O órgão que fiscaliza proteção de dados saiu da fase de avisar e passou a multar. Veja o que isso muda na lista de clientes do seu negócio.

Durante alguns anos, a lei de dados foi tratada como assunto de banco e de grande empresa de internet. Esse cenário mudou em 2026, e a mudança chega justamente ao ponto onde o seu negócio guarda as informações de quem compra de você.

O que aconteceu

O Brasil tem desde 2018 uma lei que regula como qualquer negócio pode coletar, guardar e usar informações de pessoas. Ela se chama LGPD, sigla para Lei Geral de Proteção de Dados. Para fazer essa lei valer na prática, existe um órgão público responsável por fiscalizar e aplicar multas, a ANPD, ou Autoridade Nacional de Proteção de Dados. Por anos, esse órgão atuou quase só orientando, num período em que muito se explicava e pouco se punia.

Em setembro de 2025, o governo editou uma medida provisória que transformou esse órgão em agência reguladora, depois confirmada pelo Congresso, dando a ele autonomia financeira, carreira própria de fiscais e estrutura para investigar de verdade, conforme o Senado. Na prática, a Autoridade ganhou orçamento maior e gente concursada para fiscalizar. Deixou de só avisar e passou a cobrar.

Um ponto costuma surpreender quem acha que isso é problema de empresa grande. A primeira multa que a Autoridade aplicou no país foi contra uma microempresa, no valor de R$ 14.400, justamente por usar dados de pessoas sem autorização e por não ter um responsável formal por esse assunto dentro do negócio, segundo a própria ANPD. O tamanho do negócio não isenta ninguém. O que pesa é o que se faz com os dados das pessoas.

Por que isso é uma questão da operação, não apenas do jurídico

Pode parecer um tema distante, de advogado, mas a verdade é que praticamente todo negócio de serviço trata dados de pessoas o tempo inteiro, mesmo sem perceber. A planilha de clientes do salão, o cadastro com telefone e endereço no sistema do pet shop, a ficha de pedido que a gráfica guarda, a lista de transmissão do restaurante no WhatsApp, o histórico de quem já passou pela oficina. Tudo isso é informação pessoal, e a lei trata cada uma dessas situações como algo que precisa de cuidado.

Quando esse cuidado falha, o impacto não fica restrito a uma notificação no papel. Um vazamento de uma lista de clientes, um cadastro acessível para qualquer funcionário ou um ex-colaborador que sai levando os contatos da casa são situações que mexem com a confiança de quem compra e, no limite, com o próprio caixa. Cliente que descobre que seus dados foram parar em lugar errado raramente volta, e a reclamação dele pode ser exatamente o que dá início a uma fiscalização.

A multa, vale dizer, é só a parte visível. O custo maior costuma ser o tempo gasto correndo atrás de informação espalhada quando alguém pede para ser excluído do cadastro, ou o transtorno de não saber, no momento de uma cobrança da Autoridade, onde cada dado está guardado e quem teve acesso a ele.

Onde isso aparece na rotina

O que parece um único tema, cuidar dos dados, é na prática um conjunto de pequenas decisões que se distribuem pela operação inteira e quase nunca estão organizadas em lugar nenhum.

Há a coleta, no momento em que o cliente preenche um cadastro ou manda uma mensagem. Há o armazenamento, que muitas vezes acontece em uma planilha solta, num caderno, no celular pessoal de quem atende ou num grupo de WhatsApp. Há o acesso, ou seja, quem dentro do negócio pode ver aquela lista, o que costuma ser todo mundo, sem critério nenhum. Há o compartilhamento, quando esses contatos são passados para um parceiro, para uma agência de divulgação ou para uma ferramenta de disparo de mensagens. E há o descarte, o que se faz com o dado de quem deixou de ser cliente há anos e continua guardado sem motivo.

Nenhuma dessas etapas costuma estar formalmente combinada. Elas acontecem no improviso, conforme a necessidade do dia, e por isso é difícil enxergar onde está o risco. Quando uma cobrança chega, no entanto, é exatamente esse mapa que a Autoridade pede, e é ele que quase ninguém tem pronto.

O que considerar diante do novo cenário

A resposta imediata é correr atrás de adequar o negócio à lei, e ela resolve a urgência de estar dentro da regra. Mas tratar a questão apenas como contratar um serviço ou comprar um sistema de proteção de dados deixa passar o ponto mais importante.

A pergunta mais relevante não é qual ferramenta de proteção de dados adotar, e sim por que a informação dos clientes ainda está espalhada, sem que ninguém saiba ao certo onde cada coisa fica e quem pode acessar. Trabalhando dentro da operação de empresas de serviço, observamos um padrão que se repete: o problema raramente está na falta de um software de segurança. Ele está no fato de que a informação nunca foi organizada antes, e de que se pensa em comprar uma solução para um processo que ainda não existe. Quando isso acontece, a ferramenta apenas guarda com mais capricho uma bagunça que continua sendo bagunça.

A nova postura da Autoridade funciona, nesse sentido, como um bom motivo para retomar uma pergunta que já estava atrasada: antes de proteger os dados, onde eles estão e quem precisa mesmo ter acesso a eles? Ao olhar a operação etapa por etapa, costuma ficar claro que a tecnologia sozinha não resolve, e que o ganho real aparece quando a informação é organizada primeiro, e o sistema entra depois, com propósito.

Publicamos toda semana análises nesse formato: o que muda no cenário e o que isso representa, de forma concreta, para quem administra um negócio de serviço. Se esse tipo de leitura ajuda a enxergar a própria operação com mais clareza, vale acompanhar. A cada mudança relevante, traremos a tradução para o seu contexto.