LGPD para Pequeno Negócio: o Mínimo que Você Precisa Ter no Site em 2026

O mínimo que todo pequeno negócio precisa ter no site em 2026 são três coisas: política de privacidade publicada, uma base legal declarada para cada tipo de dado coletado (mesmo que seja só um formulário de contato), e um canal claro pra o titular dos dados pedir exclusão ou correção. A ANPD virou agência reguladora autônoma em fevereiro de 2026 (Lei nº 15.352/2026) e a primeira multa da história dela foi justamente numa microempresa — não numa big tech.

O mito de que “isso é problema de empresa grande” acabou

Durante quase cinco anos, a LGPD viveu uma fase mais educativa do que punitiva no Brasil — muita orientação, pouca multa de fato. Isso mudou em 2026. Com a ANPD convertida em agência reguladora com autonomia financeira e técnica, o órgão passou a fiscalizar setores inteiros, não só empresas isoladas denunciadas. E o caso mais citado por advogados especializados no assunto é exatamente o que quebra a desculpa mais comum entre pequenos negócios: a primeira sanção pecuniária pública da ANPD foi aplicada a uma microempresa de telemarketing, multada em R$ 14.400 por não indicar um encarregado de dados e não responder à fiscalização.

O valor em si não é astronômico — mas o recado é claro: porte pequeno não é escudo. E a multa pode escalar rápido dependendo da gravidade: o teto legal é 2% do faturamento da empresa no último exercício, limitado a R$ 50 milhões por infração.

O que de fato é obrigatório pra um site pequeno (sem exagero, sem terrorismo)

Você não precisa de um departamento jurídico pra estar em conformidade básica. O mínimo prático, na ordem de prioridade real:

1. Política de privacidade publicada e acessível — precisa dizer que dados você coleta (nome, e-mail, telefone em formulários; cookies de analytics; dados de compra, se vender algo), pra que serve cada um, e por quanto tempo você guarda.

2. Base legal para cada finalidade de coleta — mesmo um formulário simples de newsletter precisa de uma justificativa legal (geralmente “consentimento” ou “legítimo interesse”, dependendo do caso). Isso é o chamado registro de operações de tratamento, e não precisa ser complexo pra um site pequeno — uma planilha simples listando “que dado, pra quê, por quanto tempo” já atende o básico.

3. Canal de contato pro titular exercer direitos — a pessoa cujo dado você coletou tem direito de pedir pra ver, corrigir ou apagar esse dado. Precisa existir um e-mail ou formulário claro pra isso, não escondido.

4. Protocolo de resposta a incidente — se seus dados vazarem (site invadido, banco de dados exposto), a lei exige comunicação à ANPD em até 3 dias úteis a partir do momento em que você toma conhecimento. Não ter um plano mínimo pra isso — nem que seja “quem eu chamo primeiro” — é o tipo de omissão que a ANPD já penalizou.

O que a ANPD está de olho com mais atenção em 2026

Segundo especialistas do setor, o radar prioritário de fiscalização em 2026 recai sobre negócios que usam inteligência artificial generativa, lidam com dados biométricos, ou interagem com público menor de idade — se o seu negócio se encaixa em qualquer uma dessas três categorias, a atenção precisa ser redobrada, não só o mínimo genérico.

Fora dessas categorias de risco elevado, o padrão mais comum nos casos já sancionados até 2026 é falha em comunicar incidente de segurança dentro do prazo — não vazamento em si, mas o silêncio depois dele.

O que ninguém te conta: dá pra reduzir a multa

A ANPD considera atenuantes no cálculo da sanção — boa-fé em corrigir o problema, cooperação durante a fiscalização, e existência de um programa mínimo de governança em privacidade contam a favor. Isso significa que ter, mesmo que de forma simples, política de privacidade, registro de tratamento e canal de contato — mesmo sem nenhuma consultoria cara — já reduz sensivelmente o risco de multa alta caso algo dê errado, porque demonstra que você não estava ignorando a lei.

