LGPD na pequena empresa: o que o seu sistema precisa ter

Pense no cadastro de clientes da sua empresa. Nome, CPF, telefone, endereço, talvez data de nascimento. Agora pense na planilha de funcionários, com salário, conta bancária e atestado médico. Onde estão esses arquivos hoje? Quem consegue abrir? Se o notebook do escritório fosse roubado amanhã, você saberia dizer o que foi junto?

Essas perguntas são o coração da LGPD, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Muito dono de pequena empresa acha que a lei é coisa de banco e de grande varejista. Não é. Ela vale para qualquer empresa que trata dados de pessoas, e isso inclui a loja, a clínica, o escritório e a fazenda.

Neste artigo a gente explica, sem juridiquês, o que a LGPD pede na prática e o que o seu sistema de gestão precisa ter para ajudar. Um aviso antes: aqui fica o nível geral. Para os detalhes do seu caso, converse com o seu advogado ou consultor de privacidade.

O que a LGPD considera dado pessoal

Dado pessoal é qualquer informação que identifica uma pessoa ou que permite chegar até ela. Nome, CPF, e-mail, telefone, endereço e placa do carro entram nessa conta. Até um número de pedido pode virar dado pessoal se estiver ligado a um cliente.

A lei também separa os dados sensíveis, que pedem mais cuidado. Entram aí informações de saúde, biometria, religião, opinião política, origem racial, entre outras. Se você tem uma clínica, quase tudo o que guarda é sensível. Se tem qualquer outro tipo de empresa, o atestado do funcionário e o controle de ponto por digital também são.

E repare: não importa se o dado está num sistema, numa planilha, num caderno ou numa pasta de papel. A lei vale para todos.

O que a lei pede, na prática

Dá para resumir as obrigações em algumas perguntas que você deveria conseguir responder.

Por que você guarda cada dado?

Todo uso de dado pessoal precisa de um motivo previsto na lei, a chamada base legal. O consentimento é uma delas, mas não a única. Emitir nota fiscal, cumprir um contrato e atender uma obrigação legal também são motivos válidos. O ponto é: guardar "porque um dia pode servir" não é motivo. Se você pede o RG do cliente para uma venda simples e nunca usa, talvez nem precise pedir.

Quem tem acesso?

Nem todo mundo na empresa precisa ver tudo. O vendedor precisa do telefone do cliente, não do histórico de pagamentos de todos. O estagiário não precisa ver o salário de ninguém. Acesso liberado para todos é um dos riscos mais comuns, e um dos mais fáceis de corrigir.

O dado está protegido?

A lei pede medidas de segurança adequadas. Na pequena empresa, isso quer dizer coisas como senha individual, computador com acesso controlado, backup que funciona e arquivos que não ficam circulando por e-mail e pendrive.

Você consegue atender o titular?

A pessoa dona dos dados, o titular, tem direito de saber o que você guarda sobre ela, pedir correção e, em alguns casos, pedir a eliminação. Se um cliente ligar amanhã pedindo isso, você consegue achar tudo o que existe sobre ele? Ou os dados estão em cinco planilhas e dois sistemas?

E se algo der errado?

Quando acontece um incidente de segurança que possa causar risco ou dano relevante às pessoas, a lei prevê comunicar a ANPD (Autoridade Nacional de Proteção de Dados) e os titulares afetados. Para isso, você precisa saber o que vazou. Sem controle, nem isso dá para dizer.

A ANPD tem regras simplificadas para agentes de pequeno porte, com menos exigências de documentação. Confirme com o seu advogado o que se aplica ao seu caso, porque a simplificação não elimina a obrigação de proteger os dados.

O que o seu sistema de gestão precisa ter

A LGPD não é um software. Ela é um conjunto de cuidados. Mas um bom sistema torna esses cuidados muito mais fáceis, e um sistema ruim, ou uma pilha de planilhas, torna quase impossível. Veja o que observar.

Usuário e senha individuais

Cada pessoa entra com o próprio acesso. Senha compartilhada, aquela "admin123" que todo mundo do escritório sabe, acaba com qualquer controle. Se todo mundo usa o mesmo login, ninguém sabe quem fez o quê.

Permissões por função

O sistema deve permitir dizer quem vê e quem altera cada parte. O financeiro vê contas a receber, o vendedor vê os clientes dele, o RH vê a folha. Isso diminui o risco e ainda evita alteração por engano.

Registro de quem acessou e alterou

O histórico de alterações, o chamado log, mostra quem mudou um cadastro e quando. Num incidente, é ele que ajuda a entender o que aconteceu.

