A LGPD ficou mais leve para o pequeno negócio. Veja o que isso muda no seu cadastro de clientes.

O que aconteceu

A Lei Geral de Proteção de Dados, a LGPD, é a lei que define como qualquer empresa pode coletar, guardar e usar os dados pessoais das pessoas com quem se relaciona. Ela vale desde 2020 e não tem tamanho mínimo: um estúdio com cinquenta alunos está sujeito a ela tanto quanto um banco. O que mudou foi a forma de cumprir algumas obrigações para quem é pequeno.

A Autoridade Nacional de Proteção de Dados — o órgão público que fiscaliza o cumprimento da lei — publicou uma resolução que cria um regime simplificado para microempresas e empresas de pequeno porte, desde que não tratem dados em grande volume nem dados considerados sensíveis em larga escala, conforme a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Na prática, três coisas ficaram mais simples. A primeira é a dispensa de nomear um encarregado de proteção de dados — o profissional que costuma ser chamado pela sigla em inglês DPO, responsável por ser a ponte entre a empresa e os clientes em questões de privacidade. A segunda é o prazo em dobro para responder quando um cliente pede para ver, corrigir ou apagar os próprios dados. A terceira é um registro mais enxuto das operações com dados, sem a papelada exigida das empresas grandes.

É importante separar o que afrouxou do que não mudou. Os fundamentos da lei seguem valendo por inteiro: o cliente continua tendo o direito de acessar e apagar os próprios dados, a empresa continua obrigada a guardá-los com segurança e a avisar quando houver um vazamento. A simplificação é de procedimento, não de princípio. E ela tem um limite: negócios que lidam com dados mais delicados, como uma clínica que guarda informação de saúde, podem não se enquadrar e ter de cumprir a regra cheia.

Por que isso é uma questão da operação, não só de papelada jurídica

Para um negócio de serviço, o cadastro de clientes não é um arquivo morto. É a base de tudo: é dele que saem as cobranças, as mensagens de aula, o contato de quem sumiu, a lista de quem tem plano ativo. Esse cadastro é, ao mesmo tempo, o ativo mais usado no dia a dia e o que costuma ser tratado com menos cuidado — uma planilha que passou por várias mãos, um grupo de contatos no celular de quem atende, uma ficha de papel na recepção.

O ponto que costuma escapar é que a LGPD não cobra apenas uma multa lá na frente. Ela cobra um padrão de organização sobre esse cadastro o tempo todo. Quando um aluno pede para sair e quer que apaguem o número dele, isso é um direito previsto na lei, com prazo para ser atendido. Quando um dado vaza — o que numa planilha aberta a todos é mais comum do que parece —, existe obrigação de comunicar. E há um efeito que aparece sobretudo em quem presta serviço para empresas maiores: cada vez mais contratos e processos de seleção pedem comprovação de que o fornecedor cumpre a LGPD. Não estar adequado pode, na prática, custar um contrato.

Onde isso aparece na rotina

O que parece uma exigência única — "estar de acordo com a LGPD" — é, na verdade, um conjunto de pequenas rotinas, e quase todas dependem de alguém saber onde cada dado está guardado.

Há o trabalho de saber quais dados o negócio coleta e onde eles ficam: a planilha de matrícula, o formulário do site, o aplicativo de mensagem onde ficam os contatos, o sistema onde entram os pagamentos. Há a parte de ter um canal por onde o cliente consegue pedir acesso ou exclusão dos próprios dados, e alguém responsável por responder dentro do prazo. Há os cuidados básicos de segurança — senha individual em vez de uma senha que todo mundo usa, controle de quem enxerga o quê, uma cópia de segurança dos dados. E há o registro de como tudo isso funciona, que mesmo na versão simplificada precisa existir.

Nenhuma dessas tarefas costuma estar formalmente na agenda de alguém. Elas se distribuem nos intervalos do dia e só viram urgência quando o problema já chegou: um cliente reclamando, um dado perdido, um contrato que pediu a comprovação. Por ficarem nesse espaço difuso, é difícil medir o tempo que consomem — até o dia em que consomem todos de uma vez.

O que considerar diante do novo cenário

A leitura imediata da notícia é animadora: ficou mais fácil, então dá para relaxar. Mas tratar a flexibilização como permissão para adiar deixa passar o que ela realmente abre. A resolução não diminui a responsabilidade sobre o cadastro; ela só reduz a burocracia em volta dele. A organização continua sendo exigida.

A pergunta mais útil, nesse momento, não é qual software de privacidade contratar, e sim o que o negócio realmente precisa saber sobre os próprios dados. Trabalhando dentro da operação de empresas de serviço, observamos um padrão que se repete: a empresa contrata uma ferramenta de conformidade ou um sistema novo antes de saber responder onde cada dado de cliente está, quem tem acesso a ele e por quanto tempo ele precisa ser guardado. A ferramenta então automatiza um processo que nunca foi desenhado, e a sensação de estar protegido aparece sem que a proteção exista de fato.

A flexibilização funciona, nesse sentido, como um bom motivo para retomar uma pergunta que já estava atrasada: antes de escolher qualquer ferramenta, o que o negócio precisa enxergar sobre o próprio cadastro? Ao olhar a operação etapa por etapa — onde os dados entram, por onde circulam, quando deveriam ser apagados —, é comum descobrir que o ganho real não está no software, e sim em desenhar primeiro o processo e deixar a tecnologia entrar depois, com propósito.

Publicamos toda semana análises nesse formato: o que muda no cenário e o que isso representa, de forma concreta, para quem administra um negócio de serviço. Se esse tipo de leitura ajuda a enxergar a própria operação com mais clareza, vale acompanhar — a cada mudança relevante, traremos a tradução para o seu contexto.