Quem precisa se adequar à LGPD: porte pequeno não é isenção

A LGPD não se aplica apenas a empresas grandes ou digitais. A regra alcança operações de tratamento dentro de seu âmbito legal, inclusive atividades de organizações privadas de diferentes portes. Existem exclusões e regimes específicos, e a ANPD criou flexibilizações para agentes de pequeno porte, mas pequeno porte não significa dispensa geral da lei. A referência principal continua sendo a LGPD.

O tamanho da empresa muda o desenho, não a existência do risco

Uma clínica pequena pode tratar dados de saúde; uma escola local pode lidar com crianças; uma startup com poucos empregados pode processar milhares de usuários. A avaliação deve olhar natureza, escala, público e tecnologia, não apenas faturamento ou número de funcionários.

A Resolução CD/ANPD nº 2/2022 estabelece regime para agentes de tratamento de pequeno porte e prevê simplificações, mantendo deveres essenciais de proteção.

Primeiro verifique se a operação entra no âmbito da LGPD

A análise considera as hipóteses de aplicação territorial e material previstas na lei. Também existem situações excluídas, como determinadas atividades realizadas por pessoa natural para fins exclusivamente particulares e não econômicos e tratamentos submetidos a regimes próprios previstos no texto legal.

Isso significa que “tenho CNPJ” e “não tenho CNPJ” são filtros ruins. O objeto de análise é a operação de tratamento.

Pequeno porte pode perder flexibilizações em operações de alto risco

O regime simplificado não funciona como salvo-conduto. A própria regulamentação diferencia situações de maior risco e exige atenção à combinação de escala, tecnologias, dados sensíveis, públicos vulneráveis e potenciais efeitos sobre direitos fundamentais.

Por isso o diagnóstico deve mapear processos antes de decidir quais simplificações podem ser usadas. Um formulário básico de contato e uma plataforma que cria perfis comportamentais não deveriam receber a mesma arquitetura de governança.

Adequação precisa ser proporcional ao negócio

Uma organização pequena não precisa copiar a estrutura burocrática de um banco. Pode adotar registros mais simples, políticas enxutas e controles compatíveis com sua realidade, desde que consiga demonstrar decisões e proteger dados.

O mapeamento de dados costuma ser a melhor porta de entrada: mostra onde há tratamento, quais operações merecem prioridade e quais documentos realmente precisam existir.

Terceirizar tecnologia não terceiriza a decisão

Usar SaaS, contador, agência, CRM ou nuvem não retira a empresa da cadeia. Papéis precisam ser definidos e os contratos devem refletir o tratamento. A página de contrato com operador aprofunda esse ponto.

Em vez de perguntar “minha empresa é obrigada a ter um projeto de LGPD?”, a pergunta produtiva é: quais tratamentos realizamos, quais riscos produzem e que evidências precisamos para demonstrar uma operação lícita e segura? A resposta define a dimensão real da adequação.

Atividade B2B também envolve pessoas naturais

Empresa que vende apenas para outras empresas ainda trata nomes, e-mails, telefones, cargos, logs e dados de representantes. O rótulo “B2B” não retira automaticamente essas informações da LGPD. O diagnóstico precisa separar dados da pessoa jurídica de dados das pessoas que atuam por ela.

Profissional liberal também precisa olhar a operação

Consultórios, escritórios, corretores e prestadores individuais podem manter cadastros, documentos, gravações ou prontuários. A estrutura de governança será menor, mas finalidade, segurança, retenção e direitos continuam questões concretas. A adequação deve ser proporcional ao tratamento, não ao tamanho da placa na porta.

Grupo econômico não é um único agente por presunção

Empresas relacionadas podem compartilhar sistemas e clientes, mas cada fluxo deve esclarecer quem decide a finalidade e quem recebe dados. Transferir base entre empresas do grupo sem mapear papéis cria opacidade semelhante à de um terceiro externo.

Terceiro que coleta em seu nome também conta

Landing pages de agência, formulários de evento e plataformas de recrutamento podem ser a porta de entrada dos dados. A organização não deve avaliar apenas o que acontece depois que a informação chega ao seu servidor; origem e cadeia inteira fazem parte do tratamento.

Também é inadequado esperar uma fiscalização para descobrir a primeira prioridade. Mesmo quando a estrutura é mínima, três perguntas já organizam o começo: quais dados poderiam causar maior dano se expostos, quais processos não conseguem explicar sua finalidade e quais fornecedores concentram maior volume ou privilégio de acesso. A resposta direciona investimento para risco real e evita gastar energia primeiro em documentos que não corrigem a operação.