Pequena empresa precisa de encarregado de dados na LGPD?

A dispensa existe, mas depende do enquadramento

Uma pequena empresa pode estar dispensada de indicar encarregado de dados, desde que se enquadre como agente de tratamento de pequeno porte e possa usufruir do regime diferenciado da Resolução CD/ANPD nº 2/2022. Mesmo nessa hipótese, precisa disponibilizar um canal de comunicação com os titulares e cumprir as demais obrigações aplicáveis da LGPD. A dispensa não decorre apenas de ter poucos funcionários, ser chamada de pequena empresa ou utilizar o Simples Nacional.

A regra geral é a indicação do encarregado pelo controlador, conforme o art. 41 da LGPD. A exceção está no art. 11 do regulamento de pequeno porte, cuja leitura exige também os arts. 2º a 6º. Essa sequência importa: primeiro se verifica quem pode usar o regime; depois se aplica a flexibilização. LGPD e regra geral; Resolução nº 2/2022 consolidada.

Quem pode utilizar o regime de pequeno porte

O art. 2º da Resolução nº 2/2022 abrange categorias como microempresas, empresas de pequeno porte, startups, determinadas pessoas jurídicas privadas, pessoas naturais e entes privados despersonalizados que assumam obrigações típicas de controlador ou operador. Para microempresas e empresas de pequeno porte, a norma remete aos critérios legais específicos; para startups, aos requisitos da legislação própria.

A lista não funciona como uma autorização isolada. O art. 3º exclui do tratamento diferenciado quem realize tratamento de alto risco, ressalvada a hipótese específica de organização coletiva para negociação de reclamações prevista no art. 8º. Também exclui quem ultrapasse os limites de receita indicados e quem pertença a grupo econômico cuja receita global exceda esses limites.

Portanto, o cadastro empresarial é uma das evidências, mas não encerra o diagnóstico. É necessário verificar faturamento, vínculos econômicos e operações de dados. Uma empresa com estrutura enxuta pode tratar informações de milhares de pessoas, tomar decisões automatizadas relevantes ou operar um serviço de elevado impacto sobre direitos.

Quando a ANPD solicita a comprovação do enquadramento, o art. 5º prevê apresentação em até quinze dias. Organizar os documentos antes de uma solicitação facilita demonstrar a razão da escolha. Isso não significa enviar espontaneamente um cadastro de dispensa nem presumir que exista aprovação individual da Agência. Critérios, exclusões e comprovação — arts. 2º a 5º.

Como avaliar o tratamento de alto risco

Para a Resolução nº 2/2022, o enquadramento de alto risco exige a presença cumulativa de pelo menos um critério geral e um específico do art. 4º. Não basta localizar uma palavra sensível na atividade da empresa e concluir automaticamente pela exclusão.

Na larga escala, entram o número de titulares, o volume de dados, a duração, a frequência e a extensão geográfica. O impacto significativo pode envolver impedimento de direitos ou acesso a serviços, discriminação, fraude ou outros danos relevantes. A avaliação deve descrever o que realmente ocorre e como os elementos se combinam.

Tratar algum dado de saúde, por exemplo, não dispensa a análise do critério geral. Na direção oposta, um faturamento reduzido não neutraliza um tratamento que preencha ambos os grupos. A distinção evita tanto uma dispensa indevida quanto exigências justificadas apenas por impressões genéricas.

Essa análise merece revisão quando o negócio cresce, muda a tecnologia, integra novas bases ou passa a alcançar outro público. O art. 16 permite à ANPD determinar o cumprimento de obrigações flexibilizadas, considerando as circunstâncias concretas. Alto risco e atuação da ANPD — arts. 4º e 16.

Dispensa do encarregado não dispensa um canal funcional

Se optar por não indicar encarregado porque atende aos requisitos da exceção, a empresa deve manter um canal com os titulares. O art. 11, § 1º, da Resolução nº 2/2022 e o art. 3º, § 3º, do regulamento aprovado pela Resolução nº 18/2024 preservam expressamente esse dever.

O canal precisa ter alguém responsável por receber, encaminhar e acompanhar as solicitações. Criar um endereço eletrônico sem rotina de leitura não organiza o atendimento. Tampouco basta remeter toda pergunta ao fornecedor de software, quando a decisão sobre o tratamento pertence à própria empresa.

Como organização prática, convém definir quem verifica a identidade do solicitante, quais áreas localizam os dados, quem decide a resposta e como registrar a conclusão. Essa verificação deve ser proporcional: solicitar cópia integral de documentos para toda interação pode criar nova coleta desnecessária. O direito exercido e o risco de entregar informações a pessoa errada orientam o procedimento.

É útil distinguir informação geral, pedido de acesso, correção e eliminação. Nem toda solicitação de exclusão autoriza apagar imediatamente todos os registros; hipóteses de conservação previstas em lei exigem análise própria. As regras de direitos e retenção continuam aplicáveis. LGPD — arts. 6º, 16 e 18.

