A LGPD para pequenos negócios vale também para o MEI que vende pelo WhatsApp: nome, telefone e endereço de cliente são dados pessoais (Lei 13.709/2018, art. 5º). A Resolução CD/ANPD nº 2/2022 simplifica as regras para o pequeno porte, mas não dispensa cuidar dos dados.
Resposta rápida:
- Contato de cliente salvo no celular do negócio já é dado pessoal protegido pela LGPD.
- O agente de pequeno porte não precisa nomear encarregado, mas precisa ter um canal de contato.
- Lista de transmissão deve incluir só quem pediu ou aceitou receber as mensagens.
- Print de conversa de cliente não se compartilha em grupo nem em status.
- Vazamento que traga risco relevante ao cliente deve ser comunicado à ANPD e a ele.
Neste guia
A LGPD vale para MEI?
Sim, a LGPD para MEI vale do mesmo jeito que para qualquer empresa. A Lei Geral de Proteção de Dados (Lei 13.709/2018), no art. 3º, se aplica a qualquer tratamento de dados feito por pessoa natural ou jurídica no Brasil.
A única saída prevista para quem é pessoa física está no art. 4º, I: tratamento feito para fins exclusivamente particulares e não econômicos. A agenda pessoal do seu celular fica fora. Mas, quando você vende, o fim é econômico, e a lei passa a valer.
O art. 5º, I, define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. No dia a dia de quem vende pelo WhatsApp, isso inclui:
- Nome e telefone do cliente salvos no celular.
- Endereço de entrega anotado na conversa.
- Foto do cliente usando o produto.
- CPF pedido para emitir nota fiscal.
Quem decide o que fazer com esses dados é o controlador (art. 5º, VI), ou seja, o próprio dono do negócio. É ele quem responde pelo cuidado. Proteção de dados entra na rotina como estoque e caixa, e o guia sobre como administrar pequeno negócio ajuda a encaixar essa tarefa nas outras.
O que a Resolução 2/2022 muda para pequenas empresas
A Resolução CD/ANPD nº 2/2022 cria um regime simplificado da LGPD para pequenas empresas. A ANPD (Autoridade Nacional de Proteção de Dados) chama esse grupo de agentes de tratamento de pequeno porte, e o art. 2º inclui microempresas, empresas de pequeno porte, startups e o MEI.
O enquadramento segue a Lei Complementar 123/2006: o MEI fatura até R$ 81 mil por ano (art. 18-A, §1º), a ME até R$ 360 mil e a EPP até R$ 4,8 milhões (art. 3º).
Pelo art. 3º da resolução, fica fora do regime simplificado quem:
- Fatura acima do limite da EPP.
- Pertence a grupo econômico cuja receita somada passa desse limite.
- Faz tratamento de alto risco.
Tratamento de alto risco, pelo art. 4º, exige um critério geral (larga escala ou possível afetação significativa de direitos) somado a um específico. Os específicos são tecnologia inovadora, vigilância de áreas públicas, decisão automatizada e dados sensíveis ou de crianças, adolescentes e idosos. Atender idosos não basta sozinho; é preciso somar com o critério geral.
| Obrigação | Regra geral da LGPD | Pequeno porte (Res. 2/2022) |
|---|---|---|
| Encarregado | Deve indicar (art. 41) | Dispensado, com canal de contato (art. 11) |
| Registro das operações | Obrigatório (art. 37) | Pode ser simplificado (art. 9º) |
| Política de segurança | Medidas do art. 46 | Política simplificada facultativa (art. 13) |
| Prazo para atender o titular | Prazo do regulamento | Em dobro (art. 14) |
| Comunicação de incidente | 3 dias úteis | 6 dias úteis (Res. 15/2024, art. 6º, §8º) |
Segundo a ANPD, na Resolução CD/ANPD nº 2/2022, agentes de pequeno porte têm prazo em dobro para atender pedidos de titulares (2022). Se a ANPD pedir, o negócio tem 15 dias para comprovar o enquadramento (art. 5º).
O MEI precisa de DPO (encarregado)?
Não, o MEI não precisa de DPO. O encarregado, chamado de DPO, é a pessoa que recebe reclamações dos titulares e fala com a ANPD (art. 41 da LGPD). O art. 11 da Res. 2/2022 dispensa o pequeno porte de indicá-lo.
A dispensa tem condição: quem não indicar encarregado deve oferecer um canal de comunicação com o titular (art. 11, §1º). Na prática, pode ser o próprio número do WhatsApp ou um e-mail, informado ao cliente. Indicar um encarregado por vontade própria conta como boa prática se houver fiscalização (art. 11, §2º).
