LGPD para startups: o mínimo de governança que se defende

Toda startup brasileira que trata dados pessoais já está dentro da Lei Geral de Proteção de Dados, a Lei 13.709/2018, conhecida como LGPD. A lei está em vigor desde 2020 e não tem regime de carência: não existe período de tolerância para empresa pequena, faturamento mínimo para ser fiscalizada nem versão reduzida das obrigações para quem acabou de sair do papel.

O que existe, e pouca gente usa a favor, é proporcionalidade real. A Autoridade Nacional de Proteção de Dados (ANPD) reconheceu que uma equipe de cinco pessoas não monta a mesma estrutura de um banco e criou um regime próprio para agentes de tratamento de pequeno porte. Ao mesmo tempo, quem vende para empresa grande descobre cedo que o questionário de diligência do cliente chega antes de qualquer fiscalização: é o comprador, não o regulador, quem primeiro pede o mapa de dados, a base legal e o plano de incidente.

Este texto é para fundadores e times técnicos que precisam decidir o que fazer primeiro. A régua é uma só: o mínimo viável de governança é aquilo que você consegue mostrar funcionando, em prazo curto, para um cliente exigente ou para a própria ANPD.

A lei não dá carência, mas dá proporcionalidade

A Resolução CD/ANPD 2/2022, editada pelo Conselho Diretor (CD) da ANPD, criou o regime dos agentes de tratamento de pequeno porte. Entram nele microempresas, empresas de pequeno porte e startups enquadradas no Marco Legal das Startups, a Lei Complementar 182/2021.

As flexibilizações são concretas. A principal é a dispensa da nomeação de encarregado pelo tratamento de dados pessoais, figura que o art. 41 da LGPD exige do controlador em geral. A dispensa, porém, não elimina a obrigação de manter um canal de comunicação com os titulares: alguém precisa receber e responder pedidos. Também valem prazos em dobro para atender requisições de titulares e da ANPD, além da possibilidade de registro simplificado das operações de tratamento.

Tão importante quanto saber o que o regime dá é saber o que ele não dá. Não há dispensa de base legal: todo tratamento continua precisando se apoiar em uma das hipóteses do art. 7º da LGPD. Não há dispensa de segurança: o art. 46 obriga qualquer agente, de qualquer tamanho, a adotar medidas técnicas e administrativas aptas a proteger os dados. E a própria resolução exclui do regime quem realiza tratamento de alto risco, segundo critérios que combinam escala e natureza dos dados. Uma startup que trata dado sensível em larga escala, biometria por exemplo, deve assumir que não se beneficia das flexibilizações e se organizar como controladora comum.

O kit mínimo que sustenta uma diligência

Sete peças, nesta ordem, cobrem a maior parte do que um cliente enterprise ou uma fiscalização vai pedir.

1. Mapa das operações de tratamento. É o registro que o art. 37 da LGPD exige de controladores e operadores. Não precisa de ferramenta cara: uma planilha honesta respondendo, para cada fluxo, quais dados entram, de quem são, para qual finalidade, onde ficam, por quanto tempo e com quem são compartilhados. Tudo o que vem depois depende deste mapa.
2. Base legal declarada por fluxo. Cada linha do mapa aponta uma das hipóteses do art. 7º. A escolha importa porque define direitos e deveres diferentes: consentimento e obrigação legal não são intercambiáveis, e escolher errado cria promessas que não dá para cumprir.
3. Aviso de privacidade que corresponde à prática. O princípio da transparência do art. 6º da LGPD cobra informação clara e precisa. O teste é simples: pegue cada afirmação do aviso e verifique se o sistema faz aquilo hoje. Se o texto diz que dados são eliminados em 30 dias e o backup guarda por um ano, o aviso está errado, não o backup.
4. Canal do titular funcionando. Mesmo com a nomeação de encarregado dispensada, o canal é obrigatório e precisa operar de verdade: endereço visível, alguém designado para responder e prazo controlado. Os prazos em dobro do regime de pequeno porte só ajudam quem de fato responde.
5. Plano básico de resposta a incidente. O art. 48 da LGPD manda comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante, e a Resolução CD/ANPD 15/2024 fixou prazo de 3 dias úteis para a comunicação à autoridade. Um plano de uma página resolve o essencial: quem detecta, quem avalia o risco, quem decide comunicar e quem assina a comunicação.
6. Medidas de segurança proporcionais. O art. 46 não lista controles; exige medidas aptas ao risco. Para quem não sabe por onde começar, a ANPD publicou o Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte, com controles básicos como gestão de acessos, cópias de segurança e criptografia. Implementar o guia e documentar o que foi feito já coloca a startup à frente da média.
7. Contratos com operadores. Todo fornecedor que trata dados por conta da startup, do provedor de nuvem à ferramenta de disparo de mensagens, é um operador, e a relação entre controlador e operador precisa estar contratada: finalidade, instruções, segurança e o destino dos dados no fim do contrato.