O que permanece obrigatório

O art. 6º da Resolução nº 2/2022 afasta a interpretação de uma isenção geral. Entre os pontos que continuam exigindo atenção estão a finalidade do tratamento, a hipótese legal adequada, a transparência, os direitos dos titulares e a segurança. A possibilidade de registro simplificado de operações não equivale à ausência de registro.

Uma rotina proporcional pode começar pelo inventário de clientes, fornecedores e trabalhadores; identificação dos sistemas e prestadores utilizados; controle de acessos; cópias de segurança; prazos de conservação; e orientação de quem opera os dados. As medidas devem refletir o risco e a realidade do negócio, como determinam os arts. 12 e 13 do regulamento.

Também permanecem os deveres relacionados a incidentes. O enquadramento de pequeno porte pode produzir tratamento diferenciado em hipóteses específicas, mas não autoriza ignorar uma exposição de dados ou aplicar prazo em dobro sem conferir a regra pertinente. O texto consolidado do art. 14, II, incorpora a alteração da Resolução nº 15/2024.

Para entender como essa organização se conecta ao conjunto de obrigações empresariais, veja a análise sobre diferenças entre compliance e LGPD. A adequação à LGPD envolve fluxos e evidências, além dos avisos publicados no site.

Se houver indicação de encarregado

A indicação pode ser obrigatória ou adotada voluntariamente. A Resolução nº 18/2024 admite pessoa natural ou jurídica e exige ato formal escrito, datado e assinado, com formas de atuação e atividades. Também disciplina substituição, divulgação da identidade e contato, recursos, autonomia técnica e acesso à direção da organização.

Ter um encarregado não transfere a ele toda a responsabilidade pela conformidade. O art. 11 do regulamento mantém essa responsabilidade no agente de tratamento. O encarregado orienta e funciona como canal; as decisões do negócio, a execução das medidas e a cooperação das áreas continuam necessárias.

O acúmulo de funções exige atenção a conflitos de interesse. O nome do cargo não demonstra independência por si só. É preciso avaliar se a pessoa também toma decisões que poderá ter de examinar como encarregada. A indicação feita por operadores é facultativa no regulamento, sem eliminar seus demais deveres. Resolução nº 18/2024.

Exemplo hipotético: duas empresas com poucos funcionários

Imagine uma prestadora de manutenção que mantém cadastros limitados para executar contratos e cobrar serviços. O responsável reúne documentos de enquadramento, examina os riscos e conclui, de forma fundamentada, que pode aplicar o regime diferenciado. A empresa pode optar pelo canal de atendimento sem indicação de encarregado, mantendo segurança e respostas a titulares.

Considere agora uma startup igualmente pequena que avalia automaticamente perfis de pessoas para restringir acesso a um serviço, com potencial de impacto significativo. O número de funcionários é semelhante, mas a operação demanda outra análise dos critérios de alto risco. O primeiro resultado não pode ser copiado para a segunda empresa.

Os exemplos são hipotéticos. A conclusão depende dos dados, funcionalidades, escala, decisões e documentos de cada operação, inclusive de exigências setoriais ou contratuais adicionais.

Checklist de decisão e documentação

• Confirmar a categoria jurídica e os critérios legais de pequeno porte.
• Conferir receita própria e eventual grupo econômico.
• Mapear tratamentos e combinar os critérios gerais e específicos de alto risco.
• Registrar o fundamento para indicar o encarregado ou utilizar a dispensa.
• Testar o canal dos titulares e distribuir responsabilidades internas.
• Revisar segurança, contratos com fornecedores e resposta a incidentes.
• Reavaliar o enquadramento diante de mudanças relevantes no negócio.

Os documentos externos devem corresponder a essa rotina. A análise sobre termos de uso e política de privacidade explica por que esses instrumentos possuem funções diferentes e não substituem a operação interna.

Perguntas frequentes

A dispensa é permanente?

Não deve ser tratada dessa forma. Crescimento, mudança da receita, entrada em grupo econômico, novas tecnologias ou novos riscos podem modificar o enquadramento. A conclusão precisa acompanhar a atividade real.

Indicar voluntariamente um encarregado é proibido para a pequena empresa?

Não. O art. 11, § 2º, reconhece a indicação como boa prática de governança. A escolha deve ser acompanhada da estrutura e das condições de atuação pertinentes; não é um selo de conformidade nem uma garantia de ausência de responsabilização.

Referências oficiais e aviso informativo

• LGPD — Lei nº 13.709/2018.
• Resolução CD/ANPD nº 2/2022, texto consolidado.
• Resolução CD/ANPD nº 18/2024.
• ANPD — apresentação do guia sobre atuação do encarregado.

Conteúdo informativo. O enquadramento e as providências dependem das operações de tratamento e da regulamentação aplicável ao caso. Para análise individualizada, utilize o canal institucional de contato.