Que dados guardar, por quê e quando apagar
O pequeno negócio deve guardar só os dados necessários para vender, entregar e cumprir a lei. É o princípio da necessidade (art. 6º, III): tratamento limitado ao mínimo necessário para a finalidade.
Cada dado precisa de uma base legal, que é o motivo autorizado por lei para usá-lo (art. 7º). O consentimento é só uma delas. As outras que mais aparecem no comércio são:
- Execução de contrato: dados para entregar o que o cliente comprou (inciso V).
- Obrigação legal: dados exigidos para emitir nota fiscal (inciso II).
- Legítimo interesse: uso esperado pelo cliente, que não fira os direitos dele (inciso IX).
- Consentimento: concordância livre, informada e para finalidade definida (inciso I).
| Dado | Para que serve | Base legal | Quando apagar |
|---|---|---|---|
| Nome e telefone | Atender e combinar a venda | Execução de contrato | Quando deixar de ser necessário |
| Endereço de entrega | Entregar o pedido | Execução de contrato | Depois da entrega e da troca, se houver |
| CPF e dados da nota | Emitir nota fiscal | Obrigação legal | Guardar enquanto o Fisco pode cobrar |
| Lista de transmissão | Mandar ofertas | Consentimento | Quando o cliente pedir para sair |
| Print ou foto de conversa | Comprovar um combinado | Exercício regular de direitos | Quando deixar de ser necessário |
Sobre a nota fiscal: o Código Tributário Nacional, arts. 173 e 174, dá ao Fisco 5 anos para constituir e cobrar o tributo. Por isso é prudente guardar a documentação fiscal pelo menos nesse período.
O tratamento termina quando a finalidade foi alcançada ou o cliente revoga o consentimento (art. 15). Depois disso, o dado deve ser eliminado, salvo para cumprir obrigação legal (art. 16). Conversa antiga de quem não compra há anos, sem nota pendente, é candidata a ir para o lixo.
Os direitos do titular estão no art. 18: confirmar se você tem dados dele, acessar, corrigir, pedir a eliminação e revogar o consentimento. O atendimento é sem custo (art. 18, §5º).
LGPD no WhatsApp: lista de transmissão, grupos e prints
A LGPD no WhatsApp se resume a quatro cuidados: mandar oferta só para quem aceitou, não expor o número de clientes em grupo, não espalhar print de conversa e apagar o que não serve mais. O WhatsApp é onde o pequeno negócio guarda a maior parte dos dados.
Posso mandar lista de transmissão no WhatsApp sem consentimento?
O caminho mais seguro é pedir antes. Oferta por lista de transmissão é marketing, e o consentimento é a base que dá menos margem a discussão. Pelo art. 8º, a prova de que o cliente aceitou é do controlador (§2º), e ele pode revogar a qualquer momento de forma gratuita e facilitada (§5º).
Frase-modelo de consentimento: “Quer receber nossas ofertas por aqui? Responda SIM. Para sair, é só mandar SAIR.” A resposta fica salva na conversa e serve de prova. Quem mandar SAIR deve sair da lista na hora.
A autorização genérica é nula (art. 8º, §4º). “Posso usar seus dados?” não vale. Diga para que serve: receber ofertas, avisos de entrega ou lançamentos.
Grupos, prints e conversas antigas
Grupo de clientes mostra o número de cada participante para todos os outros. Para avisos em massa, a lista de transmissão protege mais, porque cada um recebe a mensagem como individual. Como montar listas e etiquetas está no guia de WhatsApp Business para MEI.
Os erros mais comuns na rotina de quem vende pelo celular:
- Postar print de elogio no status sem apagar nome e foto do cliente.
- Encaminhar conversa de cliente em grupo de fornecedores ou da família.
- Deixar o celular do negócio aberto para qualquer funcionário ou parente.
- Guardar fotos de documento de cliente na galeria sem necessidade.
Para depoimento no status, peça autorização e esconda os dados que identificam a pessoa. Anotar horários e pedidos fora das conversas também reduz o que fica exposto no aplicativo; o guia para organizar agenda de clientes mostra formas de fazer isso.
O que fazer em caso de vazamento de dados?
Em caso de vazamento de dados, o pequeno negócio deve conter o problema, ver o que foi exposto e avisar a ANPD e os clientes quando houver risco ou dano relevante. É o que manda o art. 48 da LGPD, regulamentado pela Resolução CD/ANPD nº 15/2024.
Incidente de segurança é qualquer acesso indevido, perda ou exposição de dados pessoais. O art. 46 da LGPD exige medidas de segurança, sem listar quais. Senha no celular, verificação em duas etapas e backup são boas práticas, não texto da lei. Celular perdido sem senha e conta de WhatsApp clonado são os incidentes mais comuns no pequeno comércio.
