dados pessoais sempre que algo novo for contratado.

Se você quer saber em que ponto a sua empresa está e quais são as prioridades reais, sem jargão e sem gastar mais do que precisa, peça um diagnóstico à Aptus. Em uma conversa, mostramos por onde começar.