LGPD para startups não é coisa de empresa grande, é coisa de quem tem formulário

Sim, a LGPD vale para a sua startup a partir do primeiro formulário que coleta nome, e-mail ou WhatsApp de alguém, mesmo que o "produto" ainda seja uma landing page feita num sábado à tarde. A boa notícia: para quem é pequeno, a lei tem um regime simplificado oficial, e o mínimo que ela pede cabe numa tarde de trabalho, sem advogado em tempo integral e sem CTO.

Respira: ninguém aqui vai te mandar contratar um DPO antes do primeiro cliente.

Por que a LGPD aparece justamente quando o MVP fica pronto?

Porque é nessa hora que o seu projeto deixa de ser ideia e começa a guardar dados de gente de verdade. A cena é clássica em mentoria: o founder monta o protótipo, liga um formulário de lista de espera, conecta numa planilha, pluga um CRM gratuito, manda e-mail marketing por outra ferramenta e, quando vê, os dados de 300 pessoas estão espalhados em cinco serviços diferentes. Todos escolhidos porque eram de graça, nenhum pensando em privacidade.

Não tem nada de errado nisso: é assim que se valida rápido, como defendemos no guia de MVP e vibe coding. O problema é não saber onde estão os dados que você coletou.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não tem faixa de isenção por tamanho. Se você trata dado pessoal com finalidade econômica, ela se aplica. Uma lista de espera para um produto que você pretende vender é finalidade econômica, por mais que ainda não tenha entrado um real.

Existe LGPD "light" para startup?

Existe, e ela é oficial. A Autoridade Nacional de Proteção de Dados publicou a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, o regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. Entram nessa categoria microempresas, empresas de pequeno porte (incluindo o MEI), pessoas físicas que tratam dados como controladoras e startups que atendam aos critérios da Lei Complementar nº 182/2021, o Marco Legal das Startups. Se você ainda está decidindo o formato da empresa, vale ler quando abrir CNPJ e se começa como MEI ou LTDA.

O que muda na prática, segundo o texto da resolução:

• Encarregado (o famoso DPO) não é obrigatório. Mas, se você não indicar um, precisa oferecer um canal de comunicação com o titular dos dados. Um e-mail que alguém de fato lê já resolve.
• Registro das operações pode ser simplificado. Você precisa saber quais dados coleta e para quê, mas não precisa de um documento de 40 páginas.
• Política de segurança pode ser simplificada, proporcional ao seu tamanho, custo e volume de dados.
• Prazos em dobro para atender pedidos dos titulares e para outras obrigações listadas no regulamento.

Repare no que não está na lista: "pode ignorar a lei". O regime é simplificado, não é férias.

Quando a startup perde o tratamento diferenciado?

Aqui mora a pegadinha que mais pega founder animado. A resolução tira do regime simplificado quem faz tratamento de alto risco, quem passa dos limites de receita das leis complementares e quem pertence a grupo econômico que passa desses limites.

E o que é alto risco? É quando o tratamento atende, ao mesmo tempo, a pelo menos um critério geral e um específico:

• Critérios gerais: tratamento em larga escala, ou tratamento que possa afetar significativamente direitos fundamentais dos titulares (por exemplo, causar discriminação, fraude ou impedir o acesso a um serviço).
• Critérios específicos: uso de tecnologias emergentes ou inovadoras; vigilância de áreas públicas; decisões tomadas só por algoritmo, incluindo perfilamento; uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.

Sim, você leu certo: "tecnologia inovadora" é um dos critérios específicos. Toda startup do mundo se descreve como inovadora no pitch. Sozinho, isso não basta para virar alto risco, porque precisa vir junto com um critério geral. Mas se o seu MVP usa IA para decidir quem recebe crédito, quem passa numa triagem de saúde ou quem é aprovado numa vaga, você está bem perto da linha.

O kit mínimo de LGPD para um MVP sem time técnico

Tudo isso aqui dá para fazer sem escrever uma linha de código:

1. Faça o inventário de onde os dados moram

Abra uma planilha com quatro colunas: que dado, para quê, em qual ferramenta e quem tem acesso. Liste o formulário, a planilha, o CRM, a ferramenta de e-mail, o banco do app. Esse é o embrião do seu registro simplificado de operações. Bônus: você vai descobrir uma integração que nem lembrava que existia.

2. Colete menos

A pergunta mágica é: "eu uso esse dado para alguma coisa agora?". Se a lista de espera pede CPF, data de nascimento e renda e você só manda e-mail de novidade, apague esses campos. Dado que você não coleta não vaza. Validar a ideia, como mostramos no guia de ideia e validação, quase nunca exige mais do que nome e contato.

3. Escreva uma política de privacidade que um humano entenda

Uma página curta dizendo quais dados você coleta, para quê, com quais ferramentas compartilha e como a pessoa pede para ver, corrigir ou apagar os dados dela. Copiar a de uma multinacional não ajuda: ela descreve operações que você não tem.

4. Crie o canal do titular

Um e-mail tipo privacidade@suastartup e alguém responsável por olhar. É exatamente o canal de comunicação que a resolução exige de quem não indicar encarregado.

5. Arrume o básico de segurança

Senha forte e verificação em duas etapas em todas as ferramentas, acesso só para quem precisa, nada de planilha de clientes com link "qualquer pessoa pode ver". Isso já é o coração de uma política de segurança simplificada. Ponha isso por escrito, em uma página.

6. Leia os termos das ferramentas que você usa

Cada serviço gratuito em que você joga dados de usuários é um parceiro no tratamento. Vale saber onde ele guarda os dados e o que faz com eles. Já falamos aqui que contrato não lido é prejuízo com data marcada, e termo de uso é contrato.

E quando vale chamar um advogado?

Quando você tratar dado sensível (saúde, biometria, origem racial, religião, entre outros), dado de criança ou adolescente, quando tiver decisões automatizadas relevantes ou quando um cliente corporativo mandar um questionário de privacidade de 60 perguntas. Antes disso, o kit acima já resolve muito.

Na metodologia do Celeiro, privacidade entra cedo por isso: corrigir um formulário custa cinco minutos; migrar milhares de usuários espalhados em ferramentas erradas custa semanas.

Perguntas frequentes

Startup que ainda não tem CNPJ precisa cumprir a LGPD?

Sim. A lei se aplica a quem trata dados pessoais com finalidade econômica, seja pessoa física ou jurídica. A Resolução CD/ANPD nº 2/2022 inclui pessoas naturais entre os agentes de pequeno porte, então o regime simplificado também pode valer antes do CNPJ.

Minha startup é obrigada a ter um DPO?

Agentes de pequeno porte que se enquadram na resolução não são obrigados a indicar encarregado, mas precisam oferecer um canal de comunicação com o titular. Indicar alguém é considerado boa prática pela própria ANPD.

Usar IA no produto tira a startup do regime simplificado?

Não automaticamente. Tecnologia inovadora é só um critério específico; para ser alto risco, ele precisa vir acompanhado de um critério geral, como larga escala ou impacto significativo nos direitos das pessoas.

Sua ideia merece começar do jeito certo

Se você está construindo um produto sem time técnico e quer alguém do seu lado para pensar validação, MVP, dados e primeiros clientes sem burocracia desnecessária, submeta sua ideia ao Celeiro. A gente olha com carinho, inclusive para aquele formulário que pede CPF sem motivo.