Existe uma dupla de mentiras confortáveis circulando entre PMEs: “a LGPD é problema de empresa grande” e “o aceite num pop-up resolve tudo”. As duas custam caro. A Lei 13.709 vale onde houver um nome, um e-mail ou um CPF — da gigante do e-commerce à consultoria de bairro — e o consentimento é só uma das dez bases legais que ela oferece (quase sempre a pior escolha para o seu caso). Este manual mostra o que a lei realmente exige, as dez bases num mapa só, as sete marteladas da conformidade — e corrige, com endereço e fonte, um mito que a primeira versão deste próprio artigo espalhou.
A Muralha de Vidro: a ilusão da invisibilidade
A crença de que “o raio do vazamento só cai na forja do vizinho” é otimismo mal calibrado — e a fiscalização não sorteia por tamanho. A ANPD (Autoridade Nacional de Proteção de Dados) consolidou-se como autarquia de fiscalização, o Procon e o Judiciário já usam a LGPD como base para indenizações, e o relatório anual Cost of a Data Breach (IBM) coloca, ano após ano, o custo médio de um vazamento no Brasil na casa dos milhões de reais — o suficiente para aniquilar o caixa de uma PME em dias.
Dados não são bits; são a extensão da privacidade do seu cliente. E aqui vale a régua estoica de sempre: a fiscalização e o vazamento do concorrente você não controla — a ordem interna da sua operação, sim.
“Aquele que negligencia o que é pequeno cairá pouco a pouco.” — sabedoria antiga, adaptada à governança. Se você não protege o CPF do seu lead, não merece o lucro que ele gera.
O Mito do Consentimento Único — e as 10 bases legais
O erro mais caro do marketing de pop-up é achar que consentimento é a única porta. A lei prevê dez bases legais (Art. 7º) — e a escolha errada é infração tanto quanto a ausência:
// método
As 10 bases legais do Art. 7º — consentimento é só a primeira porta, não a única
As 10 bases legais do Art. 7º da LGPD (dados não-sensíveis) — toda coleta precisa de UMA base documentada; escolher errado é infração. Regra prática da metodologia RRooster: prefira contrato ou obrigação legal quando aplicável — consentimento é revogável a qualquer momento, então usá-lo onde o contrato já cobre é criar fragilidade à toa. Transparência da casa: o próprio Códice trata dados por execução de contrato (Art. 7º, V), não por consentimento — está escrito na nossa política de IA.
A conformidade real não é o pop-up: é Privacy by Design — a proteção desenhada na estrutura do processo, não remendada depois. O cliente moderno não compra só o produto; compra a segurança de que os segredos dele não serão leiloados.
As 7 Marteladas da Conformidade
1. A auditoria de minério: revise cada byte
Inventário brutal: origem, finalidade e destino de cada dado. A tentação de guardar dados “por precaução” tem nome na lei — violação do princípio da minimização: se o campo não serve à finalidade, ele não deveria existir no formulário. E se o dado é sensível (saúde, religião, biometria, orientação política…), o fogo é mais alto: acesso mais restrito, base legal mais estreita — e interesse legítimo está proibido. Você diz que preza pelo cliente, mas mantém o prontuário dele numa planilha sem senha? A conta não fecha.
2. O perigo do papel: a fuga analógica
Todo mundo vigia o hacker; quase ninguém vigia o contrato impresso com CPF jogado na recepção. A LGPD abrange o meio físico — o documento descartado errado é uma fissura tão perigosa quanto a falha de servidor.
3. O canal de escuta: o fole da transparência
O titular é o dono da matéria-prima; você é depositário temporário. Canal de comunicação visível (e-mail dedicado serve) e resposta de verdade aos pedidos de acesso, correção e exclusão. Cliente ignorado no direito dele vira denunciante na ANPD ao primeiro atrito — e com razão.
4. O registro da vontade: consentimento inquebrável
Quando a base for consentimento: livre, específico, informado e afirmativo — caixa pré-marcada é manipulação, não conformidade. E guarde a prova: IP, data/hora e versão da política aceita. Na hora do julgamento, o ônus da prova é seu: sem registro, você não tem o direito de tratar o dado.
5. Cibersegurança: o escudo de aço
Criptografia, controle de acesso por função, backups criptografados, senhas com hash forte, retenção definida por tipo de dado (log não vive para sempre; conta encerrada tem prazo). Economizar no escudo é financiar o próprio colapso.
