Desde maio de 2021, a Lei Geral de Proteção de Dados (LGPD) vale para todas as empresas brasileiras — inclusive as pequenas e médias. Muitos donos de negócio ainda acreditam que "isso é coisa de empresa grande" e deixam a adequação para depois. Esse adiamento pode sair caro: as multas chegam a 2% do faturamento anual, com teto de R$ 50 milhões por infração, e a ANPD (Autoridade Nacional de Proteção de Dados) já aplicou sanções a empresas de diferentes portes.

A realidade é que adequar-se à LGPD é mais simples do que parece quando você sabe por onde começar. Não é necessário contratar uma equipe jurídica cara nem parar o negócio. Com organização, um processo claro e as ferramentas certas, qualquer empresa consegue sair da informalidade e proteger os dados de clientes, fornecedores e colaboradores. Neste guia, você vai ver exatamente o que fazer — sem juridiquês.

O Que é a LGPD e Por Que Sua Empresa Está Sujeita a Ela

A Lei nº 13.709/2018 regula o tratamento de dados pessoais no Brasil. Ela se aplica a qualquer organização — independentemente de tamanho ou setor — que colete, armazene, processe ou compartilhe dados de pessoas físicas (clientes, funcionários, fornecedores pessoa física, visitantes do site).

Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, e-mail, telefone, endereço, IP, localização. Se a sua empresa tem um cadastro de clientes, um sistema de folha de pagamento ou um formulário de contato no site, ela lida com dados pessoais — e está sujeita à LGPD.

Os princípios centrais da lei são simples:

  • Finalidade: colete dados apenas para fins legítimos e específicos.
  • Necessidade: colete apenas o mínimo necessário para a finalidade declarada.
  • Transparência: informe aos titulares o que você faz com os dados deles.
  • Segurança: proteja os dados contra acessos não autorizados e vazamentos.

Exemplo prático: Uma loja de varejo que cadastra nome, CPF e telefone dos clientes para emitir NF-e está coletando dados com base legal clara (obrigação legal). Mas se usa esses mesmos dados para enviar promoções por WhatsApp sem autorização, há um problema de finalidade.

Mapeie os Dados que Sua Empresa Coleta

O primeiro passo concreto da adequação à LGPD é saber exatamente quais dados você coleta, onde ficam armazenados, quem tem acesso e por quanto tempo são mantidos. Esse levantamento é chamado de mapeamento de dados.

Liste todos os pontos de entrada de dados na sua empresa:

  • Cadastro de clientes no ERP ou sistema de gestão
  • Formulários no site e landing pages
  • WhatsApp Business com clientes
  • Dados de funcionários (admissão, folha, férias, eSocial)
  • Cadastro de fornecedores pessoa física
  • Câmeras de segurança nas instalações
  • Planilhas avulsas com listas de clientes

Para cada fonte, documente: qual dado é coletado, para qual finalidade, onde está armazenado, quem acessa e por quanto tempo fica retido. Esse documento é a base de toda a sua adequação — e pode ser apresentado à ANPD como prova de boa-fé em caso de investigação.

Exemplo prático: Uma distribuidora com 50 clientes pessoa física identificou que os dados estavam em três lugares: no ERP, em uma planilha do vendedor e no WhatsApp do gerente. O mapeamento mostrou o problema e permitiu centralizar tudo no sistema com acesso controlado.

Base Legal: Justifique Cada Dado que Você Coleta

A LGPD exige que toda coleta de dados tenha uma base legal — uma justificativa legítima prevista na lei. Para empresas de pequeno e médio porte, as quatro bases mais frequentes são:

  • Consentimento: o titular autoriza expressamente. Necessário para newsletters, remarketing e comunicações de marketing.
  • Execução de contrato: os dados são necessários para entregar o produto ou serviço. Ex.: endereço para entrega, CPF para cadastro de compra.
  • Obrigação legal: a lei exige a coleta. Ex.: CPF para NF-e, dados do eSocial para funcionários, registros contábeis.
  • Legítimo interesse: uso necessário para operações do negócio, desde que não prejudique os direitos do titular.

A maioria dos dados coletados no dia a dia de uma empresa de varejo, distribuição ou serviços já tem base legal na execução do contrato ou obrigação legal. O maior risco costuma estar nas ações de marketing: listas de e-mail e SMS sem consentimento registrado são uma vulnerabilidade comum.

Exemplo prático: Uma empresa de construção civil coleta dados de clientes no contrato de obra (execução de contrato ✓). Se quiser enviar newsletter com dicas de reforma, precisa de consentimento separado e registrado.

Direitos dos Titulares que Você Deve Respeitar

A LGPD garante aos clientes, funcionários e fornecedores — chamados de titulares de dados — o direito de controlar as informações que sua empresa tem sobre eles. Sua empresa precisa estar preparada para atender essas solicitações.

Os direitos mais acionados na prática:

  • Acesso: o titular pode pedir uma cópia de todos os dados que você tem sobre ele.
  • Correção: pode solicitar a atualização de informações incorretas.
  • Exclusão: pode pedir a remoção dos dados coletados com base em consentimento.
  • Revogação do consentimento: pode cancelar a autorização dada anteriormente a qualquer momento.
  • Portabilidade: pode solicitar a transferência dos seus dados para outro fornecedor.

