Você já sabe que a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) existe. Mas sabia que, em 2026, a Autoridade Nacional de Proteção de Dados (ANPD) entrou em modo de fiscalização ativa — e que empresas de todos os portes estão sendo autuadas?
A maioria das PMEs ainda opera na zona cinzenta: "a gente tem um aviso de cookies no site e deve estar ok." Não está. E essa aposta pode custar caro.
73% das PMEs brasileiras ainda não têm política formal de proteção de dados. Entre as que sofreram incidente de segurança em 2025, o custo médio foi de R$ 420.000 — incluindo multa, honorários jurídicos, comunicação de crise e lucros cessantes. Fonte: Relatório ANPD 2025.
O Que É a LGPD e Por Que Ela Afeta Sua Empresa
A LGPD regula como empresas coletam, armazenam, processam e compartilham dados pessoais — qualquer informação que identifique ou possa identificar uma pessoa física.
Isso inclui:
- Nome, CPF, e-mail, telefone de clientes e funcionários
- Histórico de compras, comportamento de navegação
- Dados de saúde, financeiros, biométricos
- Localização GPS e dados de dispositivos
- Endereço IP e cookies de rastreamento
Se sua empresa coleta qualquer um desses dados — e toda empresa coleta — você está sujeito à LGPD. Não há exceção por porte.
As Multas em 2026: Números Reais
A ANPD pode aplicar sanções que vão de advertências até multas de até 2% do faturamento bruto anual da empresa no Brasil, limitadas a R$ 50 milhões por infração.
| Tipo de Sanção | Quando Aplica | Valor Máximo |
|---|---|---|
| Advertência | 1ª infração com prazo de adequação | — |
| Multa simples | Descumprimento após advertência | R$ 50 milhões/infração |
| Multa diária | Infração continuada | R$ 50 milhões/dia |
| Publicização | Dano à titular dos dados | Exposição pública da infração |
| Bloqueio de dados | Uso irregular em larga escala | Suspensão da operação |
| Eliminação de dados | Coleta ilegal | Apagamento forçado de base |
Atenção: além das multas da ANPD, o titular dos dados pode ingressar com ação civil pedindo indenização por danos materiais e morais. Em 2025, decisões do STJ consolidaram a responsabilidade objetiva das empresas — ou seja, basta o dano, não é preciso provar culpa.
Os 10 Erros Mais Comuns das Empresas (e Como Evitá-los)
1. Coletar mais dados do que o necessário
O princípio da minimização da LGPD determina que você colete apenas o que é estritamente necessário para a finalidade declarada. Formulário com 20 campos quando você precisa de 4? Violação.
2. Não ter base legal para o tratamento
Cada tratamento de dados precisa de uma das 10 bases legais da LGPD (consentimento, legítimo interesse, contrato, obrigação legal, etc.). Tratar dados "porque sempre foi assim" não é base legal.
3. Compartilhar dados com terceiros sem contrato
Passou dados de clientes para uma operadora de plano de saúde, uma seguradora ou um fornecedor de RH? Precisa de Data Processing Agreement (DPA) — contrato que define responsabilidades de cada parte.
4. Ignorar os direitos dos titulares
Qualquer pessoa pode solicitar: acesso, correção, portabilidade, eliminação ou revogação do consentimento dos seus dados. Sua empresa tem processo para atender isso em 15 dias?
5. Vazamento sem plano de resposta
Se ocorrer incidente de segurança com risco para os titulares, a empresa tem 72 horas para notificar a ANPD. Sem plano de resposta, a notificação atrasada dobra a multa.
6. Funcionários sem treinamento
80% dos incidentes têm origem humana — e-mail com dados enviado ao endereço errado, planilha compartilhada na nuvem sem restrição, senha anotada em post-it. Treinamento não é opcional.
7. Política de privacidade genérica da internet
Copiar e colar uma política genérica (e em inglês) não cumpre a LGPD. O documento precisa ser específico para seus processos, em português e acessível.
8. Câmeras e biometria sem aviso
Câmera de segurança já é coleta de dados. Ponto biométrico também. Ambos precisam de aviso visible, base legal e, em muitos casos, consentimento.
9. Dados de colaboradores sem política interna
Contrato de trabalho, ficha médica, avaliação de desempenho, foto, localização via rastreador — tudo é dado pessoal de funcionário e tem regras específicas na LGPD.
10. Achar que "é só PME, ninguém vai me multar"
Em 2025, a ANPD abriu processos administrativos contra empresas com faturamento abaixo de R$ 1 milhão. O gatilho mais comum? Reclamação de um único titular de dados.
LGPD e Planos de Saúde: Um Cruzamento Perigoso
Empresas que contratam planos de saúde coletivos lidam com dados sensíveis — a categoria mais protegida da LGPD. Histórico médico, condições de saúde, uso de serviços de saúde mental: qualquer exposição indevida desses dados gera responsabilidade agravada.
