A LGPD se aplica a qualquer empresa que realize tratamento de dados pessoais no Brasil, independentemente do porte, desde que as atividades se enquadrem nas hipóteses da lei. A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de pequeno porte, com algumas flexibilizações procedimentais, como a dispensa de indicação formal de encarregado e prazos diferenciados para atendimento de solicitações de titulares, mas as obrigações centrais da LGPD continuam se aplicando integralmente.

O que muda para as PMEs é principalmente a forma e a profundidade da implementação. Uma empresa com 20 colaboradores não precisa de um escritório de privacidade com equipe dedicada. Mas precisa saber quais dados trata, ter uma base legal para cada tratamento, informar seus clientes e colaboradores sobre o uso dos dados e ter um processo mínimo para responder a solicitações de titulares. Isso é o básico e o básico ainda falta em boa parte das empresas.

Na prática, os pontos mais críticos para PMEs costumam ser três: o compartilhamento de dados com fornecedores sem qualquer cláusula contratual de proteção; o uso de ferramentas de terceiros (CRMs, plataformas de marketing, armazenamento em nuvem) sem avaliar minimamente quem está atuando como operador; e a ausência de qualquer canal ou procedimento para atender um titular que queira saber o que a empresa faz com seus dados.

Esses não são problemas caros de resolver. São problemas de organização e de cultura de privacidade.

A boa notícia é que a implementação para empresas menores pode ser mais ágil e menos custosa do que parece. Com um bom mapeamento dos dados tratados, cláusulas contratuais adequadas com fornecedores-chave, políticas compatíveis com o contexto da empresa e um fluxo básico de resposta a incidentes e solicitações de titulares, já é possível alcançar um nível razoável de conformidade. Não estou falando aqui de perfeição, mas de proporcionalidade.

A ANPD já demonstrou que o porte é um fator de dosimetria de sanções, não uma imunidade. A Resolução CD/ANPD nº 4/2023, que trata da dosimetria das penalidades, prevê o porte da empresa como critério de graduação, mas não como condição de isenção. Portante, a empresa pode pagar menos, mas ainda pode ser autuada e responsabilizada.

O consentimento é a base mais conhecida, mas está longe de ser a mais utilizada no dia a dia empresarial. Nas relações de trabalho, por exemplo, o tratamento de dados de colaboradores normalmente se fundamenta no cumprimento de obrigação legal ou no contrato. Nas relações com clientes, pode ser o legítimo interesse ou a execução contratual, dependendo do contexto.

Escolher a base legal errada ou não documentar a escolha são erros que aparecem com frequência nos programas de privacidade mal estruturados. E isso tem consequência, como por exemplo, a ANPD questionar a licitude do tratamento, o que pode levar a sanções e à obrigação de cessar o tratamento dos dados.

Um detalhe prático importante é que a base legal precisa ser definida antes do início do tratamento, e não depois. E deve estar refletida no aviso de privacidade que a empresa disponibiliza aos titulares.

Entender bases legais não é detalhe técnico-jurídico, mas um fundamento para operar com segurança.

Os equívocos por aqui são parecidos.

Equívoco 1: “A LGPD obriga os sites a usar banners de cookies.”

Não. A LGPD exige base legal para tratar dados. Se a empresa escolhe o consentimento, ela precisa coletá-lo de forma válida: livre, informada e inequívoca (art. 8º). O banner é uma escolha da empresa, não uma imposição da lei. E, na prática, muitos são projetados para maximizar aceite, não para garantir escolha real. O Guia de Cookies da ANPD é claro sobre isso.

Equívoco 2: “As empresas precisam temer a ANPD.”

Ainda não, infelizmente. A ANPD construiu uma estrutura regulatória relevante, mas seu enforcement efetivo ainda é incipiente. A primeira sanção veio só em 2023. Casos envolvendo grandes empresas seguem sem desfecho sancionatório expressivo.

Equívoco 3: “Sem publicidade personalizada, o modelo digital quebra.”

A indústria diz que precisa rastrear você para sobreviver. Essa alegação é, no mínimo, controversa.

Publicidade contextual, conteúdo pago, merchandising, freemium, os modelos alternativos existem, funcionam e não dependem do seu histórico de navegação.

A questão não é sobrevivência. É preferência por um modelo que monetiza comportamento alheio sem transparência.

Equívoco 4: “A LGPD atrapalha os negócios.”

A proteção de dados pessoais é direito fundamental no Brasil desde a EC nº 115/2022 (art. 5º, LXXIX, CF). Legislação tributária, trabalhista e ambiental também “atrapalham” e ninguém questiona sua legitimidade. Conformidade com a LGPD é governança, não custo.

Equívoco 5: “Os titulares estão abusando do direito de acesso.”

No Brasil, o problema é o oposto. A maioria das pessoas não sabe que pode exercer os direitos do art. 18 da LGPD. E quando tenta, frequentemente recebe silêncio ou resposta incompleta. A ANPD já sinalizou isso como uma das principais causas de reclamações.

