MEI precisa cumprir a LGPD? Precisa, e a lista é mais curta do que parece

2 de setembro de 2026LGPD de Todos10 min de leitura

Precisa, e o gatilho é mais cedo do que quase todo mundo imagina: no minuto em que você anota o telefone de um cliente para avisar que o pedido saiu, já existe tratamento de dado pessoal. A parte boa é que a norma da ANPD escreve o microempreendedor individual com nome e sobrenome, e escreve para dar alívio. O que sobra de obrigação de verdade cabe em uma tarde.

Existem duas respostas erradas circulando por aí, e elas se anulam. A primeira diz que MEI não precisa se preocupar porque é pequeno. A segunda vende para o MEI o mesmo pacote de documentos de uma empresa de duzentas pessoas. A resposta certa está no meio, e ela está escrita: a lei alcança quem trata dado no exercício de atividade econômica, e o regulamento da ANPD criou um regime mais leve que cita o MEI pelo nome.

1. Por que a exceção da pessoa física não salva o MEI

A LGPD tem uma porta de saída para pessoa física, e ela se fecha exatamente onde começa o trabalho. O Art. 4º, I diz que a lei não se aplica ao tratamento realizado por pessoa natural "para fins exclusivamente particulares e não econômicos". As duas palavras que decidem são exclusivamente e econômicos.

A agenda do seu celular com o telefone da sua tia está fora da lei. A mesma agenda, com o telefone da cliente que encomendou o bolo de sábado, está dentro. Não é o aparelho que muda, é a finalidade: uma é particular, a outra é o seu negócio.

E o que conta como tratamento é praticamente qualquer coisa. O Art. 5º, X lista coleta, utilização, acesso, arquivamento, armazenamento, eliminação, transmissão e mais uma dúzia de verbos. Anotar é tratamento. Guardar é tratamento. Apagar também é. Dado pessoal, pelo Art. 5º, I, é qualquer informação relacionada a pessoa identificada ou identificável, o que inclui nome, telefone, endereço de entrega e até o apelido pelo qual você salvou a pessoa.

Tem um detalhe do MEI que vale guardar, porque ele inverte a intuição de quem acha que CNPJ fica fora da lei: o CNPJ do microempreendedor está atrelado ao CPF de uma pessoa, e a razão social costuma ser o nome dela. Ali o que parece dado de empresa identifica alguém, e vira dado pessoal. O texto sobre de quem são os dados que a LGPD protege percorre esse caso e outros sete.

2. O MEI está escrito na norma, com nome e sobrenome

Você não precisa argumentar que se encaixa no regime mais leve: a ANPD escreveu o microempreendedor individual dentro da definição. Está no Art. 2º, II da Resolução CD/ANPD nº 2/2022, e essa é a diferença entre depender de interpretação e ter texto.

Estar nesse regime muda cinco coisas concretas, todas na mesma resolução: o registro das operações pode ser simplificado, e a própria ANPD publicou o modelo; a comunicação de incidente tem tratamento próprio; a indicação de Encarregado é dispensada; as medidas de segurança são exigidas conforme a realidade de quem trata; e a política de segurança pode ser simplificada.

Isso não é dispensa da lei, é ajuste de tamanho da prova. E tem uma condição que derruba o regime inteiro, que é o tratamento de alto risco. Como o critério é o mesmo para qualquer negócio dessa faixa, ele já está explicado em detalhe em LGPD para pequena empresa, com as situações que tiram a dispensa. Vale ler antes de assumir que você está coberto.

3. Onde os seus dados moram de verdade

No MEI o banco de dados quase sempre é o celular, e ninguém escreve isso nos manuais. Antes de qualquer documento, o exercício que rende é abrir o aparelho e olhar onde os nomes dos seus clientes estão espalhados.

O WhatsApp. É o maior deles, e não é só a agenda: são as conversas antigas com endereço de entrega, os áudios, as fotos de comprovante de pagamento, os prints de documento que o cliente mandou e você nunca apagou. E as listas de transmissão, que são um cadastro de marketing sem ninguém ter chamado assim. O que a lei permite fazer com essa lista tem regra própria, e está em promoção por WhatsApp e e-mail.

O Instagram ou a rede que você usa para vender. Quem te segue não é dado que você guarda, é dado da plataforma. Mas as mensagens diretas, onde o cliente manda nome, endereço e às vezes uma foto do documento, são suas na prática, porque estão no seu aparelho e você as usa para trabalhar.

O caderno, a planilha e o bloco de notas. O formato mais analógico é o que costuma ter o dado mais sensível, porque ali vai o que não cabe no sistema: a observação sobre o cliente, a dívida antiga, o motivo da devolução.

O aplicativo de entrega ou de marketplace. O cadastro do cliente ali segue as regras da plataforma. O que muda tudo é o que você copia de lá para o seu caderno ou para a sua planilha: a partir do momento em que a informação sai da plataforma e entra em um arquivo seu, quem responde por ela é você.

Esse passeio pelo celular é o inventário. Não precisa de software, precisa de meia hora e de honestidade sobre o que existe.