Pontos críticos que a DCG ajuda a blindar nos contratos com operadoras:
- Cláusulas de confidencialidade sobre sinistralidade da empresa
- Restrição de uso de dados dos beneficiários pela operadora para fins comerciais
- Direito de auditoria nos dados de utilização
- Prazo de retenção e eliminação de dados após rescisão do contrato
- Responsabilidade da operadora em caso de vazamento
Sem essas cláusulas no contrato do plano de saúde, sua empresa pode ser responsabilizada solidariamente por um vazamento que ocorreu na operadora. A DCG revisa e negocia esses termos para você.
Checklist de Adequação LGPD para PMEs
Use este checklist para uma auto-avaliação rápida:
- ☐ Inventário de dados (mapeamento de quais dados coleto, de quem, onde armazeno e por quê)
- ☐ Base legal definida para cada tipo de tratamento
- ☐ Política de Privacidade atualizada e publicada em português
- ☐ Aviso de cookies funcional no site
- ☐ Formulários com consentimento explícito quando exigido
- ☐ Contratos DPA com todos os fornecedores que tratam dados
- ☐ Encarregado de Dados (DPO) designado e publicado
- ☐ Canal de atendimento para direitos dos titulares
- ☐ Plano de resposta a incidentes (com prazo de 72h para ANPD)
- ☐ Treinamento de colaboradores realizado (com registro)
- ☐ Política de retenção e eliminação de dados documentada
- ☐ Revisão de contratos com operadoras de saúde e seguradoras
Se você marcou menos de 8 itens, sua empresa está em risco de autuação. Não espere a fiscalização chegar.
LGPD e NR-1: A Combinação que Poucos Gestores Percebem
Com a atualização da NR-1 em vigor desde maio/2026, as empresas passaram a ser obrigadas a identificar e gerenciar riscos psicossociais — o que inclui coletar dados sensíveis sobre saúde mental dos colaboradores.
Isso criou um cruzamento direto entre NR-1 e LGPD:
- Diagnósticos e avaliações psicológicas → dados sensíveis → exigem base legal reforçada
- Relatórios de riscos ocupacionais → contêm dados de saúde coletivos
- Questionários de mapeamento de estresse → consentimento obrigatório
- Dados compartilhados com o SESMT ou médico do trabalho → precisam de DPA
A plataforma DCG NR-1 IVI foi desenvolvida com compliance LGPD nativo: consentimento registrado, dados criptografados, retenção configurável e relatórios anonimizados para o RH.
🔒 Sua empresa está adequada à LGPD e à NR-1?
A DCG oferece diagnóstico gratuito de conformidade e revisão de contratos de planos de saúde sob a ótica LGPD. Fale com nosso time agora:
SUSEP 10.2010993.8 · ANS · LGPD · 28 anos de mercado
Quando Contratar um DPO (Encarregado de Dados)?
A LGPD exige que toda empresa que trata dados em larga escala designe um Encarregado de Dados (DPO) e publique seu nome e contato. A ANPD ainda não definiu o critério exato de "larga escala", mas a interpretação dominante é:
- Empresas com base de dados acima de 5.000 titulares → DPO recomendado
- Empresas que tratam dados sensíveis (saúde, biometria) → DPO obrigatório
- Empresas que fazem marketing digital com segmentação → DPO obrigatório
O DPO pode ser interno (funcionário designado) ou externo (consultoria especializada). O importante é que tenha conhecimento técnico e jurídico, e que seu contato esteja publicado no site.
O Que Esperar da ANPD em 2026
Com base nas prioridades anunciadas pela ANPD para 2026:
- Setor de saúde suplementar está na lista de fiscalização prioritária
- Foco em empresas com incidentes já reportados mas sem plano de adequação
- Investigação proativa de reclamações em redes sociais sobre uso indevido de dados
- Autuações por cookies não conformes (cookie wall, dark patterns)
- Atenção especial a dados de colaboradores em sistemas de RH
A tendência é de endurecimento progressivo — semelhante ao que ocorreu com o GDPR europeu após os primeiros dois anos de vigência.
Conclusão: Conformidade Não É Custo, É Proteção de Ativo
Uma base de dados de clientes bem protegida é um ativo estratégico. Uma base de dados exposta é um passivo jurídico e reputacional.
As empresas que trataram a LGPD como oportunidade — e não como burocracia — saíram na frente: clientes confiam mais, parceiros exigem conformidade antes de fechar negócio, e licitações públicas já pedem comprovação de adequação.
"O pessimista senta-se e lastima-se; o otimista levanta-se e age." — R. O. Dantas
Não espere a multa. Não espere o vazamento. Não espere a reclamação chegar na ANPD.
Aja agora. A DCG está aqui para ajudar.
🕊️ Pare. Respire. A vida passa rápido demais para não ser vivida com consciência.
Filosofia Viva — reflexões que importam