LGPD para empresa pequena: o mínimo que não dá para pular

Antes de qualquer coisa, o aviso que este texto precisa carregar: nada aqui é parecer jurídico. Somos uma casa de tecnologia e mídia, não um escritório de advocacia. O que segue é a parte operacional, que é onde a maioria das empresas pequenas trava, e ela não substitui advogado nas decisões que são de advogado.

Dito isso: a Lei 13.709/2018 vale para praticamente todo negócio que tem site, e-mail de contato ou cadastro de cliente. Não existe faixa de faturamento que isente. O que existe é tratamento diferenciado para agentes de pequeno porte, e é justamente aí que muita gente pequena presume estar de fora.

O erro que quase todo mundo comete primeiro

Copiar uma política de privacidade de outro site e trocar o nome. É rápido, é grátis e é pior que não ter política nenhuma.

Uma política copiada descreve o comportamento de outro site. Se ela diz que você usa cookies e você não usa, você mentiu. Se ela não diz e você usa, você omitiu. Nos dois casos, o documento que deveria te proteger virou prova contra você.

A política tem que descrever o que o SEU sistema faz. E para descrever, alguém precisa ter olhado.

Passo um: o inventário

É a etapa mais chata e a única que não dá para pular. Uma lista, num arquivo simples, de todo dado pessoal que a empresa toca. Para cada item, quatro colunas.

• Que dado é. Nome, e-mail, telefone, CPF, endereço, currículo, foto, gravação de ligação.
• Por que a empresa tem. Responder um contato, emitir nota, cumprir contrato, atender obrigação legal.
• Onde ele mora. Caixa de e-mail, planilha no Drive, CRM, WhatsApp de alguém, papel na gaveta.
• Quem tem acesso. Nome de pessoa, não nome de cargo.

Duas descobertas são quase garantidas nessa lista. A primeira é que existe dado pessoal em lugar nenhum previsto, quase sempre no WhatsApp pessoal de um funcionário. A segunda é que tem gente com acesso a coisa que não precisa, geralmente por ter herdado uma senha antiga.

Nenhum software resolve isso, porque o problema não é técnico: é que ninguém nunca listou.

Passo dois: cortar o que não precisa existir

Dado que você não guarda não vaza, não precisa de política e não gera dever de resposta. É a medida de segurança mais barata que existe e a menos usada.

Perguntas úteis a fazer sobre cada linha do inventário: esse campo do formulário é mesmo necessário, ou está ali porque o modelo já vinha com ele? Aquele backup de 2019 de uma base de clientes que não é mais cliente precisa continuar existindo? A planilha de leads compartilhada com “qualquer pessoa com o link” precisa mesmo estar assim?

O artigo 6º da lei, que enumera os princípios do tratamento, é literalmente uma lista de perguntas nessa linha: finalidade, adequação, necessidade, transparência, segurança. Ler os princípios com o inventário na mão é mais produtivo do que ler a lei inteira sem ele.

Passo três: usar o que a ANPD já escreveu

Muita empresa pequena acha que precisa contratar consultoria para saber por onde começar, quando a própria autoridade publicou material específico para esse porte. A ANPD mantém um Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, com medidas administrativas e técnicas e um checklist anexo.

É de graça, é da fonte que fiscaliza, e é feito para quem não tem departamento jurídico. Vale mais que qualquer resumo de blog, inclusive este. A central de materiais da ANPD tem outros guias no mesmo formato.

Passo quatro: as medidas técnicas que cabem no orçamento

Não é sobre comprar ferramenta cara. Quase tudo que reduz risco de verdade numa empresa pequena é configuração, não compra.

1. 01Autenticação em dois fatores em tudo que tem dado de cliente. É a medida com melhor relação entre esforço e risco evitado, e leva uma tarde.
2. 02Acesso por pessoa, nunca conta compartilhada. Login coletivo torna impossível saber quem fez o quê, e é o primeiro problema numa investigação de incidente.
3. 03Revogar acesso no dia da saída, não na semana seguinte. Ex-funcionário com acesso ativo é a causa mais banal de incidente em empresa pequena.
4. 04Backup testado. Backup que nunca foi restaurado é esperança, não backup. Restaure um, de verdade, e cronometre.
5. 05HTTPS em tudo e formulário que não manda dado por e-mail em texto puro.

Passo cinco: saber o que fazer quando der errado

A lei prevê comunicação de incidente de segurança relevante à autoridade e aos titulares. O que trava as empresas nesse momento não é a regra, é não ter combinado nada antes: quem decide, quem escreve, quem avisa o cliente, em quanto tempo.

Uma página de plano de resposta, escrita num dia calmo, vale mais que um manual de cem páginas que ninguém vai abrir às onze da noite de um sábado.

Um exemplo concreto: este site

A política de privacidade daqui não foi copiada. Ela foi escrita depois de alguém procurar no código por analytics, cookie e armazenamento local, listar todos os domínios que aparecem no HTML publicado e conferir de onde vêm as fontes tipográficas.

O resultado é uma política curta que afirma coisas verificáveis: o site não instala cookie, não roda analytics e as fontes são servidas do próprio domínio, para que a sua visita não gere requisição para fora sem você saber. Até a foto no topo deste artigo está no nosso servidor pelo mesmo motivo, e não hotlinkada do banco de imagens.

E como toda afirmação forte cria uma obrigação, o arquivo que guarda esse texto tem um alerta escrito para o dia em que alguém quiser ligar o Google Analytics: naquele momento a política passa a estar errada e precisa ser reescrita ANTES da mudança entrar no ar. Se quiser conferir o que ela promete, ela está aqui.

O resumo honesto

Conformidade em empresa pequena não começa em documento, começa em inventário. Saber que dado você tem, jogar fora o que não precisa, fechar o acesso ao que sobrou e escrever a verdade sobre isso resolve a maior parte do risco real.

O documento vem depois, e aí sim com advogado, porque ele passa a ter valor jurídico. O que não funciona é a ordem inversa, que é a mais comum: comprar a política, publicar, e nunca olhar o sistema que ela deveria descrever.