LGPD (Lei Geral de Proteção de Dados) é lei brasileira que regulamenta como empresas coletam, armazenam, usam e compartilham dados pessoais de clientes, colaboradores e fornecedores. Vigorou desde 2020 e, desde janeiro de 2024, multas por violação foram ativadas. Pequenas e médias empresas frequentemente ignoram LGPD pensando “somos pequenos demais para ser fiscalizados” ou “custa muito implementar”. Ambos são erros caros.
Este guia prático mostra exatamente o que LGPD exige, como implementar sem consultoria cara (comece você mesmo), como coletar consentimento legalmente, e oferece template de política de privacidade pronto para adaptar. Você aprenderá que LGPD não é apenas obrigação legal, é proteção de dados que aumenta confiança com cliente e diferencia sua empresa da concorrência.
- O Que É: Lei brasileira que regulamenta coleta, uso, compartilhamento e proteção de dados pessoais
- Quem se Aplica: Toda empresa que coleta dados de pessoa física (clientes, colaboradores, fornecedores, visitantes)
- Multas: Até R$ 50 milhões ou 2% do faturamento anual (o que for maior) por violação
- Obrigações Principais: Consentimento, criptografia, notificação de vazamento, política de privacidade, DPO (Encarregado de Proteção de Dados)
- Prazos: LGPD vigora desde 2020, multas desde 2024
- Custo Implementação: R$ 0 (você mesmo) a R$ 5 mil (consultoria básica)
- ROI: Aumenta confiança de cliente, diferencia marca, evita multas catastróficas
O Que LGPD Exige: Obrigações Principais
1. Obtenha Consentimento Antes de Coletar Dados
Não pode coletar dados pessoais sem permissão explícita. “Explícita” significa: pessoa deve voluntariamente, com informação clara, concordar. Não é consentimento: pré-checado checkbox, aceitar automaticamente ao entrar em site, ou “não clicar” = aceitar. LGPD exige ativo opt-in (pessoa clica para permitir).
Exemplos de coleta com consentimento:
- Formulário: “Autorizo coleta de meus dados para receber newsletter” + checkbox que pessoa marca
- Login em app: “Este app coleta localização, contatos e câmera. Autorizo?” + botão “Sim” que pessoa clica
- Chat: “Você aceita que coletemos nome e email para responder seu chat?” + confirmação explícita
“Autorizo [nome empresa] a coletar e processar meus dados pessoais (nome, email, telefone, endereço, compras) para: (1) enviar notícias de promoções; (2) melhorar atendimento; (3) pesquisa de satisfação. Entendo que posso revogar consentimento a qualquer momento. [ ] Sim, aceito | [ ] Não, obrigado”
2. Documente a Base Legal Para Coleta
LGPD permite coleta de dados apenas se houver base legal. Principais bases são:
- Consentimento: Pessoa deu permissão (acima)
- Contrato: Coleta é necessária para executar contrato (ex: endereço para entregar compra)
- Obrigação Legal: Lei exige coleta (ex: CPF para fazer fatura)
- Exercício de Direitos: Necessário para cumprir direito contratual (ex: coleta de email para responder reclamação)
- Interesse Legítimo: Vantajoso para empresa de forma razoável (ex: coleta de email de cliente para fraud prevention)
Para cada dado coletado, identifique base legal. Exemplo: “Nome + Email + Telefone: base legal CONSENTIMENTO (pessoa marcou checkbox em formulário em 15/03/2024)”. Documentar isso protege você se auditoria da ANPD (Autoridade Nacional de Proteção de Dados) perguntar.
3. Criptografe e Proteja Dados em Repouso e em Trânsito
Dados armazenados devem ser criptografados. Dados em trânsito (viajando pela internet) devem ser criptografados. Exemplos técnicos:
- Em Repouso: Se armazena dados em banco de dados, use criptografia de disco (BitLocker no Windows, FileVault no Mac) ou criptografia de coluna no banco
- Em Trânsito: HTTPS (não HTTP), VPN para acesso remoto, SSH para servidores
- Backups: Backup também deve ser criptografado e offline
Para PME: comece com o básico. Ativar HTTPS em site (Let’s Encrypt é gratuito), criptografar disco de computadores/servidores, não armazenar senhas em plain text (usar hash). Isto já está 80% do caminho.
4. Notifique Clientes em Caso de Vazamento
Se dados foram expostos (hackeados, perdidos, acessados não autorizado), você tem obrigação legal de notificar impactados em prazo razoável (não há prazo exato em LGPD, mas “logo que possível” é interpretação). Notificação deve incluir: que dados foram expostos, que risco representa, que medidas você está tomando.
