GDPR para Pequenas Empresas: Guia de Conformidade para PMEs (2026)

O GDPR se aplica a toda pequena empresa que trate dados pessoais de indivíduos na UE, sem isenção genérica baseada no porte. O Artigo 30(5) prevê uma derrogação restrita de registros para organizações com menos de 250 funcionários, mas apenas se o tratamento for ocasional, de baixo risco e não envolver dados de categoria especial. A maioria das pequenas empresas não consegue cumprir simultaneamente as três condições.

O GDPR se aplica a toda organização que trate dados pessoais de pessoas na União Europeia: um profissional autônomo em Viena, uma loja de comércio eletrônico com dez funcionários em Varsóvia e uma startup de SaaS sediada nos EUA com clientes europeus estão todos sujeitos a ele. O porte não determina a aplicabilidade.

Dito isso, o GDPR não é um regulamento de tamanho único. Diversas disposições são calibradas de acordo com a natureza e a escala do tratamento, e não apenas com o número de funcionários, e a UE propôs recentemente novas reduções da carga administrativa para organizações menores. Compreender quais obrigações são plenas, quais são reduzidas e quais estão atualmente em processo de reforma é o ponto de partida prático para qualquer pequena empresa.

Este guia aborda o que se aplica à sua PME, a derrogação de registros do Artigo 30(5) e seus limites reais, a questão do DPO, a proposta do Digital Omnibus de novembro de 2025, exemplos específicos por setor, medidas práticas de baixo custo e a fiscalização recente que as pequenas empresas devem conhecer. Para uma visão geral fundamental do regulamento, veja O Que É o GDPR.

Este artigo tem finalidade meramente informativa e não constitui aconselhamento jurídico. Consulte um advogado especializado em proteção de dados ou um profissional de privacidade qualificado para orientação específica sobre sua situação.

O GDPR Se Aplica à Sua Pequena Empresa?

A resposta curta é quase certamente sim, se você lida com qualquer dado pessoal relacionado a indivíduos da UE.

A Comissão Europeia é direta nesse ponto: a aplicabilidade do GDPR depende da natureza de suas atividades, não do porte ou da localização da sua empresa. Nos termos do Artigo 3 do regulamento, o GDPR se aplica se qualquer uma das seguintes situações for verdadeira:

• Você está estabelecido na UE e trata dados pessoais no curso de suas atividades, independentemente de onde o tratamento ocorra.
• Você está estabelecido fora da UE, mas oferece bens ou serviços a indivíduos na UE, incluindo um aplicativo gratuito, um site que aceita pedidos da UE, ou uma newsletter direcionada a leitores da UE.
• Você está estabelecido fora da UE, mas monitora o comportamento de indivíduos da UE, por exemplo, por meio de análise de sites, pixels de publicidade ou rastreamento de localização.

O Que Conta Como Dado Pessoal para uma Pequena Empresa?

A maioria das pequenas empresas trata mais dados pessoais do que imagina. Atividades de tratamento comuns que geram obrigações do GDPR incluem:

• Nomes de clientes, endereços de e-mail, endereços postais e histórico de compras
• Registros de funcionários e prestadores de serviço: dados de folha de pagamento, arquivos de RH, notas de desempenho e currículos de candidatos
• Cookies do site, análise de dados e pixels de publicidade comportamental
• Listas de assinantes de e-mail marketing
• Imagens de CFTV e câmeras de segurança que abrangem indivíduos dentro ou perto de suas instalações
• Sistemas de reserva e agendamento on-line
• Registros de pagamento (mesmo que o processamento de pagamentos seja feito por terceiros)
• Publicidade em redes sociais direcionada a usuários da UE

O tratamento de qualquer um desses dados em conexão com indivíduos da UE sujeita integralmente sua empresa ao GDPR.

A Derrogação de Registros do Artigo 30(5): O Que Realmente Cobre

O Artigo 30 do GDPR exige que controladores e operadores mantenham registros das atividades de tratamento. O Artigo 30(5) prevê uma derrogação parcial para organizações menores:

"As obrigações a que se referem os n.os 1 e 2 não se aplicam a empresas ou organizações que empreguem menos de 250 pessoas, exceto se o tratamento que efetuarem for suscetível de implicar um risco para os direitos e liberdades dos titulares dos dados, não for ocasional, ou incluir categorias especiais de dados, referidas no artigo 9.°, n.° 1, ou dados pessoais relacionados com condenações penais e infrações, referidas no artigo 10.°."

