A LGPD não se resume a colocar um aviso de cookies no site. Ela trata de como dados pessoais são coletados, usados, compartilhados, protegidos e eliminados. Pequenas empresas contam com regulamentação e orientações específicas, mas isso não significa ausência de responsabilidade.
O roteiro abaixo é um ponto de partida baseado em materiais da Autoridade Nacional de Proteção de Dados. Ele não substitui análise jurídica adaptada ao negócio.
1. Faça um inventário simples
Liste quais dados entram na empresa: nome, telefone, e-mail, endereço, documentos, histórico de compra e dados de funcionários. Registre a finalidade, onde ficam, quem acessa, com quem são compartilhados e por quanto tempo permanecem.
2. Colete apenas o necessário
Se uma informação não tem relação com o serviço, questione por que está no formulário. Menos dados significam menor exposição em caso de incidente e processos mais fáceis de explicar.
3. Controle acessos
Cada funcionário deve acessar apenas o necessário para sua função. Evite contas compartilhadas. Remova acessos de quem mudou de área ou saiu da empresa e revise permissões periodicamente.
4. Proteja sistemas e cópias
Atualize software, use proteção contra malware, mantenha firewall quando aplicável e faça backups. A cópia precisa ficar separada do sistema original e deve ser testada: backup que nunca foi restaurado é apenas uma esperança.
5. Organize o marketing
Explique de forma clara o que a pessoa receberá e ofereça descadastro simples. Não compre listas de procedência duvidosa. Consentimento, quando for a base utilizada, precisa ser demonstrável e pode ser revogado.
6. Revise fornecedores
Hospedagem, CRM, disparo de mensagens, contabilidade e atendimento podem tratar dados em nome da empresa. Verifique contratos, medidas de segurança, localização e procedimento em caso de incidente.
7. Prepare respostas aos titulares
Defina um canal para solicitações e saiba localizar informações. A equipe deve reconhecer pedidos relacionados a acesso, correção ou eliminação e encaminhá-los ao responsável.
8. Tenha um plano de incidente
Registre contatos, responsabilidades e primeiros passos. Preserve evidências, contenha o problema e avalie riscos. A necessidade de comunicação deve ser analisada conforme a regulamentação aplicável.
9. Treine as pessoas
Boa parte dos incidentes começa com senha reutilizada, arquivo suspeito ou envio ao destinatário errado. Treinamentos curtos e recorrentes ajudam a transformar política em comportamento.
A adequação não precisa começar por um documento de cem páginas. Ela começa quando a empresa conhece seus dados e toma decisões consistentes sobre eles.
Fontes consultadas
- ANPD: checklist de segurança para agentes de pequeno porte
- ANPD: regulamento para agentes de tratamento de pequeno porte
Fonte: ANPD