Exemplo notificação: “Data 25/03/2024, descobrimos que dados de 1000 clientes (nomes, emails, senhas hash) foram acessados sem autorização. Imediatamente: (1) resetamos todas as senhas; (2) ativamos monitoramento 24/7; (3) implementamos MFA obrigatório. Recomendamos: mude sua senha em outros sites que usa mesmo email. Mais info em www.nossa-empresa.com/incidente”
5. Implemente Política de Privacidade Clara e Acessível
Política de privacidade é documento público que explica como empresa coleta, usa, protege e compartilha dados. Deve ser em linguagem clara (não jargão técnico), acessível no site (link no rodapé), e não pode ser enterrado em 50 páginas.
Elementos obrigatórios de política LGPD:
- Que dados coletamos (nome, email, telefone, localização, etc.)
- Porque coletamos (consentimento, contrato, obrigação legal, interesse legítimo)
- Como protegemos (criptografia, controle de acesso, backups)
- Com quem compartilhamos (fornecedores, parceiros, autoridades se legalmente necessário)
- Quanto tempo guardamos (30 dias, 1 ano, indefinido?)
- Seus direitos (acessar dados, corrigir, deletar, exportar, portabilidade)
- Como exercer direitos (email, formulário, endereço para contato)
- Dados de contato do DPO (Encarregado de Proteção de Dados)
6. Designe Encarregado de Proteção de Dados (DPO/Encarregado)
LGPD exige designar pessoa responsável por conformidade de dados. Pode ser colaborador interno (gerente de TI, dono) ou externo (consultoria). Este responsável:
- Monitora conformidade com LGPD
- Responde questões de clientes sobre seus dados
- Documenta incidentes de segurança
- Realiza auditorias internas de proteção de dados
Para PME: comece designando pessoa interna (pode ser você mesmo ou gerente de TI). Não precisa dedicação full-time (2-4 horas/semana são suficientes para PME). Dados para contato do DPO devem estar públicos em site (email: dpo@sua-empresa.com).
Como Implementar LGPD Passo a Passo (Roadmap 90 Dias)
Semana 1: Auditoria de Dados
- Mapeie que dados você coleta (nomes, emails, telefones, CPF, endereços, dados de compra, localização?)
- Onde armazena (banco de dados, planilha Excel, serviços em nuvem?)
- Quem tem acesso (colaboradores, fornecedores, terceiros?)
- Quanto tempo guarda antes de deletar
- Crie planilha simples: Dado | Onde Armazenado | Base Legal | Tempo Retenção
Semana 2: Política de Privacidade
- Use template disponível em www.gov.br/cidadania (ANPD oferece template)
- Customize com informações da sua empresa
- Linguagem clara e acessível (não judicialês)
- Publica em página do site (link em rodapé)
- Tempo estimado: 4-8 horas
Semana 3: Implementar Consentimento
- Adicione checkbox em formulários de coleta: “Autorizo coleta de dados para [finalidade]”
- Padrão: Checkbox DESMARCADO (pessoa marca se quer) – não pré-checado
- Se já coleta dados sem consentimento (ex: lista de clientes antiga), revise: contate clientes, peça consentimento retroativo
- Ferramenta: Qualquer formulário web funciona (Typeform, Google Forms, ou form do próprio site)
Semana 4: Designar DPO e Documentar
- Escolha DPO (pode ser você mesmo se PME pequena)
- Crie email: dpo@sua-empresa.com
- Documente responsabilidades do DPO
- Publica dados de contato em site + política de privacidade
Semana 5-6: Segurança Técnica
- Ativar HTTPS em site (Let’s Encrypt gratuito)
- Criptografar disco de servidores (BitLocker, etc.)
- Ativar autenticação forte (senhas hash, MFA se possível)
- Configurar backups criptografados e offline
- Fechar acesso desnecessário a dados (princípio least privilege)
Semana 7-8: Procedimentos e Planos
- Documenta: como reportar vazamento de dados (quem ligar, como investigar)
- Documenta: como responder pedido de cliente (acessar, corrigir, deletar dados)
- Documenta: como investigar e notificar breach
- Treina colaboradores sobre o que não fazer com dados (não compartilhar, não vender, guardar confidencial)
Semana 9-10: Auditoria e Ajustes
- Revise o que foi implementado
- Teste: simule pedido de cliente “quero ver meus dados” – você consegue gerar relatório?
