Como uma pequena empresa se adequa à LGPD sem estrutura jurídica interna

Mapear o que a empresa já faz com dados antes de escrever qualquer política

Antes de redigir um único documento, vale listar de forma simples quais dados a empresa coleta (nome, CPF, endereço, telefone, dados de cartão), de quem (clientes, fornecedores, funcionários) e para quê (emitir nota fiscal, entregar produto, cobrar). Esse mapeamento não precisa ser sofisticado: uma planilha com colunas de finalidade, tipo de dado, onde fica armazenado e por quanto tempo já cumpre a função de ponto de partida.

É esse mapeamento que revela os riscos reais do negócio — por exemplo, se a empresa guarda cópias de documentos de identidade sem necessidade, ou se compartilha a lista de clientes com um parceiro comercial sem nenhum contrato que trate disso.

Escolher a base legal de cada tratamento, sem depender só do consentimento

O art. 6º da Lei nº 13.709/2018 fixa os princípios que orientam qualquer coleta: finalidade específica, necessidade e transparência, entre outros. Na prática, isso significa que a empresa só deve coletar o dado que precisa para aquela finalidade declarada, e não guardar tudo por precaução.

Muitos pequenos negócios acham que precisam de consentimento para tudo, quando boa parte da rotina — emissão de nota fiscal, entrega, cobrança — já se apoia em execução de contrato ou cumprimento de obrigação legal. Reservar o consentimento para usos que realmente dependem da escolha do cliente, como o envio de promoções, evita pedir autorização onde a lei já autoriza o tratamento por outro caminho.

Usar o tratamento diferenciado previsto para pequeno porte

Com base nessa delegação legal, a ANPD regulamentou pontos de tratamento diferenciado para quem se enquadra como pequeno porte, como registro de operações mais enxuto, prazos ajustados para atender pedidos de titulares e a possibilidade de manter apenas um canal de contato no lugar de um encarregado formal. Vale conferir os critérios de faturamento e volume de tratamento para confirmar o enquadramento, porque a flexibilização não isenta a empresa das obrigações de fundo — apenas simplifica a forma de cumpri-las.

Formalizar política de privacidade e contratos com fornecedores por último

Só depois do mapeamento e da definição das bases legais faz sentido escrever a política de privacidade do site e revisar contratos com fornecedores que também acessam dados dos clientes, como plataformas de e-commerce, contabilidade terceirizada ou serviços de entrega. Documento redigido antes desse trabalho tende a virar peça decorativa, sem correspondência com o que a empresa faz de verdade.

Um exemplo de roteiro aplicado a um negócio real

Uma clínica de estética com quatro funcionários, que atende pelo Instagram e fecha vendas por WhatsApp, mapeou seus dados e percebeu três pontos de risco: fotos de antes e depois guardadas no celular pessoal da recepcionista, cadastro de clientes numa planilha compartilhada sem senha e envio de promoções para toda a lista, incluindo pessoas que nunca autorizaram contato comercial. A partir desse mapeamento, a clínica migrou as fotos para uma pasta protegida vinculada à empresa, restringiu o acesso à planilha e passou a segmentar os envios promocionais apenas para quem já era cliente, com opção de saída em cada mensagem.

Erros que atrasam a adequação em vez de simplificar

Copiar uma política de privacidade pronta da internet, sem revisar se ela corresponde ao que a empresa realmente faz, costuma criar mais problema do que resolver: o documento passa a prometer práticas que a empresa não segue, o que pode ser pior do que não ter política nenhuma. O mesmo vale para nomear um encarregado só no papel, sem que a pessoa realmente saiba responder a um pedido de titular quando ele chegar.