6. A política de privacidade — e a corrente dos fornecedores
Política inteligível, não emaranhado de copia-e-cola: as pessoas confiam no que entendem. E a corrente vai além de você: todo fornecedor que recebe dado pessoal seu (CRM, automação, nuvem) é operador — e precisa de contrato de tratamento de dados (DPA). A automação que você plugou sem ler pode ser a impureza que contamina o seu aço. Ah, e o clássico do rodapé: “ao continuar navegando, você aceita os cookies” é inválido — consentimento de cookie não-essencial tem que ser afirmativo, com recusa tão fácil quanto o aceite.
7. O sentinela da forja: o DPO — e a correção da casa
Aqui, uma martelada em nós mesmos: a primeira versão deste artigo dizia que “toda empresa precisa de um DPO”. Não é verdade — e a regra real é melhor para a PME. A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte (micro, pequenas empresas e startups) de indicar o Encarregado — desde que mantenham um canal de comunicação com o titular (texto oficial da ANPD). Atenção ao que a dispensa não faz: ela não isenta das bases legais, dos princípios nem dos direitos do titular. Crescendo, ou tratando dado sensível em escala, o DPO (interno ou como serviço) volta a ser o seu diplomata entre empresa, titulares e ANPD.
Memento Mori: as consequências, com precisão
As sanções da ANPD (Art. 52) escalam: advertência → multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração → multa diária → publicização da infração → bloqueio e até eliminação dos dados envolvidos. O golpe financeiro dói, mas a publicização é o veneno reputacional: você é obrigado a declarar publicamente que falhou com o seu cliente — e o mercado esquece anos de bons serviços em uma manchete. Some o Procon e o Judiciário (danos morais) e a Premeditatio Malorum vira aritmética: quanto custa o processo, comparado ao custo da criptografia que o evitaria? A dimensão Legal é uma das sete forças do PESTALD por um motivo: ela derruba operação boa por descuido pequeno.
Conclusão: a lei que purifica o mercado
A LGPD não é bicho-papão; é o padrão de excelência da nova economia — ela elimina os mineradores de dados sem escrúpulos e fortalece quem constrói confiança de verdade. Se você a vê como fardo, sua mentalidade ainda é a do marketing de pilhagem. Se a vê como blindagem da confiança do cliente, você está pronto para a escala real.
O fogo da fiscalização está aceso. Conformidade não se improvisa na véspera da multa — se desenha no processo. Estratégia antes da mídia.
Perguntas frequentes
A LGPD vale para empresa pequena?
Vale — a lei não distingue porte onde há dado pessoal (nome, e-mail, CPF, telefone, IP). O que existe é tratamento diferenciado: a Resolução CD/ANPD nº 2/2022 flexibiliza obrigações procedimentais para agentes de pequeno porte, mas mantém as bases legais, os princípios e os direitos do titular.
Minha empresa precisa de um DPO (Encarregado)?
Se você é agente de pequeno porte (micro, pequena empresa, startup), não — a Resolução 2/2022 da ANPD dispensa a indicação, desde que exista um canal de comunicação com o titular. Empresas maiores, ou que tratam dados sensíveis em escala, devem indicar (interno ou DPO como serviço).
Preciso de consentimento para tudo?
Não — esse é o mito mais caro. São 10 bases legais no Art. 7º: para entregar o que o cliente contratou, a base é execução de contrato; para emitir NF, obrigação legal. Regra prática: prefira contrato ou obrigação legal quando aplicável — consentimento é revogável e deve ficar para o que é opcional (newsletter, marketing).
“Ao continuar navegando, você aceita os cookies” é válido?
Não. Consentimento para cookies não-essenciais (analytics, marketing) tem que ser afirmativo: banner com aceite ativo, opção de recusa igualmente visível e revogação tão fácil quanto a concessão. Cookies essenciais (sessão/login) rodam por contrato, sem banner.
O que é dado sensível — e por que muda tudo?
Raça/etnia, religião, saúde, biometria, genética, vida sexual, opinião política, filiação sindical (Art. 11). Exigem bases legais mais restritas, proteção reforçada — e nunca podem rodar em interesse legítimo. Se o seu negócio toca saúde ou biometria, o seu padrão de cuidado dobra.
Qual é a multa máxima da LGPD?
Multa simples de até 2% do faturamento da empresa (grupo no Brasil), limitada a R$ 50 milhões por infração — além de advertência, multa diária, bloqueio/eliminação dos dados e a publicização da infração, que costuma ser o golpe mais caro: o reputacional.
// diagnóstico
Confiança se constrói em camadas. A primeira é saber quem você é.
A marca que protege dados é a mesma que se conhece por inteiro. De graça, o Códice mapeia a sua identidade, o seu arquétipo e o seu público (ICP) — a base de toda operação íntegra.