"LGPD é coisa de empresa grande, com departamento jurídico e milhares de clientes." Esse é um dos mitos mais caros que uma pequena empresa pode carregar. A Lei Geral de Proteção de Dados (Lei 13.709/2018) não faz distinção de porte: se o seu negócio coleta nome, CPF, telefone, endereço ou qualquer outro dado pessoal — seja em uma planilha, em um aplicativo de agendamento ou em um sistema de vendas — a lei se aplica a você da mesma forma que se aplica a uma multinacional.
A boa notícia é que adequação não precisa ser cara nem complicada para uma empresa pequena. Na prática, a maior parte do trabalho está em garantir que o sistema ou aplicativo que você usa no dia a dia tenha alguns cuidados técnicos básicos. Este guia existe para te mostrar exatamente quais são eles, sem juridiquês.
LGPD não é só para empresa grande
A confusão nasce porque as multas mais divulgadas na imprensa envolvem grandes vazamentos de bancos, redes varejistas ou empresas de tecnologia. Isso cria a falsa impressão de que a lei "mira" apenas negócios de grande porte. Na realidade, a LGPD se aplica a qualquer pessoa física ou jurídica, de direito público ou privado, que realize tratamento de dados pessoais no Brasil — independentemente de faturamento, número de funcionários ou quantidade de clientes.
Uma barbearia que agenda clientes por aplicativo, uma clínica com dois consultórios, uma loja de roupas que envia promoções por WhatsApp, um escritório de contabilidade com 15 clientes: todos tratam dados pessoais e todos precisam seguir os mesmos princípios da lei. A diferença prática está na proporcionalidade — a ANPD (Autoridade Nacional de Proteção de Dados) reconhece que agentes de pequeno porte podem adotar formas simplificadas de cumprimento, mas isso não significa isenção.
Dados pessoais e sensíveis no contexto de uma PME
Para saber o que proteger, primeiro é preciso entender o que conta como dado pessoal. A lei divide em duas categorias, e pequenas empresas costumam lidar com as duas sem perceber:
Dados pessoais comuns
São informações que identificam uma pessoa, mas não expõem aspectos íntimos. No dia a dia de uma PME, isso inclui:
- Nome completo e CPF de clientes cadastrados
- Endereço de entrega em uma loja virtual
- Telefone e e-mail usados para contato comercial
- Histórico de compras e preferências de consumo
Dados pessoais sensíveis
Exigem cuidado redobrado porque, se expostos, podem gerar discriminação ou constrangimento. É aqui que muita pequena empresa se surpreende ao descobrir que já lida com esse tipo de dado:
- Dados de saúde: prontuários, exames, histórico de tratamento em clínicas médicas, odontológicas, de estética ou fisioterapia
- Dados de pagamento: número de cartão, dados bancários armazenados para cobrança recorrente
- Dados biométricos: reconhecimento facial ou digital em sistemas de controle de acesso
- Dados de menores: em escolas, cursos infantis ou clínicas pediátricas, exigem consentimento específico de um responsável legal
Se a sua empresa é uma clínica, vale a leitura complementar sobre como estruturar um sistema para clínica médica ou odontológica, já que prontuário eletrônico é justamente um dos pontos onde a LGPD pesa mais.
Checklist: o que um sistema precisa ter para estar adequado
Independentemente do segmento, existem sete pilares técnicos que qualquer sistema ou aplicativo que trate dados pessoais deveria ter. Esse é o checklist que usamos como referência ao desenvolver ou avaliar um sistema para um cliente:
1. Consentimento explícito
O titular do dado precisa saber, de forma clara, para que sua informação será usada — e precisa concordar ativamente com isso (não vale caixa pré-marcada). Isso vale para um formulário de cadastro, um checkout de e-commerce ou a ficha de anamnese de uma clínica.
2. Política de privacidade acessível
Um documento em linguagem simples, disponível a qualquer momento dentro do site ou app, explicando quais dados são coletados, por quê, por quanto tempo são guardados e como o titular pode exercer seus direitos.