Muitos acreditam que basta anonimizar depois e o problema está resolvido. Mas não é bem assim.

Até que os dados sejam efetivamente anonimizados, eles continuam sendo considerados dados pessoais e, portanto, sujeitos à LGPD.

Isso significa que o controlador precisa aplicar uma base legal (art. 7º ou 11 da LGPD) para a coleta e qualquer tratamento inicial antes da anonimização.

A própria ANPD reforça isso em seu “estudo técnico sobre anonimização de dados na LGPD: análise jurídica”.

• O ato inicial do processo de anonimização é tratamento de dado pessoal, logo, exige base legal.
• A anonimização, por si só, não legitima um tratamento irregular. Se a coleta foi feita sem fundamento, a posterior anonimização não “conserta” a irregularidade.
• A anonimização deve ser vista como um processo contínuo, iniciado sobre dados pessoais identificáveis, e enquanto não concluído, o risco de reidentificação mantém a aplicação integral da LGPD.

Portanto, sempre que houver coleta para posterior anonimização, é obrigatório aplicar uma base legal.

E você, já se deparou com situações em que a coleta foi feita sem pensar nesse detalhe?

O movimento é coerente com o avanço das políticas de rastreabilidade total nas transações financeiras. Mas levanta uma questão delicada: estamos preparados para abrir mão da privacidade financeira em nome da transparência absoluta?

Embora o combate a ilícitos seja legítimo, é preciso refletir sobre os impactos colaterais à privacidade. O uso de tecnologias voltadas ao anonimato não deve ser automaticamente associado a atividades criminosas. Muitos recorrem a moedas privadas por razões legítimas como proteger-se da vigilância excessiva, preservar sua autonomia financeira ou garantir segurança em contextos políticos e econômicos instáveis.

A equiparação automática entre anonimato e atividade ilícita é perigosa e revela como o direito à privacidade vem sendo gradualmente impactado por legislações que não fazem distinções.

O equilíbrio entre segurança e direitos fundamentais precisa ser discutido com mais profundidade. Do contrário, corremos o risco de normalizar a ideia de que a única transação aceitável é aquela que pode ser monitorada.

A CNIL (França) publicou em janeiro desse ano um guia prático e robusto para a realização do Transfer Impact Assessment (TIA) — uma exigência para empresas que transferem dados pessoais para fora do Espaço Econômico Europeu com base em cláusulas contratuais padrão (SCCs), regras corporativas vinculantes (BCRs), entre outros mecanismos do Art. 46 do GDPR.

Por que isso é importante?

A metodologia propõe uma abordagem estruturada em 6 etapas, baseada nas recomendações do EDPB, para garantir que os dados transferidos continuem sob um nível de proteção essencialmente equivalente ao exigido na União Europeia. Entre os destaques:

1. Mapeamento detalhado da transferência;
2. Identificação do instrumento jurídico utilizado;
3. Análise da legislação e práticas do país de destino;
4. Adoção de medidas complementares técnicas, contratuais e organizacionais, se necessário;
5. Implementação das medidas;
6. Reavaliações periódicas e monitoramento de mudanças.

E como isso se conecta com a LGPD?

Enquanto ainda aguardamos avanços por parte da ANPD na regulamentação de transferências internacionais de dados — como decisões de adequação, regras complementares e mecanismos alternativos ao modelo europeu — o uso da metodologia de TIA pode ser um instrumento estratégico e de boa prática para organizações brasileiras que operam internacionalmente.

Além disso, o TIA pode ser adaptado como uma forma de demonstrar boa-fé, diligência e responsabilidade no cumprimento do princípio da prestação de contas da LGPD, especialmente em situações de transferência com países sem decisões de adequação da União Europeia ou do Brasil.

A 3ª Turma do Superior Tribunal de Justiça (STJ) consolidou um importante precedente sobre a responsabilidade dos fornecedores pelo vazamento de dados pessoais.

No julgamento do REsp 2.121.904/SP, o STJ decidiu que a responsabilidade objetiva se aplica quando há falha na proteção de dados do consumidor, independentemente da comprovação de culpa da empresa. O caso envolveu uma seguradora que expôs informações sensíveis de um segurado, levando à condenação por danos morais presumidos.

Pontos-chave da decisão:

• A proteção de dados pessoais deve seguir tanto a LGPD quanto o Código de Defesa do Consumidor (CDC).
• Empresas devem garantir a segurança das informações de clientes, sob pena de responsabilização.
• Vazamento de dados sensíveis presume dano moral, sem necessidade de comprovação adicional.
• A decisão amplia o entendimento de que dados não sensíveis também não podem ser compartilhados sem consentimento.

O que isso significa para empresas e consumidores?

Para empresas, reforça a necessidade de investimentos robustos em segurança da informação e governança de dados. Para consumidores, reafirma o direito à proteção de seus dados e à indenização em caso de falhas.

Privacidade e proteção de dados são temas estratégicos e jurídicos de alta relevância. Esse precedente pode impactar diretamente práticas empresariais e futuras ações judiciais envolvendo dados pessoais.