Checklist LGPD para pequenas empresas (2026)

1. Mapeie os dados que você coleta

O primeiro passo é entender exatamente quais dados pessoais sua empresa coleta, onde eles são armazenados, por quanto tempo são retidos e com quem são compartilhados. Isso inclui dados de clientes (nome, e-mail, CPF, endereço), dados de navegação (cookies, pixels) e dados de colaboradores. Crie um inventário simples — uma planilha já é suficiente para começar.

2. Tenha uma política de privacidade acessível

Sua empresa precisa de uma política de privacidade clara, completa e facilmente acessível no site. Ela deve informar quais dados são coletados, para quais finalidades, por quanto tempo são retidos, com quem são compartilhados e quais são os direitos do titular. A política deve estar disponível em local de destaque — geralmente no rodapé do site.

3. Implemente um registro de consentimento

Para tratamentos de dados que exigem consentimento (como cookies não essenciais e marketing), você precisa de um mecanismo que registre quando, como e para qual finalidade o consentimento foi dado. Um banner de cookies que grava cada interação do visitante é a forma mais comum de atender a esse requisito. Lembre-se: o consentimento deve ser livre, informado e inequívoco — opt-in, não opt-out.

4. Crie um canal do titular

A LGPD garante ao titular o direito de solicitar acesso, correção, exclusão, portabilidade e outras ações sobre seus dados pessoais. Sua empresa precisa disponibilizar um canal para receber e responder a essas solicitações — um formulário no site, um e-mail dedicado ou ambos. O prazo legal para resposta é de até 15 dias, prorrogável por mais 15 dias mediante justificativa.

5. Revise seus contratos com fornecedores

Se você compartilha dados pessoais com terceiros (ferramentas de e-mail marketing, plataformas de e-commerce, serviços de nuvem), precisa ter contratos ou termos que estabeleçam as responsabilidades de cada parte em relação à proteção dos dados. Esses contratos devem prever cláusulas de confidencialidade, segurança da informação e notificação em caso de incidentes.

6. Adote medidas de segurança

A LGPD exige que a empresa adote medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, perdas ou vazamentos. Isso inclui desde práticas básicas como uso de HTTPS e senhas fortes até controles mais avançados como criptografia e controle de acesso baseado em função.

7. Mantenha registros atualizados

A conformidade com a LGPD não é um projeto com data de término — é um processo contínuo. Mantenha registros atualizados de consentimentos, solicitações de titulares, incidentes de segurança e mudanças na política de privacidade. A autoridade pode solicitar esses registros a qualquer momento.