3. Criptografia de dados sensíveis
Dados como senha, CPF, dados de saúde e informações de pagamento precisam estar criptografados tanto em trânsito (quando trafegam entre o app e o servidor) quanto em repouso (quando armazenados no banco de dados).
4. Controle de acesso por usuário
Nem todo funcionário precisa ver todos os dados. Um sistema bem construído define permissões: a recepcionista de uma clínica agenda consultas, mas não precisa acessar o prontuário completo; o vendedor vê os próprios clientes, não a base inteira da empresa.
5. Log de acesso
Registro de quem acessou qual informação, quando e o que foi alterado. Isso não é só burocracia: é a diferença entre conseguir investigar um incidente e ficar no escuro quando algo dá errado.
6. Exclusão de dados a pedido do titular
A LGPD garante ao titular o direito de solicitar a exclusão dos seus dados. O sistema precisa ter um mecanismo — mesmo que operado manualmente por um administrador — para atender esse pedido dentro de um prazo razoável.
7. Backup seguro
Cópias de segurança regulares, armazenadas de forma protegida, garantindo que um incidente (falha técnica, ataque, erro humano) não resulte em perda definitiva de dados.
Dica prática: se o seu sistema atual não consegue responder "quem acessou o dado deste cliente na última semana?", esse já é o sinal mais claro de que falta o pilar de log de acesso — e é normalmente o mais barato de implementar.
Checklist LGPD resumido
| Item | O que verificar | Risco se ausente |
|---|---|---|
| Consentimento explícito | Aceite ativo, não pré-marcado | Tratamento de dado considerado irregular |
| Política de privacidade | Linguagem simples, sempre acessível | Falta de transparência com o titular |
| Criptografia | Dados sensíveis em trânsito e em repouso | Exposição em caso de vazamento |
| Controle de acesso | Permissões por função/usuário | Vazamento interno, acesso indevido |
| Log de acesso | Registro de quem viu/alterou o quê | Impossível investigar incidentes |
| Exclusão a pedido | Mecanismo para apagar dados do titular | Descumprimento de direito garantido em lei |
| Backup seguro | Cópias regulares e protegidas | Perda definitiva de dados e histórico |
Os riscos reais de não ter isso
Muita pequena empresa opera hoje em um cenário que, na prática, reúne quase todos os riscos da lista acima ao mesmo tempo, mesmo sem perceber:
- Planilha enviada por e-mail: sem criptografia, sem controle de quem tem a cópia mais recente, e sujeita a ficar em caixas de entrada pessoais indefinidamente.
- WhatsApp sem controle: dados de clientes conversando com números pessoais de funcionários, sem log, sem política de retenção e sem forma de excluir de forma centralizada quando solicitado.
- Sistema sem log de acesso: se houver um incidente, é impossível provar quem acessou o quê — o que agrava a situação da empresa perante a ANPD, já que demonstrar boa-fé e diligência é parte da defesa.
- Acesso compartilhado por todos: um único login "geral" usado por toda a equipe elimina qualquer possibilidade de rastreabilidade.
Esse tipo de cenário costuma aparecer justamente em empresas que ainda dependem de planilhas e ferramentas genéricas para processos centrais. Se esse é o seu caso, vale entender melhor quando migrar de planilhas para um sistema próprio — a adequação à LGPD costuma ser um dos gatilhos mais fortes para essa decisão.
SaaS genérico x sistema sob medida: quem cuida da LGPD?
Uma dúvida comum é se assinar um software pronto (SaaS) já resolve a questão. A resposta correta é: resolve parte, mas a responsabilidade é compartilhada.