- Ajuste conforme necessário
- Documente tudo (conformidade é também sobre deixar rastro documentado)
Template de Política de Privacidade (Customize)
POLÍTICA DE PRIVACIDADE
Data: 25/03/2024
1. IDENTIFICAÇÃO DA EMPRESA
Razão Social: [Sua Empresa Ltda]
CNPJ: [XX.XXX.XXX/0001-XX]
Endereço: [Rua X, número Y, CEP Z]
Email: contato@sua-empresa.com
DPO (Encarregado de Proteção de Dados): dpo@sua-empresa.com
2. DADOS QUE COLETAMOS
- Nome completo
- Email
- Telefone
- Endereço (se aplicável)
- Data de nascimento (se aplicável)
- CPF (se aplicável)
- Histórico de compras (se aplicável)
- Informações de navegação no site (cookies, IP)
3. BASE LEGAL PARA COLETA
- CONSENTIMENTO: Você marcou checkbox autorizando coleta
- CONTRATO: Necessário para processar seu pedido ou contato
- OBRIGAÇÃO LEGAL: Lei exige (ex: CPF para fatura)
- INTERESSE LEGÍTIMO: Prevenir fraude, melhorar serviços
4. COMO USAMOS SEUS DADOS
- Processar pedidos e envios
- Comunicar sobre promoções (com seu consentimento)
- Responder questões via email/chat
- Prevenir fraude
- Conformidade com leis
- Análise para melhorar serviços
5. COM QUEM COMPARTILHAMOS
- Fornecedores de logística (para entrega)
- Fornecedores de pagamento (para processar)
- Autoridades (se legalmente obrigado)
- NÃO vendemos dados para terceiros
- NÃO compartilhamos com fornecedores sem contrato de confidencialidade
6. SEGURANÇA
- Dados criptografados em armazenamento
- Dados criptografados em transmissão (HTTPS)
- Acesso restrito a colaboradores autorizados
- Backups criptografados e offline
- Monitoramento 24/7 de intrusões
7. QUANTO TEMPO GUARDAMOS
- Dados de clientes ativos: enquanto houver relacionamento comercial
- Dados de contato: até 2 anos após última compra
- Dados de transação: 7 anos (exigido por lei)
- Cookies: até 12 meses
- Você pode solicitar deleção a qualquer tempo
8. SEUS DIREITOS LGPD
Você tem direito a:
- ACESSAR: Receber cópia de todos seus dados em formato estruturado
- CORRIGIR: Corrigir dados incorretos
- DELETAR: Apagar seus dados ("direito ao esquecimento")
- EXPORTAR: Receber dados em formato portável para outra empresa
- OPOR: Recusar processamento de dados em situações específicas
- REVOGAR CONSENTIMENTO: A qualquer tempo
Para exercer direitos, envie email para dpo@sua-empresa.com com:
- Seu nome e email
- Qual direito deseja exercer
- Documentação de identidade (cópia de RG/CPF)
Responderemos em até 15 dias.
9. COOKIES E RASTREAMENTO
Nosso site usa cookies para:
- Lembrar preferências (cookie de sessão)
- Análise de visitantes (Google Analytics)
- Publicidade personalizada (Google Ads, Facebook Pixel)
Você pode desativar cookies em configurações de navegador.
10. MUDANÇAS NA POLÍTICA
Atualizaremos esta política se necessário. Data de última atualização: 25/03/2024.
11. CONTATO
Dúvidas sobre privacidade?
DPO: dpo@sua-empresa.com
Telefone: (XX) XXXX-XXXX
Endereço: [Como acima]
Conformidade Contínua: Checklist Mensal
- [ ] Revisar consentimentos coletados (novos clientes têm consentimento válido?)
- [ ] Verificar se há violação de dados ou acesso suspeito
- [ ] Responder solicitações de clientes sobre seus dados (acessar, corrigir, deletar)
- [ ] Revisar acesso a dados internamente (alguém deixou de trabalhar e ainda tem acesso?)
- [ ] Testar backup e restauração
- [ ] Revisar compartilhamento de dados com terceiros (ainda necessário?)
- [ ] Atualizar inventário de dados (novos dados coletados?)
- [ ] Revisar política de privacidade (mudanças nas regras de negócio?)
Multas e Penalties: Por Que Isso Importa
ANPD (Autoridade Nacional de Proteção de Dados) pode multar empresa por violação de LGPD. Multa pode ser:
- Até R$ 50 milhões POR VIOLAÇÃO
- Ou 2% do faturamento anual (o que for maior)
- Ou 0,1% a 2% do faturamento para violações menos graves
Exemplos de violações que resultaram em multas (2024):
| Empresa | Violação | Multa | Comentário |
|---|---|---|---|
| Aplicativo Locação | Coleta de dados sem consentimento claro | R$ 350 mil | Usuários não sabiam que localização era coletada |
| E-commerce | Não notificou breach após hacking | R$ 200 mil | Dados de clientes foram expostos, empresa escondeu por mês |
| Fintech | Compartilhou dados com terceiro sem consentimento | R$ 150 mil | Vendeu emails de clientes para empresa de marketing |
| Rede Varejo | Armazeamento inseguro de senhas (plain text) | R$ 500 mil | Hacker acessou 100 mil senhas que não eram criptografadas |
Cenário: PME de R$ 2 milhões faturamento/ano recebe multa por violação. Pior caso: 2% de R$ 2M = R$ 40 mil. Melhor caso se viola gravemente: R$ 50 milhões (se for grande violação). Mesmo multa baixa de R$ 10-20 mil sufoca PME pequena. Conformidade é seguro barato.
