Se o seu negócio tem um site com formulário de contato, vende pela internet, mantém uma lista de clientes por e-mail ou WhatsApp, ou usa qualquer sistema que armazene nome, telefone, CPF ou endereço de alguém, ele já trata dados pessoais. E isso é o suficiente para colocar a empresa dentro do alcance da Lei Geral de Proteção de Dados, a LGPD.
Muitos empresários ainda tratam Termos de Uso e Política de Privacidade como um texto padrão para "deixar o site completo". Na prática, esses documentos fazem parte de um conjunto de obrigações legais, e a ausência deles, ou uma versão copiada de outro site sem revisão, expõe o negócio a autuação pela Autoridade Nacional de Proteção de Dados (ANPD) e a questionamentos formais de clientes.
Falei sobre a Política de Privacidade como um dos contratos essenciais no artigo Abriu a Empresa? Veja os 5 Contratos Essenciais Para Quem Está Começando um Negócio. Aqui, detalho o que a LGPD exige, na prática, de uma empresa que trata dados pessoais.
1. Base legal para cada tratamento de dado
A LGPD exige que toda coleta de dado pessoal tenha uma justificativa jurídica válida, chamada de base legal. As mais comuns para negócios são o consentimento do titular, a execução de um contrato e o legítimo interesse da empresa. Coletar dado sem identificar qual base legal se aplica é uma das falhas mais frequentes em empresas pequenas, porque muitas simplesmente coletam tudo que conseguem, sem relacionar cada informação a uma finalidade específica.
Cada dado coletado precisa ter uma finalidade clara, e essa finalidade precisa estar descrita na Política de Privacidade da empresa.
2. Política de Privacidade completa e acessível
Não basta ter uma Política de Privacidade publicada. Ela precisa informar, de forma clara, quais dados são coletados, para qual finalidade, por quanto tempo ficam armazenados, se são compartilhados com terceiros (como plataformas de pagamento ou ferramentas de marketing) e como o titular pode exercer seus direitos.
Documentos genéricos, copiados de outros sites, costumam listar tratamentos de dados que a empresa nem realiza, ou omitir tratamentos que ela de fato faz. Os dois cenários geram risco, porque a Política de Privacidade funciona como uma declaração formal de como a empresa trata os dados que coleta.
3. Direitos do titular dos dados
A LGPD garante ao titular do dado (cliente, lead, usuário do site) o direito de saber quais dados a empresa tem sobre ele, corrigir informações incorretas, solicitar a exclusão dos dados e revogar consentimento a qualquer momento. A empresa precisa ter um canal claro para receber e responder esse tipo de solicitação, e um prazo razoável para atendê-la.
Negócios que não têm esse canal estruturado costumam demorar para responder ou simplesmente ignoram a solicitação, o que já configura descumprimento da lei, independente de qualquer outra falha.
4. Segurança no armazenamento dos dados
A LGPD exige que a empresa adote medidas técnicas e administrativas para proteger os dados que coleta contra acesso não autorizado, vazamento ou uso indevido. Isso inclui desde controle de acesso a sistemas internos até cuidado com planilhas exportadas e compartilhadas por e-mail.
Empresas pequenas costumam concentrar dados sensíveis (CPF, dados de pagamento, endereço) em ferramentas sem qualquer controle de acesso, o que aumenta o risco de vazamento e a responsabilidade da empresa caso ele aconteça.
5. Encarregado de dados (DPO), quando aplicável
Empresas de maior porte, ou que tratam grande volume de dados sensíveis, precisam indicar um encarregado de proteção de dados (Data Protection Officer, ou DPO), responsável por ser o canal entre a empresa, os titulares de dados e a ANPD. Negócios menores nem sempre são obrigados a ter esse cargo formalizado, mas ainda assim precisam ter alguém responsável por essa função internamente, mesmo que de forma menos estruturada.
O risco de tratar a LGPD como formalidade
Empresas que tratam a LGPD como uma exigência burocrática costumam publicar documentos incompletos, sem revisão jurídica, e sem qualquer processo interno para lidar com solicitações de titulares ou eventuais incidentes de segurança. O problema aparece quando surge uma reclamação, uma fiscalização ou um vazamento de dados, e a empresa não tem nem a documentação nem o processo para responder de forma adequada.
Adequar-se à LGPD não exige uma estrutura complexa para a maioria dos pequenos e médios negócios. Exige documentos revisados com atenção à operação real da empresa e um mínimo de processo interno para lidar com dados pessoais de forma responsável.