| Aspecto | SaaS genérico | Sistema sob medida |
|---|---|---|
| Infraestrutura e servidores | Responsabilidade do fornecedor | Definida no projeto, sob controle da Luna Next-Gen |
| Regras de permissão | Limitadas ao que o software oferece de fábrica | Personalizadas para o processo real da empresa |
| Log de acesso | Nem sempre disponível ou detalhado o suficiente | Implementado sob medida, conforme a necessidade |
| Exclusão de dados a pedido | Depende do processo do fornecedor, pode ser lento | Fluxo próprio, com prazo controlado pela empresa |
| Adaptação a mudanças na lei | Depende do roadmap do fornecedor | Ajustável conforme a necessidade específica do negócio |
Um SaaS genérico cuida da parte técnica de infraestrutura, mas quem decide como os dados são coletados, quem tem acesso a eles e se existe consentimento adequado continua sendo a empresa — e muitas vezes o próprio software não oferece flexibilidade suficiente para implementar essas regras do jeito que o seu processo exige. Um sistema sob medida, por outro lado, nasce já com essas regras desenhadas para a realidade específica do negócio, o que reduz a dependência de "gambiarras" para tentar encaixar um processo em uma ferramenta genérica.
Na Luna Next-Gen, esse é um dos pontos que discutimos logo no início de qualquer projeto de sistema ou aplicativo: quais dados serão coletados, quem vai acessá-los e que mecanismos de segurança e privacidade fazem sentido para o porte e o segmento daquela empresa — sem custo desnecessário com recursos que o negócio não vai usar.
Perguntas frequentes
Minha pequena empresa precisa ter um DPO (encarregado de dados)?
A LGPD não define um porte mínimo de empresa para exigir o encarregado, mas para negócios pequenos com tratamento de dados de baixo risco, a ANPD já sinalizou tolerância a modelos mais simples, como designar um responsável interno (o próprio dono ou um funcionário) em vez de contratar um DPO formal e dedicado. O importante é ter alguém identificável responsável por essa função, mesmo que acumule outras atividades.
O que acontece se minha empresa não se adequar à LGPD?
As sanções da LGPD vão de advertência e obrigação de corrigir o problema até multas que podem chegar a 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração). Na prática, pequenas empresas costumam ser notificadas e ter prazo para corrigir antes de qualquer multa, mas o risco reputacional de um vazamento — perder a confiança de clientes — geralmente pesa mais do que a multa em si.
A LGPD vale para uma clínica pequena com poucos pacientes?
Sim. Dados de saúde são considerados dados pessoais sensíveis pela LGPD, o que exige um cuidado ainda maior independente do tamanho da clínica ou do volume de pacientes atendidos. Uma clínica com 3 profissionais e 200 pacientes tem exatamente a mesma obrigação legal de proteger prontuários que uma rede de hospitais — o que muda é a escala, não a responsabilidade.
Uso planilha e WhatsApp para gerenciar clientes. Isso já é um problema com a LGPD?
Não é ilegal em si, mas é um ambiente de alto risco: planilhas trafegam por e-mail sem criptografia, ficam em computadores pessoais e não têm log de quem acessou o quê, e o WhatsApp comum não oferece controle de acesso corporativo nem exclusão centralizada de dados. Se houver um vazamento nesse cenário, é muito mais difícil provar que a empresa tomou medidas de segurança razoáveis.
Um sistema pronto (SaaS) já resolve a adequação à LGPD da minha empresa?
Resolve parte. Em um SaaS, a responsabilidade pela segurança é compartilhada: o fornecedor cuida da infraestrutura, mas a empresa continua responsável por como usa a ferramenta — quem tem acesso, quais dados são coletados e se há consentimento adequado. Um sistema sob medida permite embutir essas regras diretamente no fluxo de trabalho, reduzindo a chance de erro humano.
Conclusão
Adequação à LGPD não é um projeto de departamento jurídico distante da realidade de uma pequena empresa — é, na maior parte das vezes, uma questão de arquitetura do sistema que você usa todos os dias. Consentimento claro, controle de acesso, criptografia e um log confiável resolvem a maior parte do risco, e não exigem reconstruir a empresa do zero. O que exigem é um sistema pensado para o seu processo, não adaptado às pressas de uma planilha ou de um aplicativo genérico. Já ajudamos mais de 50 negócios em mais de 10 estados do Brasil a estruturar esse tipo de solução, e você só faz o primeiro pagamento depois de ver o protótipo funcionando — o risco de investir às cegas fica com a gente, não com você.