LGPD para pequena empresa: o que realmente se aplica a você

22 de julho de 2026LGPD de Todos11 min de leitura

A LGPD vale para empresa de qualquer tamanho, mas a Resolução CD/ANPD nº 2/2022 flexibiliza obrigações importantes para o agente de tratamento de pequeno porte: o registro das operações, a indicação do Encarregado, determinados prazos e aspectos de segurança e de comunicação de incidente. Continua valendo tudo o resto: base legal, princípios, direitos do titular e segurança proporcional. E há uma condição que derruba a dispensa inteira, explicada na seção 4.

Existe um mito confortável circulando: o de que a LGPD é assunto de empresa grande. E existe o mito oposto, vendido por quem quer assustar: o de que toda empresa precisa fazer tudo o que uma multinacional faz. Os dois estão errados, e a diferença entre eles está escrita em um regulamento curto da ANPD que muita gente cita sem olhar os detalhes.

1. Você se enquadra como agente de pequeno porte?

O regulamento alcança microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos), pessoas naturais e entes privados despersonalizados que tratem dados pessoais como controlador ou operador. O microempreendedor individual está expressamente incluído. Mas três situações tiram você do regime, mesmo que o porte encaixe.

2. O que o regulamento dispensa e flexibiliza

São cinco alívios concretos, e nenhum deles é vago. Vale conhecer pelo nome, porque é isso que separa quem sabe o que precisa fazer de quem contrata consultoria para descobrir que fazia coisa demais.

Duas letras miúdas que mudam decisão:

O prazo de incidente segue regulamento próprio. O Art. 14, II remete ao Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, que fixa o prazo de comunicação em três dias úteis contados da ciência. Para o agente de pequeno porte esse prazo é contado em dobro, como os demais deste artigo.

Indicar Encarregado mesmo sem obrigação joga a seu favor. O Art. 11, § 2º diz que a indicação será considerada política de boas práticas e governança para fins do Art. 52, § 1º, IX da LGPD, que é um dos critérios que a ANPD pondera ao dosar uma sanção. O mesmo vale para seguir os guias de segurança da Autoridade, como orienta o Art. 12, e para ter a política simplificada, prevista no Art. 13, § 2º.

3. O que continua valendo igual para todo mundo

Esta é a parte que os textos otimistas escondem: o Art. 6º do regulamento afirma que a dispensa não isenta do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais, dos princípios e dos direitos dos titulares. Flexibilizou-se a forma, não o dever.

Continua obrigatório, sem desconto de porte:

• Ter base legal para cada tratamento. Não existe dado tratado "porque sempre foi assim". Ou tem hipótese do Art. 7º (ou do Art. 11, para dado sensível), ou não pode.
• Respeitar os princípios do Art. 6º da LGPD: finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização.
• Atender os direitos do titular do Art. 18: acesso, correção, eliminação, portabilidade, informação sobre compartilhamento. O prazo é em dobro; o direito é o mesmo.
• Informar como os dados são tratados, de forma acessível, como pede o Art. 9º da LGPD.
• Ter segurança proporcional. O Art. 12 do regulamento fala em medidas "essenciais e necessárias", considerando o risco e a realidade do agente. Proporcional não é nenhuma.
• Comunicar incidente relevante à ANPD e ao titular. Em dobro, mas comunicar.

E há um dever que não vem da lei, e que costuma chegar antes dela: o do seu cliente. Uma empresa maior que contrata você pede evidências por contrato, e esse contrato não conhece regime simplificado. Sobre isso escrevemos separado, em como responder o questionário de LGPD que o cliente enviou. Saber o que se aplica antes de pedir orçamento também muda o preço da proposta, e o levantamento sobre quanto custa a adequação à LGPD mostra o quanto.

4. A pegadinha do alto risco

É de alto risco o tratamento que atende, ao mesmo tempo, a pelo menos um critério geral E a pelo menos um critério específico. A palavra do regulamento é "cumulativamente", e é aqui que o critério costuma ser explicado de forma simplificada demais: descrito como se bastasse um único item, ele faria quase qualquer empresa perder a flexibilização.

O regulamento ainda define os dois critérios gerais, o que ajuda muito na hora de decidir:

• Larga escala é quando abrange número significativo de titulares, considerando também o volume de dados, a duração, a frequência e a extensão geográfica.
• Afetar significativamente é, entre outras situações, quando o tratamento pode impedir o exercício de direitos ou o uso de um serviço, ou causar danos como discriminação, violação à integridade física, à imagem e à reputação, fraude financeira ou roubo de identidade.

Na prática, a conta fica assim:

A linha da loja de bairro é a que mais surpreende: ter câmera voltada para a via pública marca um critério específico, mas sozinha não caracteriza alto risco. E repare que a escola aparece como "avaliar", e não como "sim": número de aluno não define larga escala sozinho, porque o regulamento manda pesar também volume de dados, duração, frequência e extensão geográfica. Dado de criança fecha o lado específico; o lado geral continua sendo análise.

