As pequenas e médias empresas (PMEs), com cerca de 21 milhões de negócios ativos, frequentemente se encontram em um labirinto de incertezas quando o assunto é a coleta de dados, especialmente à luz da Lei Geral de Proteção de Dados (LGPD).
Em síntese, a adequação à LGPD pode ser um processo desafiador para as PMEs devido a diversos fatores. Um dos principais obstáculos é a falta de conhecimento técnico sobre a legislação e suas exigências. Muitas pequenas e médias empresas não têm uma equipe jurídica robusta ou especialistas em proteção de dados. Por consequência, isso dificulta que compreendam os requisitos legais e as melhores práticas a serem adotadas.
Dados e pouco dinheiro
Outro ponto crucial é a limitação de recursos financeiros. A implementação de medidas de conformidade pode exigir investimentos em tecnologia, treinamento de pessoal e, possivelmente, a contratação de consultorias especializadas. Para muitas PMEs, esses gastos podem representar uma parte significativa do orçamento, levando à hesitação em iniciar o processo de adequação.
De acordo com a especialista em Direito do Consumidor Fabíola Meira Breseghello, sócia do Meira Breseghello Advogados, a cultura organizacional também desempenha um papel importante. “A mudança de mindset necessária para adotar a proteção de dados como prioridade pode ser um desafio. Muitas vezes, os colaboradores não veem a relevância da conformidade com a LGPD no seu dia a dia, o que pode resultar em resistência às novas políticas e procedimentos.”
No ranking da Análise Advocacia 2025, Fabíola ficou em 1º lugar na especialidade de Direito do Consumidor. Além disso, recebeu menções nas especialidades Cível e Regulatório, e nos setores de Automotivo e Autopeças, Perfumaria e Cosméticos, Farmacêutico, Comércio, Financeiro e Tecnologia. Em entrevista à Consumidor Moderno, ela explica que a identificação dos dados que precisam ser protegidos e o mapeamento dos fluxos de informações dentro da empresa é um processo que demanda tempo e atenção.
Inventários dos dados
“É essencial que cada empresa estabeleça um inventário claro das informações pessoais que manipula, compreendendo não apenas a natureza dos dados, mas também a finalidade de seu uso. Essa abordagem não apenas facilita a adaptação à legislação, mas também permite que as PMEs construam uma relação de confiança com seus clientes, demonstrando comprometimento com a privacidade.”
Acompanhe na íntegra a entrevista.
Consumidor Moderno: A implementação da LGPD fez com que as organizações reavaliassem seus processos de coleta de dados. Atualmente, cada informação coletada deve ter um propósito claro e legal, garantindo a transparência em relação aos titulares dos dados. Do ponto de vista legislativo, as empresas brasileiras estão adequadamente preparadas para esse cenário?
Fabíola Meira Breseghello: Ainda existem muitas incertezas, especialmente entre pequenas e médias empresas, sobre como e quando os negócios podem coletar e utilizar os dados, por quanto tempo podem armazená-los e, sobretudo, para quais finalidades. Por isso, o dever de transparência, especialmente em relação à finalidade do tratamento de dados, ainda se mostra incompleto e, em algumas situações, superficialmente cumprido. Contudo, não enxergo essa lacuna como um ilícito, mas sim como um processo em constante evolução. A cada novo tratamento ou necessidade de coleta, os termos de uso ou políticas de proteção de dados são atualizados, indicando que estão sempre sendo aprimorados.
Consentimento explícito
CM: O compartilhamento de dados requer consentimento explícito. Em sua opinião, isso implica que as empresas precisam comunicar-se de forma mais eficaz com seus consumidores, esclarecendo como e por que utilizarão os dados e, assim, fortalecendo a relação de confiança com os clientes?
A LGPD estabelece que o consentimento explícito é necessário apenas para algumas situações, enquanto outras bases legais não requerem consentimento prévio, como:
- O cumprimento de obrigação legal ou regulatória;
- A realização de estudos por órgão de pesquisa;
- A execução de contrato ou procedimentos preliminares relacionados a um contrato do qual o titular seja parte, a pedido do mesmo;
- O exercício regular de direitos em processos judiciais, administrativos ou arbitrais;
- A proteção da vida ou integridade física do titular ou terceiros;
- A tutela da saúde, realizada por profissionais de saúde ou autoridades sanitárias;
- Ou quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto se prevalecerem os direitos e liberdades fundamentais do titular que exijam a proteção de seus dados pessoais.
CM: Nas situações onde o consentimento não é exigido, ele deve ser obtido de alguma outra forma?
Nessas situações onde o consentimento não é exigido, é necessário que a empresa informe a base legal e a finalidade de forma adequada, sem prejuízo de cumprir as outras obrigações legais, de forma que a o tratamento de dados esteja em conformidade com a ciência prévia acerca da coleta de dados. Assim, a obrigação de informar claramente a finalidade do uso é de extrema importância para a legislação, e um comportamento transparente e de boa-fé certamente fortalece a relação com o cliente, fidelizando-o.
Como escolher o melhor tratamento de dados?
CM: Diante de uma variedade de opções, como escolher a base legal de tratamento de dados mais adequada?