Os erros que mais custam caro

Copiar a política de privacidade de outra empresa. O documento alheio descreve fluxos que não são os seus e promete práticas que você não tem. Num incidente ou numa diligência, um aviso que não corresponde à operação real vira evidência de que a empresa não conhece o próprio tratamento, exatamente o oposto do que o princípio da prestação de contas do art. 6º exige demonstrar.

Pedir consentimento para tudo. Consentimento parece a saída segura e costuma ser a pior escolha. Ele é revogável a qualquer momento: se o titular revoga e a operação continua, o tratamento fica sem base; se a base correta era outra, como obrigação legal ou legítimo interesse, o pedido de consentimento criou uma expectativa falsa de controle. A base certa por fluxo, definida no mapa, evita o problema na origem.

Prometer eliminação que o sistema não faz. É comum o aviso garantir exclusão imediata a pedido enquanto réplicas, logs e backups guardam cópias por meses. O caminho defensável é desenhar a retenção de verdade: prazo definido por tipo de dado, expurgo automatizado e registro de que a rotina rodou. Na UNIFOKAL, por exemplo, cada mídia recebe o prazo de retenção carimbado no momento em que entra no sistema, e a rotina de expurgo audita o que remove, em vez de depender de tarefa manual que alguém precisa lembrar.

O que muda quando a startup cresce

O regime de pequeno porte é uma rampa, não um destino. Três marcos indicam que a rampa acabou.

O primeiro é o encarregado formal. Fora do regime, a nomeação do art. 41 volta a valer integralmente, com identidade e contato divulgados publicamente. Vale entender o que o encarregado de dados faz e quando nomear um antes de a exigência chegar.

O segundo é o relatório de impacto à proteção de dados pessoais (RIPD). O art. 38 da LGPD permite que a ANPD determine sua elaboração, e tratamentos de alto risco são os candidatos naturais. Quem mantém o mapa do art. 37 atualizado produz o relatório em dias, não em meses.

O terceiro é a biometria. Dado biométrico é dado pessoal sensível pela definição do art. 5º da LGPD, com hipóteses de tratamento mais estreitas no art. 11. Uma startup que passa a usar reconhecimento facial, prova de vida ou qualquer verificação biométrica muda de patamar de risco: provavelmente sai do regime de pequeno porte, precisa reavaliar a base legal de cada fluxo e deve tratar o RIPD como obrigatório na prática.

Nada disso exige departamento jurídico próprio no primeiro ano. Exige o hábito de tratar o mapa de dados como artefato vivo, revisado a cada funcionalidade nova que toque dado pessoal. A governança que se defende não é a mais volumosa: é a que corresponde, ponto a ponto, ao que o sistema realmente faz.

Fontes citadas

• Lei 13.709/2018, Lei Geral de Proteção de Dados, texto integral no portal do Planalto
• Resolução CD/ANPD 2/2022, regime dos agentes de tratamento de pequeno porte
• Resolução CD/ANPD 15/2024, comunicação de incidentes de segurança
• ANPD, Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte
• Lei Complementar 182/2021, Marco Legal das Startups