5. Por onde começar, na ordem

A ordem importa mais do que a velocidade: cada etapa alimenta a seguinte, e pular a primeira faz refazer as outras. Não dá para escolher base legal sem saber quais dados existem, e não dá para escrever um aviso de privacidade honesto sem ter decidido as bases.

1. Descubra se você se enquadra no regime de pequeno porte, incluindo a avaliação de alto risco da seção 4. Guarde o raciocínio por escrito: são os quinze dias do Art. 5º.
2. Liste as operações que envolvem dado pessoal: cadastro de cliente, folha, currículos recebidos, câmera, lista de e-mail, formulário do site.
3. Atribua uma base legal a cada uma, e escreva por quê. Consentimento é a exceção, não a regra.
4. Publique o aviso de privacidade que corresponda ao que você acabou de listar, e não um modelo baixado que fala de coisas que você não faz.
5. Abra o canal do titular, com endereço que alguém lê, e defina quem responde.
6. Escreva a política simplificada de segurança: senha, quem acessa o quê, cópia de segurança, o que fazer se alguém perder o celular.
7. Defina o procedimento de incidente, com prazo de comunicação.
8. Registre o que foi feito, com data. É o que transforma um monte de documento em uma demonstração de que existe um programa.

Se o seu site usa medição ou publicidade, há uma nona tarefa que costuma ser esquecida porque parece assunto de marketing: o banner de cookies na LGPD: o que a ANPD orienta e o que é só teatro.

Essa lista é a versão de pequeno porte de um caminho maior, e ela começa no passo 2 de propósito, porque o passo 1 aqui é o enquadramento. O caminho completo, com as fases que vêm antes de existir documento, está em adequação à LGPD passo a passo.

Se você preferir não tocar essa lista sozinho, as oito tarefas são exatamente o que a adequação à LGPD gratuita conduz por perguntas, sem custo e sem prazo para expirar.

6. Perguntas frequentes

MEI precisa cumprir a LGPD?

Precisa. O microempreendedor individual está expressamente incluído entre os agentes de tratamento de pequeno porte pela Resolução CD/ANPD nº 2/2022, o que dá a ele as flexibilizações do regulamento. Flexibilização não é isenção: o Art. 6º do regulamento diz que a dispensa não isenta do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais, dos princípios e dos direitos dos titulares.

Pequena empresa é obrigada a ter um Encarregado (DPO)?

Quem está dentro do regime de pequeno porte não é obrigado, pelo Art. 11 do regulamento. Mas a dispensa não é automática: o Art. 3º a afasta para quem realiza tratamento de alto risco, para quem tem receita acima do teto legal e para quem integra grupo econômico acima desse limite. Confirmada a dispensa, quem não indica precisa disponibilizar um canal de comunicação com o titular, e isso é obrigatório. Indicar um Encarregado mesmo sem obrigação conta como política de boas práticas e governança, o que pesa a favor na dosimetria de uma eventual sanção. O caso inteiro, com um exemplo da ANPD de empresa que se achava dispensada e não estava, está em preciso ter um Encarregado.

Quem faz tratamento de alto risco perde a flexibilização?

Perde. E o critério é cumulativo, o que costuma ser simplificado demais: pelo Art. 4º, é de alto risco o tratamento que atende ao mesmo tempo a pelo menos um critério geral (larga escala, ou afetar significativamente interesses e direitos fundamentais) e a pelo menos um critério específico (tecnologias emergentes, vigilância de zonas acessíveis ao público, decisões unicamente automatizadas, ou dados sensíveis e de crianças, adolescentes e idosos). Ter só um dos dois lados não caracteriza alto risco.

Preciso provar para a ANPD que sou de pequeno porte?

Se ela pedir, sim, e o prazo é curto: o Art. 5º do regulamento dá quinze dias para o agente comprovar que se enquadra. Ou seja, o enquadramento não é uma suposição confortável, é uma afirmação que precisa de lastro documental guardado.

A ANPD pode exigir de mim as obrigações que o regulamento dispensou?

Pode. O Art. 16 permite que a ANPD determine ao agente de pequeno porte o cumprimento das obrigações dispensadas ou flexibilizadas, considerando circunstâncias como a natureza e o volume das operações e os riscos aos titulares. A flexibilização é a regra geral, não um direito adquirido.

A quem a LGPD não se aplica?

A lista está no Art. 4º e é curta. Fica fora o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, como a agenda de contatos da família; o feito para fins exclusivamente jornalísticos, artísticos ou acadêmicos, com ressalvas; o de segurança pública, defesa nacional, segurança do Estado e investigação penal; e o de dados que vêm de fora do país e não passam por agente brasileiro nem seguem para outro país. Nenhuma dessas saídas alcança uma empresa que atende clientes, por menor que seja. Porte não está na lista: ele muda a forma de cumprir, pela Resolução CD/ANPD nº 2/2022, e não a obrigação de cumprir.

Fontes: Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, e seu Anexo I · Lei nº 13.709/2018 (LGPD) · Lei Complementar nº 123/2006 · Lei Complementar nº 182/2021 · Tabela de regulamentações da ANPD, onde consta a Resolução CD/ANPD nº 15, de 24 de abril de 2024

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.