Em termos simples: uma organização com menos de 250 funcionários está isenta da obrigação de manutenção de registros somente se todas as três condições a seguir forem verdadeiras simultaneamente:

1. É improvável que o tratamento resulte em risco para os direitos e liberdades dos indivíduos.
2. O tratamento é ocasional: não é rotineiro nem sistemático.
3. O tratamento não inclui dados de categoria especial (saúde, biométricos, genéticos, origem racial ou étnica, opiniões políticas, crenças religiosas, filiação sindical, orientação sexual) nem dados sobre condenações penais.

O parecer de posição do EDPB sobre a derrogação do Artigo 30(5) confirma que se trata de uma isenção restrita. O tratamento de registros de clientes, a gestão de uma folha de pagamento, a operação de uma lista de e-mail marketing ou de um site com análise de dados falham todos no teste de "ocasional". Trata-se de atividades recorrentes e sistemáticas: a derrogação não se aplica a elas.

A Realidade Prática

A isenção foi pensada para tratamentos genuinamente pontuais, como uma pequena organização que ocasionalmente processa uma lista de participantes de um evento único e nada mais faz com dados pessoais regularmente. Na prática, quase nenhuma empresa em operação se qualifica plenamente.

A recomendação é a mesma, independentemente da derrogação técnica: mantenha registros das atividades de tratamento. Eles são sua evidência de responsabilização, sua referência quando as autoridades supervisoras fazem perguntas, e sua ferramenta para gerenciar solicitações de titulares de dados. Uma planilha simples cobrindo quais dados você trata, por quê, onde são armazenados, quem tem acesso e por quanto tempo você os mantém é suficiente para a maioria das pequenas empresas.

Quando uma Pequena Empresa Precisa de um Encarregado de Proteção de Dados

A exigência de DPO nos termos do Artigo 37 não está ligada ao número de funcionários. Ela é acionada pela natureza e escala das suas atividades centrais de tratamento. Um DPO é obrigatório em três situações:

1. A organização é uma autoridade ou órgão público (não aplicável à maioria das pequenas empresas).
2. As atividades centrais da organização exigem monitoramento regular e sistemático de indivíduos em larga escala, por exemplo, uma empresa cujo produto principal é a tecnologia de publicidade comportamental ou a vigilância de usuários em larga escala.
3. As atividades centrais envolvem tratamento em larga escala de dados de categoria especial (saúde, biometria, orientação sexual, etc.) ou dados pessoais relacionados a condenações penais.

O guia do EDPB para PMEs sobre DPOs é explícito: é improvável que uma organização de pequeno porte precise de um encarregado de proteção de dados. Uma loja de varejo local, uma pequena agência de marketing, uma empresa de software com dez funcionários ou um escritório de advocacia com dois sócios não atende a esses critérios.

Nuances Setoriais

Algumas PMEs operam em setores em que a questão do DPO é menos clara:

• Pequena clínica ou consultório médico: o tratamento de dados de saúde de pacientes é tratamento de categoria especial nos termos do Artigo 9. Se é "em larga escala" depende do volume e do contexto. Um consultório com dois médicos que atende uma população local de pacientes geralmente não é considerado em larga escala. Uma rede regional de clínicas com dezenas de milhares de registros de pacientes é uma questão mais complexa. Muitos Estados-Membros da UE emitiram orientações específicas para o setor de saúde.
• Startup de software de RH: se o seu produto trata sistematicamente dados de funcionários de grandes organizações clientes, suas próprias atividades centrais podem envolver tratamento em larga escala de dados de categoria especial. Busque orientação específica.
• Agência de marketing: a definição de perfis e a segmentação comportamental em escala para clientes podem aproximá-lo mais do limiar de monitoramento sistemático do que uma PME típica.

Nomeação Voluntária

Você pode nomear um DPO voluntariamente, mesmo quando isso não é exigido. Se o fizer, as regras completas do GDPR sobre independência do DPO, recursos, tarefas e proteção contra demissão se aplicam automaticamente. Muitas pequenas empresas consideram mais prático designar um responsável interno pela privacidade (uma pessoa nomeada responsável pela proteção de dados que lida com consultas e solicitações) sem usar o título formal de DPO.

