Os dados dos seus clientes estão em mais lugares do que parecem. No sistema de gestão, sim. Mas também no WhatsApp do vendedor que saiu em março, na planilha que o gerente mantém na área de trabalho do notebook e no e-mail arquivado na pasta "Orçamentos 2023". A Lei Geral de Proteção de Dados (LGPD) está em vigor desde 2020, e sua empresa precisa prestar contas por cada um desses dados.

Muitos empresários ainda tratam a LGPD como uma lei para banco e operadora de telefone. Não é. A primeira multa aplicada pela Autoridade Nacional de Proteção de Dados (ANPD) no Brasil foi a uma microempresa. E o cenário mudou de vez em 2026.

O que a lei exige, sem juridiquês

A LGPD não proíbe sua empresa de ter dados de clientes. Ela regula o que você pode fazer com eles. Na prática, isso significa quatro obrigações que qualquer empresa precisa cumprir:

  • Saber quais dados coleta e onde eles estão armazenados
  • Ter um motivo legítimo para usar esses dados (consentimento do cliente, contrato ativo, obrigação legal ou interesse legítimo)
  • Ter uma política de privacidade que explique, em linguagem clara, o que é feito com as informações
  • Saber como responder quando um cliente pedir para ver, corrigir ou deletar os dados que você tem sobre ele
  • Excluir os dados quando não houver mais razão legal para mantê-los

Desde 2022, microempresas, empresas de pequeno porte (EPPs), MEIs e startups estão dispensadas da obrigação de nomear formalmente um Encarregado de Dados (DPO), conforme a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Mas isso não dispensa o resto. Alguém na sua empresa precisa saber responder a essas perguntas.

O que mudou em 2026

Em fevereiro de 2026, a ANPD foi transformada em agência reguladora autônoma pela Lei nº 15.352/2026. Isso não é detalhe jurídico. É o que separa um órgão que orienta de um órgão que fiscaliza e multa com estrutura e orçamento próprios.

A fase de tolerância acabou. Nos cinco primeiros anos da lei, a postura da ANPD foi predominantemente educativa. Esse ciclo se encerrou. A agência tem hoje autonomia administrativa, quadro de servidores ampliado e poder de requisição reforçado. As empresas notificadas em dezembro de 2024 incluíam Uber, Serasa, Vivo, TikTok e outros. A fiscalização não discrimina tamanho de empresa.

As multas podem chegar a 2% do faturamento bruto anual, com teto de R$ 50 milhões por infração. Para uma empresa com faturamento de R$ 5 milhões, uma autuação de R$ 100 mil não é improvável. E a ANPD pode, além da multa, determinar a paralisação do tratamento de dados, o que na prática pode significar suspender o sistema de gestão de relacionamento com clientes (CRM), o cadastro de clientes e o histórico de vendas.

Onde os dados dos seus clientes provavelmente estão

Antes de qualquer medida técnica, vale fazer um inventário honesto. Os pontos mais comuns que encontramos nas empresas que atendemos:

  • Cadastro de clientes em planilha sem senha, compartilhada por e-mail entre a equipe
  • Histórico de negociações nas conversas do WhatsApp pessoal do vendedor
  • CPF, endereço e dados bancários de clientes em e-mails antigos que ninguém arquivou direito
  • Contratos com dados sensíveis escaneados em uma pasta no Google Drive sem controle de acesso

Cada um desses pontos representa dados de pessoas reais que, pela lei, têm direito de saber que você os tem e o que faz com eles. Se um cliente pedir amanhã para você excluir todas as informações que a sua empresa tem sobre ele, você saberia onde procurar?

O que uma PME precisa fazer para estar em dia

A adequação completa à LGPD leva tempo e envolve processos internos. Mas o mínimo viável para uma empresa de pequeno ou médio porte não é tão distante quanto parece:

  • Inventário de dados: listar quais informações de clientes, fornecedores e funcionários sua empresa coleta, onde ficam e quem tem acesso
  • Responsável interno: definir uma pessoa que cuida dos pedidos de titulares e monitora o tema, mesmo sem formalização de DPO
  • Política de privacidade: um texto no site que explica, de forma legível, o que é coletado e para quê
  • Sistema com controle de acesso: dados de clientes em uma plataforma com login individual, logs de acesso e possibilidade de exclusão controlada

O passo que mais empresas pulam é o inventário. Sem ele, tudo o mais é teatro. Você pode ter uma política de privacidade linda no site e não saber que os dados estão espalhados em três planilhas que ninguém atualiza.

O risco que não está na multa

O custo mais imediato da não conformidade não é a autuação da ANPD. É o que acontece quando um cliente descobre que seus dados vazaram, foram compartilhados sem autorização ou simplesmente sumiram sem explicação.

A confiança é o ativo mais silencioso de uma empresa pequena. Uma reclamação pública sobre uso indevido de dados destrói reputação com uma velocidade que nenhuma multa administrativa consegue medir.

Adequar-se à LGPD não é sobre cumprir uma lei. É sobre saber o que sua empresa faz com as informações que as pessoas confiam a ela. E conseguir explicar isso para qualquer cliente que perguntar.