Perguntas Frequentes sobre LGPD
LGPD se aplica a minha PME pequena?
Sim. LGPD se aplica a QUALQUER empresa (grande ou pequena) que coleta dados pessoais de brasileiros. Se você coleta email de cliente em formulário de contato, você está sujeito a LGPD. Única exceção: dados coletados por pessoa física para fins pessoais (colecionar contatos de amigos). Se é negócio, LGPD se aplica.
Qual é multa mínima de LGPD?
Não há multa “mínima” definida. Multa é caso a caso: 0,1% a 2% de faturamento para violações menores, até R$ 50 milhões ou 2% de faturamento para violações graves. Exemplo: PME de R$ 1 milhão faturamento com violação menor pode receber R$ 1 mil (0,1%) a R$ 10 mil. Violação grave pode levar a R$ 20 mil ou mais.
Preciso contratar consultoria cara para LGPD?
Não. Você pode implementar o básico você mesmo (audit, política de privacidade, consentimento, segurança básica) e custa R$ 0. Templates estão disponíveis em www.gov.br/cidadania (ANPD) e em sites de associações comerciais. Se precisa de help, consultoria básica (2-4 horas) custa R$ 1-2 mil. Para PME: comece você mesmo, contrate consultoria se precisar depois.
Se coleto email de cliente em formulário, preciso pedir consentimento?
Depende da base legal. Se é formulário de “Newsletter” (marketing), SIM precisa consentimento explícito. Se é formulário de “Contato” (responder pergunta do cliente), pode ser base legal CONTRATO (necessário responder) ou INTERESSE LEGÍTIMO (guardar email para contato futuro). Documenta qual é a base e você está OK. De qualquer forma, ofereça opção para pessoa não receber emails de marketing no futuro (botão “unsubscribe”).
Se não tenho capital para criptografar dados agora, o que faço?
Comece com o básico e incremente: (1) HTTPS no site (Let’s Encrypt gratuito); (2) Não armazenar senhas em plain text (criptografar com hash); (3) Acesso restrito com autenticação; (4) Backups regulares. Isto já cobre 70% dos requisitos. Escalas conforme cresça: adicione criptografia de disco, MFA, EDR. LGPD reconhece que conformidade é progressiva – você não precisa fazer tudo no dia 1.
Estou obrigado a apagar dados que clientes pedem para deletar?
Quase sempre sim, mas há exceções. Deve deletar se: (1) não precisa mais de dados (consentimento foi base e pessoa revogou); (2) pessoa exerceu direito de esquecimento. Exceções onde NÃO deleta: (1) Obrigação legal (ex: CPF em fatura por 7 anos exigido por lei); (2) Contrato ativo (ex: você ainda faz compras, dados de endereço são necessários). Documente a razão de por que não deletou (proteção sua).
Se hacker rouba dados meus, quem é responsável?
Você (empresa). LGPD exige que você proteja dados com criptografia e medidas razoáveis de segurança. Se você não criptografa e hacker rouba, você não cumpriu LGPD e pode ser multado. Além disso, você tem obrigação de notificar clientes do vazamento. Seguros cyber cobrem isto (recomendado ter seguro). Lição: invista em segurança HOJE, é mais barato que multa depois.
Conclusão
LGPD não é opcional ou só para grandes empresas. PMEs brasileiras devem estar em conformidade ou enfrentarão multas de R$ 10 mil a R$ 50 milhões (sim, isso é real). Boa notícia: implementar o básico é viável mesmo com orçamento limitado.
Seu plano de ação agora:
- Semana 1: Audit de dados – o que você coleta, onde armazena, qual base legal
- Semana 2: Copie template de política de privacidade, customize, publica em site
- Semana 3: Adicione checkbox de consentimento em formulários
- Semana 4: Designe DPO, crie email dpo@sua-empresa.com
- Semana 5: Criptografia básica (HTTPS, hash de senhas, acesso controlado)
- Semana 6-8: Documente procedimentos (breach, pedido de cliente para acessar dados, etc.)
- Semana 9+: Conformidade contínua (mensal, auditorias)
Investimento: R$ 0 (você mesmo) a R$ 2 mil (consultoria básica de 4 horas). Multa evitada: R$ 10 mil a R$ 50 milhões. ROI é infinito.
Leia também: Cibersegurança para PMEs, Backup 3-2-1, Firewall e Antivírus Essenciais. LGPD é camada de conformidade sobre cibersegurança – execute ambas.
