A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para qualquer empresa que coleta, armazena ou usa dados pessoais: nome, CPF, telefone, endereço, dados de saúde, imagens de câmeras. Isso inclui praticamente todo negócio.
O que muda para pequenas empresas
A Autoridade Nacional de Proteção de Dados (ANPD), pela Resolução CD/ANPD nº 2/2022, criou um regime simplificado para microempresas, empresas de pequeno porte, startups e MEIs, chamados de agentes de tratamento de pequeno porte. Entre os pontos principais:
- dispensa de indicar encarregado (DPO), desde que haja um canal de comunicação para os titulares;
- registro simplificado das atividades de tratamento;
- prazos em dobro para responder a titulares e à ANPD, em várias situações.
O regime simplificado não se aplica a quem faz tratamento de alto risco, como uso intensivo de dados sensíveis ou vigilância em larga escala.
Medidas essenciais
- Mapeie os dados: quais dados a empresa coleta, de quem, para quê e onde ficam guardados (planilhas, sistemas, WhatsApp, e-mail, papel).
- Tenha base legal: cada uso precisa de uma justificativa prevista na lei, como execução de contrato, obrigação legal ou consentimento.
- Colete só o necessário e por tempo limitado.
- Proteja os acessos: senhas fortes, acesso restrito por função, cópias de segurança e cuidado com dispositivos pessoais.
- Publique uma política de privacidade clara no site e nos canais de atendimento.
- Ajuste contratos com fornecedores que acessam dados (contabilidade, sistemas, marketing).
- Tenha um plano para incidentes: vazamentos relevantes devem ser comunicados à ANPD e aos titulares.
Dados de empregados
Holerites, atestados, exames e dados de dependentes são dados pessoais, e alguns são sensíveis. O acesso deve ser restrito a quem realmente precisa.
Sanções
Lei nº 13.709/2018, art. 52, II: multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
Além da multa, há advertência, publicização da infração e bloqueio de dados. Também é possível ser condenado a indenizar titulares prejudicados.
Por onde começar
Um diagnóstico simples, com a lista dos dados tratados e dos riscos, já permite priorizar as medidas mais importantes sem grandes custos.