O Digital Omnibus de Novembro de 2025: Proposta de Simplificação para PMEs

Em 19 de novembro de 2025, a Comissão Europeia publicou seu pacote Digital Omnibus, um conjunto de emendas pontuais ao GDPR, à Diretiva ePrivacy, ao Data Act, à Diretiva NIS2 e ao AI Act. O pacote faz parte da agenda mais ampla de competitividade da Comissão para reduzir a carga regulatória sobre as empresas europeias, com as PMEs identificadas como prioridade específica.

O Que a Comissão Propôs para o Artigo 30(5) do GDPR

A proposta da Comissão faria duas mudanças significativas na derrogação de registros:

• Elevar o limiar de funcionários de menos de 250 para menos de 750 funcionários, estendendo o alívio a uma categoria que a Comissão chama de "pequenas empresas de média capitalização" (SMCs).
• Reestruturar as condições: em vez dos três fatores desqualificadores atuais (risco, não ocasional, dados de categoria especial), a derrogação se aplicaria a menos que o tratamento seja "suscetível de resultar em alto risco" no sentido do Artigo 35 (o limiar da AIPD). A proposta remove as referências ao "tratamento ocasional" e aos dados de categoria especial como fatores desqualificadores independentes.

A Posição do Conselho da UE (Setembro de 2025)

Antes da publicação da Comissão em novembro, o Conselho da UE já havia circulado, em setembro de 2025, uma posição ainda mais ampla: organizações com menos de 1.000 funcionários que realizam tratamento de alto risco só precisariam manter registros dessas atividades específicas de tratamento suscetíveis de resultar em alto risco, e não um registro completo de todo o tratamento.

Resposta do EDPB e da EDPS

O EDPB e a EDPS saudaram a simplificação em sua declaração conjunta, apoiando o objetivo geral de reduzir a carga administrativa para PMEs. Observaram que a proposta é pontual e limitada, e solicitaram mais esclarecimentos sobre a interação com as obrigações de responsabilização. É fundamental notar que enfatizaram que outras obrigações (incluindo transparência, base legal, direitos dos titulares de dados e segurança) permanecem plenamente aplicáveis, independentemente das simplificações na manutenção de registros.

Status Atual: Negociação Ativa, Ainda Não É Lei

Em maio de 2026, as emendas do Digital Omnibus ao GDPR estão em negociação ativa entre o Parlamento Europeu e o Conselho, de acordo com o cronograma legislativo. Espera-se que as discussões trilaterais continuem ao longo de 2026. A adoção final e qualquer período de transição antes de as emendas entrarem em vigor significam que o texto atual do Artigo 30(5) (o limiar de 250 funcionários com três condições desqualificadoras) continua sendo o direito aplicável hoje.

Não ajuste sua abordagem de conformidade com base nas mudanças propostas. Continue operando de acordo com as regras atuais até que as emendas sejam formalmente adotadas e entrem em vigor.

Obrigações Centrais Que Se Aplicam Integralmente a Todas as Pequenas Empresas

Embora certas obrigações administrativas sejam calibradas conforme a escala, as seguintes exigências do GDPR se aplicam sem redução a organizações de qualquer porte.

1. Base Legal para Toda Atividade de Tratamento

Toda atividade de tratamento exige uma base legal documentada nos termos do Artigo 6. As três bases mais relevantes para pequenas empresas são:

• Necessidade contratual (Artigo 6(1)(b)): tratamento necessário para a execução de um contrato com o indivíduo, por exemplo, tratar um endereço de entrega para enviar um pedido, ou tratar dados salariais para pagar um funcionário.
• Interesses legítimos (Artigo 6(1)(f)): um interesse comercial genuíno e proporcional que não se sobrepõe aos direitos do indivíduo, por exemplo, marketing direto básico para clientes existentes, prevenção de fraude ou segurança de rede. Exige uma avaliação documentada de interesses legítimos.
• Consentimento (Artigo 6(1)(a)): o indivíduo opta livremente por participar para uma finalidade específica e claramente declarada. O consentimento é revogável e cria obrigações contínuas de gestão. É frequentemente usado em excesso por pequenas empresas quando outra base seria mais simples e duradoura.