4. As quatro coisas que não têm dispensa para ninguém

O regime mais leve reduz papel, e não princípio. Quatro obrigações valem igual para você e para uma empresa de duzentas pessoas, e nenhuma delas exige documento comprado.

Duas dessas linhas têm continuação em outro lugar. Na primeira, pedir consentimento para tudo, ao contrário do que parece, costuma piorar a situação, e o porquê está em consentimento na LGPD. Na última, a lista inteira de medidas, na versão de quem não tem ninguém de tecnologia, está em segurança sem TI.

5. A tarde que resolve

Cinco tarefas, nenhuma delas cara, e todas fazíveis por uma pessoa só. Feitas na ordem abaixo, cada uma aproveita o resultado da anterior.

Uma. Liste onde estão os dados. Use a seção 3 como roteiro e escreva em uma folha: o WhatsApp, o caderno, a planilha, o aplicativo. Essa folha já é a versão inicial do seu registro de operações, e o modelo simplificado da ANPD dá a forma final em RoPA para pequena empresa.

Duas. Apague o que não serve mais. Prints de documento de cliente antigo, comprovantes de entrega de dois anos atrás, a planilha da promoção que acabou. Guardar sem motivo é o risco mais barato de eliminar, porque não custa nada e reduz o estrago de um celular perdido.

Três. Tranque a porta principal. Senha ou biometria no celular, verificação em duas etapas no WhatsApp e na conta de e-mail, e backup ligado. Um aparelho perdido sem senha é um incidente de segurança com todos os seus clientes dentro.

Quatro. Escreva cinco linhas de aviso. Quais dados você pede, para que usa, com quem compartilha, por quanto tempo guarda e como a pessoa fala com você. Cinco linhas honestas valem mais do que dez páginas copiadas de um site que não é o seu.

Cinco. Escolha um canal e diga qual é. Um número, um e-mail, um perfil. Quando o cliente quiser corrigir ou apagar alguma coisa, ele vai saber onde bater, e você vai ter onde registrar que respondeu.

6. Perguntas frequentes

MEI é obrigado a ter um Encarregado ou DPO?

Não é obrigado a indicar. O Art. 11 da Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte da indicação do Encarregado, e o microempreendedor individual está dentro dessa definição pelo Art. 2º, II. Dispensado da indicação não é dispensado do canal: a pessoa que quer falar sobre os dados dela precisa ter para onde ligar ou escrever, e esse canal pode ser o mesmo do atendimento.

Guardar o telefone do cliente no meu celular já é tratamento de dados?

Sim. O Art. 5º, X define tratamento como toda operação realizada com dados pessoais, e a lista dele inclui coleta, armazenamento, acesso e utilização. Salvar o contato para avisar que o pedido saiu é as quatro coisas ao mesmo tempo. Isso não é problema nem irregularidade: é só o reconhecimento de que a lei se aplica, e a partir daí valem as quatro obrigações da seção 4.

MEI pode ser multado pela ANPD?

Pode. A Resolução CD/ANPD nº 2/2022 flexibiliza obrigações, e não cria imunidade a sanção. O que existe é dosimetria: o Art. 52, § 1º manda considerar, entre outros parâmetros, a gravidade da infração, a boa-fé do infrator, a condição econômica dele, a cooperação e a pronta adoção de medidas corretivas. Na prática, quem consegue mostrar o que fez e quando fez está em uma posição muito diferente de quem não tem nada escrito.

Preciso de política de privacidade se eu só vendo pelo WhatsApp?

Você precisa cumprir a transparência do Art. 9º, e ela não exige site nem documento com nome técnico. O que a lei pede é acesso facilitado à informação, de forma clara, adequada e ostensiva. Uma mensagem fixada no perfil comercial, um aviso no balcão ou um texto curto enviado no primeiro contato cumprem isso. O que não cumpre é ter a informação e não mostrar.

Se eu apagar tudo quando o cliente pedir, resolvo?

Nem sempre, e apagar por reflexo pode criar outro problema. O direito de eliminação do Art. 18 convive com obrigações que mandam guardar, como a fiscal. O caminho é separar: o que existe só para vender de novo pode sair; o que existe porque a lei manda guardar fica, e a resposta ao cliente explica isso em uma frase. Recusar sem explicar é o que gera reclamação.

Sou MEI e trabalho sozinho. A LGPD vale mesmo assim?

Vale. O Art. 3º aplica a lei a qualquer operação de tratamento feita por pessoa natural ou jurídica, e não fala em número de funcionários nem em faturamento. Trabalhar sozinho muda o volume de dados, não a regra: o MEI que anota o telefone do cliente para avisar que o pedido chegou está tratando dado pessoal com fim econômico. A única saída da lei é a do Art. 4º, I, para o tratamento exclusivamente particular e não econômico, e ela não alcança quem trabalha. O que o porte dá é a forma facilitada da Resolução CD/ANPD nº 2/2022, com registro simplificado e prazos em dobro.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 4º, I, 5º, I e X, 9º, 18, 46 e 52, § 1º · Resolução CD/ANPD nº 2/2022, Arts. 2º, 9º, 10, 11, 12 e 13 · ANPD, modelo de registro simplificado para agentes de pequeno porte · Lei nº 10.406/2002 (Código Civil), Art. 966

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.