Passo a passo para vazamento no celular do negócio:
- Troque a senha e ative a verificação em duas etapas.
- Veja quais dados estavam expostos: contatos, conversas, fotos e documentos.
- Avise os clientes afetados quando houver risco a eles.
- Avalie se o caso é comunicável e, se for, use o formulário oficial da ANPD.
- Registre o que aconteceu e o que foi feito, mesmo sem comunicar.
Nem todo vazamento vai para a ANPD. Pelo art. 5º da Res. 15/2024, a comunicação é exigida quando o incidente pode afetar significativamente direitos e envolve, por exemplo, dados financeiros, de autenticação, sensíveis, de crianças ou idosos, ou larga escala.
Segundo a ANPD, na Resolução CD/ANPD nº 15/2024, o prazo para comunicar o incidente é de 3 dias úteis, contado em dobro para o pequeno porte, o que dá 6 dias úteis (2024). A complementação passa de 20 para 40 dias úteis. A comunicação é feita pela página de incidente de segurança da ANPD, e o registro do incidente deve ser guardado por pelo menos 5 anos (art. 10).
Checklist de LGPD para o pequeno negócio
O checklist de LGPD para pequena empresa abaixo reúne o mínimo que o dono de MEI ou ME que vende pelo WhatsApp pode fazer. Marque o que já está feito:
- Celular do negócio com senha e verificação em duas etapas no WhatsApp.
- Canal de contato informado ao cliente para pedidos sobre os dados dele.
- Lista de transmissão só com quem respondeu SIM.
- Pedido de SAIR atendido no mesmo dia.
- Nenhum print de cliente em status ou grupo sem autorização.
- Conversas e fotos antigas, sem uso, apagadas periodicamente.
- Dados fiscais guardados à parte, pelo prazo de cobrança do Fisco.
- Registro simples dos dados que o negócio usa e para quê.
Para o registro, a ANPD oferece formulário modelo simplificado, previsto no art. 9º da Res. 2/2022.
A falta de cuidado tem custo. Segundo a Lei 13.709/2018 (art. 52), a multa simples chega a 2% do faturamento, limitada a R$ 50 milhões por infração (2018). Antes dela, a lei prevê advertência com prazo para corrigir. As sanções são graduadas por gravidade, boa-fé, porte e pronta correção (art. 52, §1º).
Perguntas frequentes
Qual a multa da LGPD para pequenas empresas?
A multa simples vai até 2% do faturamento, com teto de R$ 50 milhões por infração (art. 52). Pela Resolução CD/ANPD nº 4/2023, a ANPD pode aplicar advertência em infração leve ou média sem reincidência, e reserva a multa a casos graves ou de medida corretiva não cumprida. A publicização da infração também é sanção possível.
Preciso de consentimento para guardar dados de clientes?
Nem sempre. O art. 7º da LGPD prevê outras bases legais. Dados para entregar um pedido usam a execução de contrato; dados da nota fiscal, a obrigação legal. O consentimento é a base indicada para mandar ofertas, como na lista de transmissão.
O que a LGPD exige de um pequeno negócio?
Três deveres resumem a lei para o pequeno porte: usar só os dados necessários, com uma base legal; manter um canal para o cliente exercer seus direitos; e adotar medidas de segurança, comunicando incidentes com risco relevante. O regime simplificado facilita a forma, mas mantém esses deveres.
Este conteúdo é educacional e não é oferta nem consultoria jurídica. As obrigações de cada negócio variam conforme porte, atividade e o tipo de dado tratado, e casos específicos pedem orientação profissional. O Juca atua como correspondente bancário de instituições financeiras parceiras.
Fontes
- Planalto: Lei nº 13.709/2018 (LGPD)
- Câmara dos Deputados: Lei nº 13.709/2018, publicação original
- Diário Oficial da União: Resolução CD/ANPD nº 2/2022
- Diário Oficial da União: Resolução CD/ANPD nº 15/2024
- Diário Oficial da União: Resolução CD/ANPD nº 4/2023
- ANPD: Comunicação de incidente de segurança
- Planalto: Lei Complementar nº 123/2006
- Planalto: Código Tributário Nacional
Tom Cerginer é cofundador do Juca e editor-chefe do blog. Engenheiro de Produção (UFRJ) e Correspondente Bancário certificado Febraban (FBB100, Correspondente Bancário Completo), tem 4 anos de experiência em produtos de crédito para trabalhadores CLT e informais. Ver todos os artigos do Tom.
