Quem precisa se adequar à LGPD? Guia completo
"Minha empresa é pequena demais para a LGPD" é, de longe, o mal-entendido mais caro entre pequenos negócios brasileiros. A lei não tem uma isenção geral por porte — o que existe é uma flexibilização de como cumprir, não de se cumprir. Este guia explica quem precisa se adequar, o que muda dependendo do papel da empresa e o que fazer na prática.
1. A regra geral: não existe isenção por porte
A Lei nº 13.709/2018 (LGPD) se aplica a qualquer pessoa jurídica — empresa privada, ONG ou órgão público — que trate dados pessoais no território brasileiro, ou de pessoas localizadas no Brasil, independentemente de porte, faturamento ou setor. Não há um limite de faturamento ou número de funcionários abaixo do qual a lei simplesmente não se aplica.
O que a lei prevê, no art. 55-J, é que a ANPD estabeleça regras específicas e simplificadas para "agentes de tratamento de pequeno porte" — o que a Resolução CD/ANPD nº 2/2022 fez. Simplificado é diferente de dispensado: o dever de cumprir a lei continua, apenas a forma de demonstrar isso fica mais leve.
2. Controlador x operador: qual é o seu papel
A LGPD distingue dois papéis, e a mesma empresa pode assumir os dois ao mesmo tempo, dependendo do dado:
| Controlador | Operador |
|---|---|
| Decide o quê e por quê tratar os dados | Trata os dados seguindo instruções do controlador |
| Ex.: a loja que cadastra o cliente para faturar e entregar | Ex.: o gateway de pagamento, o sistema de e-mail marketing, o ERP contratado |
| Responde diretamente ao titular e à ANPD | Responde ao controlador (e solidariamente em caso de descumprir instruções ou a própria lei) |
Na prática, a maioria das pequenas empresas é controladora dos dados de seus próprios clientes e funcionários, e ao mesmo tempo depende de vários operadores contratados (contador, plataforma de e-commerce, ferramenta de agendamento, etc.). Saber quem é quem importa para definir contratos e responsabilidades.
3. Que tipo de negócio precisa se adequar
Basta ter um cadastro de pessoas — clientes, pacientes, alunos, funcionários, fornecedores ou leads — para já existir tratamento de dados pessoais. Alguns exemplos comuns que costumam se surpreender ao descobrir que precisam se adequar:
- E-commerce e lojas físicas — nome, CPF, endereço e dados de pagamento de cada venda;
- Clínicas e consultórios — prontuário e dados de saúde são dados sensíveis, com regras mais rígidas;
- Escritórios de contabilidade — tratam dados dos próprios clientes E são operadores dos dados que o cliente lhes confia;
- Imobiliárias e administradoras de condomínio — cadastro de proprietários, inquilinos e visitantes;
- Escolas e cursos — dados de alunos e responsáveis, muitas vezes menores de idade (proteção reforçada);
- Salões, academias, pet shops — qualquer agenda ou cadastro de cliente com telefone/e-mail já conta.
Não precisa de um sistema sofisticado: uma planilha de Excel com nome e telefone de clientes já é, para efeitos da lei, tratamento de dados pessoais.
4. E o pequeno porte? O que realmente muda
A Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte — MEI, ME, EPP, startups e pessoas jurídicas de direito privado sem fins lucrativos) flexibiliza a forma, mantendo a substância:
| Obrigação | Pequeno porte |
|---|---|
| Cumprir bases legais e direitos do titular | Obrigatório, sem exceção |
| Encarregado (DPO) | Dispensado de nomear formalmente — mas precisa manter canal de comunicação com titulares |
| Registro das operações (ROPA) | Obrigatório, em formato simplificado |
| Prazos de resposta a titulares e à ANPD | Contados em dobro |
Veja o comparativo completo de sanções e o que conta como "adequado" no nosso guia sobre multa LGPD.
5. O que muda na prática
- Política de privacidade publicada no site ou ponto de venda, em linguagem clara;
- Base legal definida para cada tipo de tratamento (consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras do art. 7º);
- Registro das operações (ROPA) — veja o passo a passo no guia o que é ROPA;
- Canal de atendimento para o titular pedir acesso, correção ou exclusão dos próprios dados;
- Contratos com operadores (fornecedores que tratam dados em seu nome) prevendo as obrigações da LGPD.
6. O que acontece se a empresa não se adequar
Além da multa administrativa da ANPD (até 2% do faturamento, limitada a R$ 50 milhões por infração — detalhes no guia de multa LGPD), há riscos que pegam o pequeno empresário de surpresa: ações judiciais individuais de titulares, perda de contratos com empresas maiores que já exigem conformidade dos fornecedores, e o desgaste de reputação quando um incidente de dados vem a público.
Descubra o que falta na sua empresa
O vrisk faz um diagnóstico gratuito e mostra exatamente quais documentos e ajustes o seu negócio precisa para se adequar à LGPD — sem jargão jurídico.
Fazer meu diagnóstico grátis →7. Perguntas frequentes
Empresa pequena ou MEI precisa se adequar à LGPD?
Sim. A LGPD se aplica a qualquer pessoa jurídica que trate dados pessoais no Brasil, independente do porte. A Resolução CD/ANPD nº 2/2022 simplifica a forma para MEI, ME, EPP e startups — não dispensa a obrigação.
Qual a diferença entre controlador e operador de dados?
O controlador decide o quê e por que tratar os dados. O operador trata os dados seguindo instruções do controlador. A mesma empresa pode ser as duas coisas, dependendo do dado.
Que tipo de negócio precisa se adequar à LGPD?
Qualquer um com cadastro de clientes, funcionários, fornecedores ou leads — mesmo sem sistemas sofisticados, uma planilha com dados de contato já conta.
O que muda na prática para uma empresa se adequar à LGPD?
Publicar política de privacidade, definir base legal, manter ROPA, ter canal de atendimento ao titular e ajustar contratos com fornecedores que tratam dados em seu nome.