LGPD para startups: as regras simplificadas da ANPD e seus limites

A Lei Geral de Proteção de Dados Pessoais (LGPD), a Lei 13.709/2018, vale para toda empresa que trata dados de clientes, usuários ou empregados, do cadastro de um aplicativo à lista de e-mails. Para as empresas menores, a Autoridade Nacional de Proteção de Dados (ANPD) criou regras mais leves.

Elas estão no regulamento para agentes de tratamento de pequeno porte, a Resolução CD/ANPD 2/2022. O texto inclui expressamente as startups, ao lado de microempresas, empresas de pequeno porte e microempreendedores individuais.

Quem tem direito ao regime simplificado

Vale a definição do Marco Legal das Startups: empresa inovadora com até 10 anos de CNPJ e receita bruta de até R$ 16 milhões no ano anterior. Microempresas e empresas de pequeno porte, com receita de até R$ 4,8 milhões, também entram.

O benefício cai em três casos. O primeiro é a receita acima do limite, e o segundo, um grupo econômico cuja receita somada ultrapassa o teto. O terceiro é o tratamento de alto risco para os titulares dos dados.

Alto risco exige ao menos um critério geral e um específico. Os gerais são tratar dados em larga escala ou de forma que possa afetar significativamente os direitos dos titulares.

Os específicos são o uso de tecnologias emergentes, a vigilância de áreas abertas ao público e as decisões tomadas só por sistemas automatizados, inclusive de perfil de crédito ou consumo. Também contam os dados sensíveis e os de crianças, adolescentes e idosos.

Na prática, muitas startups de crédito, de saúde e de inteligência artificial ficam fora do regime simplificado. Uma plataforma que aprova crédito de forma automatizada para milhares de clientes soma larga escala e decisão automatizada. Quando a ANPD pedir, a empresa tem 15 dias para comprovar que se enquadra.

O que a ANPD dispensa ou simplifica

A startup de pequeno porte não precisa nomear o encarregado de dados, mas deve manter um canal de comunicação com os titulares. Quem nomeia o encarregado mesmo assim ganha pontos: a ANPD considera a escolha boa prática de governança no cálculo de eventuais sanções.

O registro das operações de tratamento, exigido pelo artigo 37 da LGPD, pode ser simplificado, com modelo fornecido pela ANPD. A política de segurança da informação também pode ser simplificada, levando em conta os custos, a estrutura e o volume de dados da empresa.

Os prazos dobram. A declaração completa sobre os dados de um titular, que a lei fixa em 15 dias, passa a 30 dias. A declaração simplificada, que as demais empresas fornecem de imediato, pode sair em até 15 dias.

Não mudam as bases legais para tratar dados, os princípios da lei e os direitos dos titulares, como acesso, correção e eliminação. A ANPD também pode exigir as obrigações dispensadas, conforme a natureza, o volume e o risco do tratamento.

Incidentes, servidores no exterior e multas

Vazamentos e outros incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares. Pela Resolução CD/ANPD 15/2024, o prazo é de três dias úteis a partir do conhecimento do incidente e conta em dobro para os agentes de pequeno porte.

Quem guarda dados de clientes em servidores fora do país faz transferência internacional de dados. Desde agosto de 2025, os contratos que usam cláusulas para essa transferência precisam trazer as cláusulas-padrão aprovadas pela ANPD, sem alterações, pela Resolução CD/ANPD 19/2024.

As sanções vão da advertência à multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além da publicação da infração e do bloqueio ou da eliminação dos dados. Quem testa produtos novos com dados pessoais pode recorrer ao sandbox regulatório da ANPD.

Investidores também olham para isso. Na due diligence de uma rodada, a política de privacidade, o registro das operações e os contratos com fornecedores de tecnologia entram na lista de documentos analisados.

O caminho mais simples é mapear cedo quais dados a startup coleta, para que finalidade e onde ficam guardados. Com esse mapa, o registro simplificado, a política de segurança e o canal com os titulares ficam mais fáceis de montar, e o regime de pequeno porte é aproveitado sem surpresas.