Dados num lugar só

Quanto mais cópias do cadastro de clientes existirem, mais difícil fica corrigir, apagar ou proteger. Uma base única resolve boa parte do problema. Se hoje cada área usa um programa diferente, vale ler sistemas que não conversam: como integrar a empresa.

Backup e hospedagem confiáveis

Perder dados também é um incidente. Backup diário, testado de verdade, faz parte da proteção. A gente escreveu sobre isso em backup que nunca foi restaurado não é backup. Vale também saber onde os dados ficam guardados: hospedagem no Brasil simplifica a conversa sobre transferência internacional de dados.

Exportação e eliminação

O sistema precisa permitir tirar um relatório com os dados de uma pessoa e apagar ou anonimizar o que não tem mais motivo para ficar, respeitando o que precisa ser guardado por obrigação fiscal ou legal.

Por onde começar sem complicar

Não precisa contratar um projeto enorme para dar o primeiro passo. Um roteiro simples:

Faça um inventário. Liste quais dados pessoais a empresa guarda, onde estão e para que servem. Uma folha de papel já ajuda.
Corte o que sobra. Se um campo do cadastro nunca é usado, pare de pedir. Dado que você não tem não pode vazar.
Feche o acesso. Acabe com senhas compartilhadas e revise quem vê o quê.
Tire os dados das planilhas soltas. Principalmente as que circulam por e-mail ou WhatsApp.
Teste o backup. Restaure um arquivo e veja se funciona.
Combine o procedimento. Quem atende se um cliente pedir os dados dele? O que fazer se um computador for roubado? Deixe escrito.
Busque orientação jurídica. Para política de privacidade, contratos e bases legais, o seu advogado é quem deve validar.

Quando a planilha ainda serve

Se a sua empresa tem poucos clientes, uma ou duas pessoas mexem nos dados e o arquivo fica num computador com senha e backup, uma planilha bem cuidada pode ser suficiente por um tempo. A lei não obriga ninguém a ter um sistema.

O problema começa quando a planilha é copiada, enviada por e-mail, salva no pendrive e editada por várias pessoas. Aí não existe mais "a" planilha, existem várias versões, e ninguém sabe quem tem cópia. Nesse ponto, a planilha deixa de ser só um incômodo de organização e vira um risco. E em segmentos que lidam com dados sensíveis, como saúde, esse ponto chega bem antes. Para quem tem clínica, sistema de gestão para clínica: o que precisa ter aprofunda o assunto.

Como a VEC trabalha

O SGVEC já nasce com usuário individual, permissões por função, histórico de alterações, backup diário e hospedagem no Brasil. Os dados são do cliente e podem ser exportados quando ele quiser, inclusive se decidir sair. Se a sua empresa precisa de um controle específico, como um relatório dos dados de um titular ou uma regra de acesso diferente, o time desenvolve, com escopo, prazo e valor aprovados antes.

A gente não substitui o seu advogado na parte jurídica da LGPD. O que a gente faz é deixar o sistema pronto para que os cuidados que a lei pede funcionem no dia a dia. Se quiser ver como isso ficaria na sua empresa, peça uma demonstração.

Perguntas frequentes

A LGPD vale para pequenas empresas?

Vale. A lei se aplica a qualquer empresa que trata dados pessoais, e quase toda empresa tem cadastro de clientes e de funcionários. A ANPD prevê regras simplificadas para agentes de pequeno porte, mas isso diminui a burocracia, não a obrigação de cuidar dos dados.

Preciso pedir consentimento para cadastrar um cliente?

Nem sempre. O consentimento é só uma das bases legais previstas na lei. Emitir nota fiscal ou cumprir um contrato, por exemplo, podem justificar o uso de dados sem um termo de autorização. Para saber qual base se aplica a cada caso, confirme com o seu advogado ou consultor.

O que fazer se um cliente pedir para apagar os dados dele?

Primeiro, verifique se existe alguma obrigação de guardar aquela informação, como documentos fiscais que precisam ser mantidos por um prazo. O que não tiver motivo para ficar deve ser eliminado ou anonimizado. Para isso, você precisa conseguir achar todos os dados daquela pessoa, e é aí que o sistema faz diferença.

Planilha compartilhada é um risco para a LGPD?

Pode ser. Planilha com dados de clientes circulando por e-mail ou pendrive não tem controle de quem abriu, copiou ou alterou. Se ela vaza, fica difícil saber o tamanho do problema. Num sistema com usuário, senha e registro de acesso, esse controle existe.