Para atender esses direitos, defina um canal de contato claro — um e-mail como privacidade@suaempresa.com.br já funciona — e estabeleça um prazo de resposta interno. A LGPD não define prazo exato, mas a ANPD orienta responder em até 15 dias.

Exemplo prático: Um cliente de uma prestadora de serviços solicita a exclusão dos seus dados após encerrar o contrato. A empresa precisa saber onde os dados estão, quais pode excluir (os que não têm obrigação legal de retenção) e confirmar a exclusão ao cliente por escrito.

Passo a Passo para Implementar a LGPD na Sua Empresa

Com o mapeamento feito, o restante da adequação segue um roteiro claro:

  • 1. Revise contratos e formulários. Inclua cláusulas de proteção de dados nos contratos com clientes, fornecedores e colaboradores. Formulários de coleta de dados devem informar a finalidade e a base legal.
  • 2. Crie ou atualize a Política de Privacidade. Publique no site em linguagem acessível. Informe o que é coletado, como é usado, com quem é compartilhado, por quanto tempo é mantido e como o titular exerce seus direitos.
  • 3. Indique um responsável pelo tema. Em empresas menores, pode ser um colaborador com essa função acumulada ou uma consultoria externa. O importante é que haja um ponto focal identificado.
  • 4. Treine sua equipe. Quem lida com dados de clientes e funcionários precisa saber o que pode e o que não pode fazer. Um treinamento simples de 1 hora já faz diferença.
  • 5. Revise o controle de acesso no sistema. Cada usuário do ERP ou CRM deve acessar apenas o que precisa para sua função. Evite que todos os colaboradores tenham acesso irrestrito ao cadastro de clientes.
  • 6. Crie um plano de resposta a incidentes. Se houver vazamento de dados, você tem 72 horas para comunicar a ANPD e os titulares afetados. Saber o que fazer antes que aconteça evita pânico e reduz danos.

Não tente fazer tudo de uma vez. Priorize o mapeamento, a política de privacidade e o controle de acesso — são os pontos que a ANPD observa primeiro.

Penalidades e Como Evitar Problemas com a ANPD

As sanções previstas na LGPD vão além das multas financeiras:

  • Advertência com prazo para correção (a mais comum nas primeiras ocorrências)
  • Multa de até 2% do faturamento anual, limitada a R$ 50 milhões por infração
  • Publicização da infração — dano à reputação da empresa
  • Bloqueio ou eliminação dos dados tratados irregularmente
  • Suspensão parcial ou total do banco de dados

A ANPD leva em conta a postura da empresa na aplicação de sanções. Uma empresa que documenta suas ações de adequação, responde prontamente a solicitações de titulares e demonstra boa-fé tem muito mais proteção do que uma que simplesmente ignorou a lei.

Além das sanções regulatórias, vazamentos de dados podem gerar ações judiciais movidas pelos próprios clientes afetados. Em um mercado onde a confiança do cliente é ativo precioso, proteger dados é proteger o negócio.

Perguntas Frequentes sobre LGPD

Microempresas e MEIs precisam se adequar à LGPD?

Sim. A lei não estabelece limite de faturamento ou número de funcionários. Qualquer empresa que colete dados pessoais está sujeita. O que muda é a complexidade da adequação — para um negócio menor, o processo é bem mais simples.

Preciso contratar um DPO (encarregado de proteção de dados)?

Formalmente, a LGPD exige que toda organização indique um encarregado. Para empresas de menor porte, a ANPD admite proporcionalidade: o encarregado pode ser um colaborador interno ou uma consultoria externa contratada para essa função. Não é obrigatório um profissional dedicado exclusivamente a isso.

O que é dado sensível e por que exige cuidado extra?

Dado sensível é uma categoria especial com proteção reforçada: origem racial ou étnica, convicção religiosa, opinião política, dados de saúde, biometria e dados sobre vida sexual. O tratamento de dados sensíveis exige, em geral, consentimento específico e explícito do titular — além de medidas de segurança adicionais.

Meu sistema de gestão precisa estar adequado à LGPD?

Sim. Seu ERP concentra dados de clientes, fornecedores e funcionários. Ele precisa ter controle de acesso por perfil de usuário, registro de logs de acesso e opção para excluir ou anonimizar dados quando necessário. Verifique com seu fornecedor se o sistema oferece essas funcionalidades.

Quanto tempo devo guardar os dados dos clientes?

Depende da finalidade e da legislação aplicável. Dados fiscais devem ser mantidos pelo prazo legal (em geral 5 anos). Dados coletados por consentimento para marketing devem ser excluídos quando o consentimento for revogado. Defina políticas de retenção claras para cada tipo de dado no seu mapeamento.

Conclusão

Adequar sua empresa à LGPD não é opcional — e também não precisa ser um pesadelo. Com um mapeamento de dados bem feito, uma política de privacidade publicada, controle de acesso no sistema e sua equipe orientada, você já cobre os pontos mais críticos e demonstra boa-fé perante a lei.

Se você utiliza o Explend GE, seu sistema de gestão já oferece controle de acesso por perfil de usuário e dados de clientes e fornecedores centralizados com segurança. Isso é parte do caminho para a conformidade com a LGPD. Quer organizar melhor os processos da sua empresa e crescer com segurança? Conheça a Explend em explend.com.br e fale com um de nossos especialistas.