Checklist prático pra rodar sozinho, sem depender de consultoria cara

Pra quem está começando do zero, a ordem de execução que faz mais sentido é: primeiro escrever a política de privacidade (existem modelos gratuitos de referência publicados por escritórios especializados e pela própria ANPD, que podem ser adaptados à realidade do seu site — nunca copiados literalmente, já que a política precisa refletir o que o seu site de fato coleta); depois listar, numa planilha simples, cada formulário ou ponto de coleta de dado do site e sua finalidade; por último, criar um e-mail ou página de contato dedicada pra pedidos relacionados a dados pessoais, deixando isso visível no rodapé do site junto com o link da política.

Esse processo, feito com calma, leva algumas horas — não meses — e já cobre o essencial que separa um negócio exposto de um negócio com o mínimo de proteção documentada.

Comparativo: negócio sem nada vs. negócio com o básico implementado

Situação	Sem nada implementado	Com o básico (política + registro + canal)
Risco em fiscalização de rotina	Alto — evidência de descumprimento	Baixo — demonstra boa-fé
Se houver vazamento de dados	Multa tende ao valor cheio da dosimetria	Atenuante reduz valor da multa
Tempo/custo pra implementar	—	Baixo — não exige advogado especializado pro mínimo
Confiança do cliente/parceiro PJ	Menor — falta de política é sinal de alerta pra quem audita fornecedor	Maior — política publicada é checada por clientes corporativos antes de fechar contrato

Se o seu negócio também roda campanhas com Pixel do Meta ou Google Ads captando dados de visitante, vale revisar junto o nosso guia de como instalar o Pixel da Meta no WordPress — a coleta de dados via pixel de rastreamento entra direto na mesma exigência de base legal e transparência da LGPD.

Pra consultar o texto oficial da lei e as resoluções mais recentes da ANPD, a fonte primária é o site oficial da Autoridade Nacional de Proteção de Dados.

Perguntas Frequentes

Um blog pequeno ou site de pequeno negócio realmente precisa se preocupar com LGPD?

Sim. A primeira multa pecuniária pública da ANPD foi aplicada justamente a uma microempresa, não a uma big tech. O porte da empresa não isenta do cumprimento da lei — o que muda é que a dosimetria da multa considera o porte, então o valor tende a ser proporcionalmente menor, mas não inexistente.

Preciso contratar um advogado especializado pra ficar em conformidade?

Pro mínimo básico — política de privacidade, registro simples de tratamento de dados e canal de contato — não é obrigatório. É recomendável buscar orientação profissional se o negócio lida com dados sensíveis (saúde, biometria, menores de idade) ou tem volume alto de dados de clientes, onde o risco e a complexidade aumentam.

O que acontece se eu não indicar um encarregado de dados (DPO)?

Empresas pequenas podem estar dispensadas da obrigação formal de ter um encarregado, dependendo do enquadramento pela Resolução CD/ANPD nº 2/2022. Mesmo assim, indicar informalmente alguém responsável por essa função reduz risco — foi justamente a ausência de encarregado, junto com não responder à fiscalização, que motivou a primeira multa da história da ANPD.

Quanto tempo eu tenho pra avisar sobre um vazamento de dados?

O prazo é de até 3 dias úteis a partir do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais de forma relevante, conforme a Resolução CD/ANPD nº 15/2024. Não ter esse prazo mapeado com antecedência é o tipo de falha mais recorrente nos casos já sancionados.

Empresa pequena pode ter a multa reduzida?

Sim. A ANPD pode reduzir o valor considerando o porte da empresa e outros atenuantes, como boa-fé em corrigir o problema, cooperação com a fiscalização, e existência de um programa mínimo de governança em privacidade — mesmo que simples. Não ter nada implementado retira esse atenuante e tende a aproximar a multa do valor cheio calculado pela dosimetria.