LGPD na Pequena Empresa de Serviços: O Que a ANPD Exige de Quem É Pequeno

Uma empresa pequena de manutenção não precisa ter um encarregado de dados e pode fazer um registro simplificado. Além disso, tem prazos em dobro para várias obrigações da LGPD, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). Essa lei federal diz como pessoas e empresas podem coletar, guardar e usar dados pessoais, e cumpri-la é obrigação legal, não escolha. A fiscalização cabe à ANPD, a Agência Nacional de Proteção de Dados. Ao mesmo tempo, a empresa pequena continua obrigada a ter um motivo legal para cada dado que guarda. Também precisa responder ao cliente que pergunta o que você sabe sobre ele. E precisa proteger o celular onde estão os contatos, os endereços e as fotos da casa de cada cliente. As duas coisas são verdade, e é a combinação delas que diz o que você precisa fazer.

O alívio vem do regulamento da ANPD para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022). Já as obrigações que continuam valendo vêm da própria LGPD. O próprio regulamento deixa isso claro. Ou seja, dispensar ou simplificar uma obrigação não isenta a empresa das bases legais, dos princípios e dos direitos dos titulares.

A sua empresa conta como pequena?

O regulamento vale para microempresas e empresas de pequeno porte — incluindo o MEI — e para startups. Além disso, vale para outras pessoas jurídicas de direito privado e para pessoas físicas que tratam dados como parte da atividade. No entanto, fica de fora quem fatura acima do limite da Lei Complementar nº 123, o de empresa de pequeno porte. Também fica de fora quem pertence a um grupo econômico cuja receita total passa desse limite. O mesmo vale para quem faz tratamento de alto risco.

Alto risco, no regulamento, exige duas coisas ao mesmo tempo. Em primeiro lugar, um critério geral: tratamento em larga escala ou que possa afetar significativamente os direitos dos titulares. Em seguida, um critério específico: tecnologias emergentes, vigilância de áreas acessíveis ao público, decisões só automatizadas, ou dados sensíveis, de crianças, adolescentes ou idosos. A empresa de limpeza ou de elétrica que guarda cadastro de clientes, em geral, não chega lá. A análise pode mudar, por exemplo, para quem presta cuidados domiciliares a idosos com informações de saúde em grande volume. Ou para quem instala e opera câmeras que vigiam áreas abertas ao público. Além disso, a ANPD pode, caso a caso, exigir de volta as obrigações que o regulamento dispensa.

Que dados a sua empresa guarda, e com que base

Para a LGPD, dado pessoal é qualquer informação que se relaciona a uma pessoa identificada ou identificável. Numa empresa de serviços, isso costuma incluir o nome e o telefone do cliente, o endereço do serviço e o CPF na nota. Inclui também a conversa de WhatsApp com o pedido e as fotos tiradas no local. Assim, uma foto da cozinha do cliente, guardada junto com o nome e o endereço dele, está ligada a uma pessoa identificável.

Cada tratamento precisa de uma base legal, e para o dia a dia de quem presta serviço três delas fazem a maior parte do trabalho:

• execução do contrato: o endereço, o telefone e as fotos de antes e depois, que servem para fazer o serviço e provar o que fez;
• cumprimento de obrigação legal: os dados que a legislação fiscal exige na nota e que você precisa guardar pelo prazo que a lei manda;
• legítimo interesse, com cuidado: por exemplo, avisar um cliente antigo de que a manutenção anual venceu. Aqui a própria ANPD tem um guia, e você precisa equilibrar o interesse com o que o cliente razoavelmente espera.

Consentimento é outra base, e costuma ser o caminho mais seguro quando nenhuma das anteriores cobre o uso. É o caso, por exemplo, de mostrar a foto da casa do cliente no seu Instagram. Afinal, a foto que serviu para documentar o serviço não serve, sozinha, para fazer propaganda. Por outro lado, quando o laudo ou a foto são prova, como no laudo de vistoria, a base é outra. Nesse caso, vale guardar só o necessário.

O que o regulamento dispensa, e o que continua valendo

Obrigação	Na empresa pequena
Encarregado de dados (o «DPO»)	Não é obrigatório, mas é preciso oferecer um canal de comunicação para o titular
Registro das operações de tratamento	Pode ser simplificado; a ANPD publicou um modelo
Política de segurança da informação	Pode ser simplificada, proporcional ao tamanho da empresa; as medidas de segurança continuam obrigatórias
Resposta completa ao cliente que pede acesso aos dados	Prazo em dobro: até 30 dias, em vez de 15 (a resposta simplificada pode ser dada em até 15 dias)
Comunicação de incidente relevante à ANPD e ao cliente	Prazo em dobro: seis dias úteis, em vez de três
Bases legais, princípios, direitos do cliente	Continuam valendo integralmente

Os prazos em dobro de 30 dias e de seis dias úteis são a nossa conta. Partimos dos prazos gerais: 15 dias na LGPD e três dias úteis no regulamento de incidentes da ANPD. Você só precisa comunicar o incidente que pode causar risco ou dano relevante aos titulares. Mas todo incidente, comunicado ou não, deve ficar registrado por pelo menos cinco anos.

O celular da empresa e o dos técnicos

O cadastro de clientes da sua empresa está no celular do dono e dos técnicos, e não num sistema? Então é ali que a LGPD se aplica na prática. O guia de segurança da ANPD para pequenos agentes fala disso diretamente. Recomenda, quando possível, separar os celulares de uso pessoal dos de uso da empresa. Se não for possível dar ao celular pessoal a mesma proteção, o guia recomenda não usá-lo para a atividade. Sugere ainda bloqueio com autenticação forte e a possibilidade de apagar os dados à distância em caso de perda ou roubo. Além disso, sugere fazer cópias de segurança com regularidade e guardá-las fora do aparelho principal.

Pense no técnico que sai da empresa levando no celular dele os contatos e as fotos das casas de cinquenta clientes. Não há multa automática nisso, mas é exatamente o tipo de situação que a lei quer evitar. Ela se resolve antes de acontecer: dados de clientes num lugar da empresa e acesso por pessoa. Além disso, nada de fotos de documentos de clientes no grupo de WhatsApp da equipe.

O que acontece se der errado

A LGPD prevê advertência e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Prevê também multa diária, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções. Numa empresa pequena, porém, o problema tende a começar com um cliente perguntando o que você guarda sobre ele, ou com um celular perdido. Com o canal de atendimento, o registro simplificado e as medidas básicas prontos, esse momento vira uma resposta, e não uma dor de cabeça. Aliás, o próprio regulamento considera a adoção das boas práticas e dos guias da ANPD na hora de avaliar uma eventual sanção.

Uma arrumação de uma tarde

• Liste que dados de clientes você guarda, onde (celular, WhatsApp, planilha, e-mail) e para quê.
• Anote a base legal de cada um; se a única resposta for «sempre guardei», revise.
• Preencha o modelo de registro simplificado da ANPD.
• Crie um canal para o cliente falar sobre os dados dele (um e-mail ou um número) e informe-o no site, na proposta ou no contrato.
• Separe, se puder, o celular da empresa do pessoal; ative bloqueio, backup e a função de apagar à distância.
• Defina o que se faz com os dados quando um técnico sai da equipe.
• Peça consentimento por escrito antes de usar foto de cliente em divulgação.

Se você formaliza o combinado com o cliente num contrato, uma linha sobre o uso dos dados e o canal de contato cabe ali. É o que sugerimos no guia sobre contratos escritos e acordos verbais. Por fim, o guia do prestador de serviços no Brasil, de MEI a empresa mostra onde a proteção de dados entra entre as outras obrigações.