As bases legais dependem, principalmente, do tipo de serviço prestado e do setor envolvido. Portanto, cada empresa deve analisar cuidadosamente a finalidade da coleta de dados para verificar se existe uma base legal adequada, se o consentimento é necessário ou se há alguma consideração de sensibilidade. No caso de produtos e serviços voltados para crianças e adolescentes, por exemplo, além de se priorizar o melhor interesse, o consentimento deve ser específico e destacado, tendo que ser fornecido, pelo menos, por um dos pais ou pelo responsável legal, exceto quando a coleta for necessária para contatar os pais ou responsáveis. Neste caso, os dados nunca poderão ser compartilhados com terceiros sem o consentimento deles.
Vale ressaltar que tratar dados com base no “interesse legítimo” deve ser uma das últimas opções para o controlador, pois, por ser um conceito amplo, pode gerar discussões sobre a legalidade da coleta e tratamento. Como legítimo interesse, podemos considerar:
- Um relacionamento prévio com o titular e a oferta de um serviço que possa beneficiá-lo;
- O tratamento que esteja dentro das expectativas razoáveis do indivíduo;
- A apresentação de previsibilidade (embasamento em situações concretas);
- A compatibilidade com a legislação vigente;
- E a vinculação a finalidades legítimas, específicas e explícitas.
Penalidades
CM: Coletar e processar dados pessoais sem consentimento pode acarretar penalidades severas? O que as empresas devem fazer para entender qual base se aplica a cada situação antes de tomar qualquer ação?
Sem prejuízo do que foi mencionado anteriormente, conforme orientações da ANPD, além da escolha adequada da base legal, é fundamental adotar uma política de segurança da informação que estabeleça controles relativos ao tratamento de dados pessoais, incluindo revisões periódicas da política e atualizações de softwares. Ademais, é aconselhável que as empresas promovam conscientização e treinamento em todos os níveis da organização. Também é bem importante gerenciar adequadamente contratos que incluam cláusulas de segurança da informação que garantam a proteção de dados pessoais, assim como termos de confidencialidade; e implementar mecanismos seguros para controle de acesso aos dados pessoais armazenados, comunicação, e remoção de dados sensíveis desnecessários. Ou seja, vale manter um controle contínuo e adequado das vulnerabilidades, contando com um comitê preparado para agir prontamente em resposta a incidentes.
LGPD empodera o consumidor?
CM: A LGPD garante direitos como acesso a informações, correção de dados e revogação do consentimento. Em sua opinião, isso empodera o usuário, ou seja, o consumidor?
Esses direitos proporcionam não só maior segurança aos consumidores, mas também incentivam a responsabilidade de informar adequadamente, conforme os princípios previstos na legislação, como: finalidade; adequação; tratamento mínimo necessário; garantia de consulta facilitada aos dados pelos titulares; exatidão, clareza, relevância e atualização dos dados conforme as necessidades; transparência; segurança; adoção de medidas para prevenção de danos; uso não discriminatório ou abusivo; e efetividade na implementação das normas de proteção de dados.
CM: A proteção de dados não é apenas uma obrigação, mas uma oportunidade de construir confiança e valorizar seu relacionamento com clientes?
A proteção de dados reflete boa governança, conformidade com as normas de consumo e responsabilidade social. Além disso, é crucial destacar a necessidade de educação digital e das responsabilidades dos consumidores ao fornecer seus dados. Em outras palavras, destaque para a utilização de senhas seguras, monitoramento de acessos de crianças e adolescentes por parte dos pais, e atualizações frequentes de segurança.
Coleta de dados e sistemas de IA
CM: Sistemas de IA têm a capacidade de coletar dados pessoais de diversas fontes e integrá-los em bancos de dados. Isso levanta desafios legais significativos, uma vez que um volume crescente de dados identificáveis é utilizado para treinar máquinas, promovendo seu aprendizado e desenvolvimento. Portanto, a curadoria de dados para o treinamento de algoritmos destaca-se como um desafio ético e legal?
Inicialmente, os dados devem ser utilizados somente com consentimento ou conforme uma base legal. Além disso, a curadoria de dados deve assegurar que não haja coleta excessiva ou desnecessária das informações. É imprescindível garantir a conformidade com a LGPD, respeitando os direitos dos titulares e evitando vieses algorítmicos e discriminação.
A governança, a revisão contínua das práticas e a capacitação dos profissionais envolvidos são essenciais para preservar a dignidade digital e proteger os dados neurais. A ideia é prevenir danos e manter a integridade neurocognitiva, com máxima previsibilidade dos impactos sobre os direitos e liberdades fundamentais.
CM: A seu ver, quais as principais lacunas da LGPD hoje em confronto com o Código de Defesa do Consumidor?
Atualmente, não percebo lacunas, mas sim uma complementaridade entre as legislações. É evidente que, com a constante evolução da tecnologia, a legislação tem dificuldade em acompanhar. Vivemos um momento de discussão sobre a regulação da IA. E esse momento se assemelha ao que ocorreu durante a discussão da LGPD logo após a publicação do GDPR, da Europa. Um ponto positivo é que ambas as leis compartilham uma base principiológica, e as autoridades (ANPD e Senacon) já possuem um Acordo de cooperação e mantêm um diálogo constante.
