LGPD en las pequeñas empresas: obligaciones prácticas de adecuación

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Las micro y pequeñas empresas que recopilan datos de clientes también están sujetas a la Ley General de Protección de Datos de Brasil, pero cuentan con reglas simplificadas establecidas por la Autoridad Nacional de Protección de Datos para adecuarse sin paralizar su operación.

Lo que la ley exige a quien recopila datos

La Ley n.º 13.709/2018, conocida como LGPD (Ley General de Protección de Datos de Brasil), alcanza a cualquier negocio que recopile, almacene o utilice datos de personas físicas, desde la peluquería del barrio hasta el comercio electrónico. El tamaño de la empresa no excluye la aplicación de la norma; solo modula la forma de cumplirla. El nombre, el teléfono, la dirección, el número de tarjeta e incluso las imágenes captadas por cámaras se consideran datos personales y exigen un tratamiento responsable.

El punto de partida es identificar una base legal que autorice el uso de la información. El artículo 7º de la LGPD enumera supuestos como el consentimiento del titular, la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo. Si no se encuadra cada recopilación en una de esas finalidades, el tratamiento resulta irregular, aunque el empresario no tenga la intención de causar daño.

Además de la base legal, la empresa debe observar principios como los de finalidad, necesidad y transparencia. Esto significa recopilar únicamente lo indispensable, informar al cliente para qué sirven los datos y eliminarlos cuando dejen de ser útiles. La acumulación de registros antiguos, práctica común en el comercio minorista, suele ser el primer foco de irregularidad.

Reglas simplificadas para empresas de pequeño tamaño

La Resolución CD/ANPD n.º 2, del 27 de enero de 2022, creó un régimen diferenciado para los llamados agentes de tratamiento de pequeño porte, categoría que abarca a las microempresas, las empresas de pequeño porte, las startups, las personas jurídicas de derecho privado sin fines de lucro y los emprendedores individuales. El objetivo fue adaptar las exigencias a la realidad de quienes no disponen de una estructura jurídica ni de una tecnología robusta.

Entre las flexibilizaciones, la norma exime a estos agentes de la designación obligatoria de un encargado del tratamiento de datos, el profesional que actúa como enlace con los titulares y con la autoridad. Aun así, se mantiene la obligación de poner a disposición un canal de comunicación accesible, por lo general un correo electrónico o un formulario, para recibir solicitudes y reclamaciones.

La resolución también concede plazos ampliados. La comunicación de incidentes de seguridad a la autoridad y a los titulares, por ejemplo, se rige por un plazo duplicado en comparación con la regla general. Documentos como el registro de las operaciones de tratamiento pueden mantenerse en un formato simplificado, siempre que reflejen fielmente lo que la empresa hace con los datos.

Cabe destacar que el régimen simplificado no es una exención. Las empresas siguen siendo responsables de proteger los datos que poseen y de respetar los derechos de los titulares. La diferencia radica en la proporcionalidad de las exigencias formales, no en la posibilidad de incumplir la finalidad protectora de la ley.

Documentos como el registro de las operaciones de tratamiento pueden mantenerse en un formato simplificado, siempre que reflejen fielmente lo que la empresa hace con los datos.

Pasos prácticos de adecuación

El primer paso concreto es mapear los datos. El empresario necesita saber qué información recopila, dónde se almacena, quién tiene acceso a ella y por cuánto tiempo se conserva. Este inventario deja al descubierto registros innecesarios, hojas de cálculo compartidas sin control y contratos con proveedores que también manejan datos.

El segundo paso es elaborar una política de privacidad clara, publicada en el sitio web o exhibida en el establecimiento, que explique qué datos se tratan y con qué finalidad. A continuación, se recomienda estructurar la atención a los titulares, ya que el artículo 18 de la LGPD garantiza derechos como el acceso, la rectificación, la supresión y la portabilidad de la información.

La capa de seguridad cierra el ciclo básico. Contraseñas robustas, control de acceso, copias de seguridad y cuidado en la eliminación de documentos físicos responden a lo dispuesto en el artículo 46, que exige medidas técnicas y administrativas aptas para proteger los datos. Capacitar al equipo en estas rutinas reduce de manera significativa el riesgo de filtraciones.

Riesgos de ignorar la adecuación

El incumplimiento de la LGPD expone a la empresa a las sanciones del artículo 52, que van desde la advertencia hasta una multa de hasta el 2% de la facturación, limitada a cincuenta millones de reales por infracción. Aunque el pequeño negocio difícilmente alcance el tope, la sanción pecuniaria y la publicidad de la infracción pueden comprometer la reputación construida ante la clientela.

Más allá de la sanción administrativa, existe el riesgo de responsabilidad civil. El titular que sufra un daño por el uso indebido de sus datos puede reclamar una reparación por la vía judicial. La adecuación preventiva, en ese escenario, funciona como un instrumento para reducir pasivos y fortalecer la confianza del consumidor.

Preguntas frecuentes

¿Quién se considera agente de tratamiento de pequeño porte?

Son las microempresas, las empresas de pequeño porte, las startups, las entidades sin fines de lucro y los emprendedores individuales que realizan tratamiento de datos personales, conforme a la Resolución CD/ANPD n.º 2/2022. Esta clasificación garantiza reglas simplificadas, pero no exime del cumplimiento de los principios y las finalidades de la LGPD.

¿Es obligatorio tener un encargado de datos en la pequeña empresa?

No. La resolución de la autoridad exime a los agentes de pequeño porte de la designación obligatoria del encargado. Sin embargo, se mantiene el deber de contar con un canal de comunicación accesible para que los clientes puedan ejercer sus derechos y presentar reclamaciones sobre el tratamiento de su información.

¿Cómo comenzar la adecuación con pocos recursos?

El camino más eficiente es mapear qué datos recopila la empresa, definir la base legal de cada uso, publicar una política de privacidad y adoptar medidas básicas de seguridad. Estas medidas iniciales ya reducen buena parte del riesgo y pueden implementarse de forma gradual, según la madurez del negocio.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.