Para um tratamento completo de quando o consentimento é ou não é a base apropriada, veja Requisitos de Consentimento do GDPR.

2. Avisos de Privacidade

Todo indivíduo cujos dados você coleta deve ser informado, no momento da coleta, sobre: quem você é, quais dados coleta, por quê, a base legal, por quanto tempo os retém, com quem os compartilha e quais são seus direitos. Isso se aplica ao seu site, aos formulários em loja física, à documentação trabalhista e a qualquer outro ponto de coleta de dados.

Um aviso de privacidade não precisa ser longo. Ele precisa ser claro, acessível e completo. A seção de recursos práticos do EDPB oferece modelos gratuitos.

3. Direitos dos Titulares de Dados

Os oito direitos individuais do GDPR se aplicam a todas as organizações. As pequenas empresas devem:

• Ter uma forma clara e acessível para os indivíduos apresentarem solicitações (o e-mail é suficiente).
• Identificar e responder a solicitações dentro de um mês corrido (prorrogável por mais dois meses para solicitações complexas, com aviso ao solicitante).
• Fornecer a primeira cópia dos dados pessoais gratuitamente em resposta a um pedido de acesso.
• Processar adequadamente pedidos de exclusão, correção, oposição e portabilidade, e documentar as respostas.

Uma empresa romena foi multada em 15.000 euros especificamente por não responder a um pedido de acesso durante três meses e depois fornecer informações incompletas. Esse é o tipo de fiscalização que atinge pequenas empresas.

4. Medidas Técnicas e Organizacionais de Segurança

O Artigo 32 exige medidas de segurança apropriadas, proporcionais ao risco e à natureza dos dados. Proporcionalidade significa que o que é apropriado para um escritório de contabilidade com duas pessoas difere do que é apropriado para um prestador de serviços de saúde com 200 funcionários, mas ambos precisam ter algo implementado.

Medidas básicas práticas para pequenas empresas:

• Habilite a autenticação multifator em todas as contas comerciais (e-mail, armazenamento em nuvem, software de contabilidade).
• Use um gerenciador de senhas e exija senhas fortes e exclusivas.
• Criptografe laptops, discos externos e dispositivos móveis que contenham dados pessoais.
• Limite o acesso a dados pessoais aos funcionários que realmente precisam deles para sua função.
• Aplique atualizações de software e sistema operacional prontamente.
• Mantenha backups regulares e testados, armazenados separadamente dos dados primários.
• Tenha uma política escrita sobre como tratar dados pessoais e garanta que os funcionários a compreendam.
• Mantenha trancados os arquivos físicos que contenham informações pessoais.

5. Notificação de Violação de Dados

Se ocorrer uma violação de dados pessoais e for provável que resulte em risco para os indivíduos, você deve notificar sua autoridade supervisora no prazo de 72 horas após tomar conhecimento. Se a violação puder resultar em alto risco para os indivíduos, você também deve notificar diretamente os indivíduos afetados. Veja Notificação de Violação de Dados do GDPR: Regra das 72 Horas para o procedimento completo.

Um erro comum de pequenas empresas é presumir que apenas grandes invasões qualificam-se como violações. Um laptop roubado com dados de clientes não criptografados, um e-mail enviado ao destinatário errado contendo informações sensíveis, ou um ataque de ransomware a um drive compartilhado constituem todos violações de dados que podem exigir notificação.

6. Contratos de Tratamento de Dados com Fornecedores

Nos termos do Artigo 28, sempre que você compartilha dados pessoais com um terceiro que os trata em seu nome (provedores de hospedagem em nuvem, plataformas de e-mail marketing, serviços de folha de pagamento, software de contabilidade, processadores de pagamento, ferramentas de análise de site), você precisa de um contrato de tratamento de dados. A maioria dos grandes provedores agora inclui contratos de tratamento de dados compatíveis com o GDPR em seus termos de serviço padrão ou os oferece mediante solicitação. Revise-os e confirme que estão em vigor.

O GDPR na Prática: Três Exemplos Setoriais

Uma Pequena Loja de Comércio Eletrônico (10 Funcionários)

Um varejista on-line com 10 funcionários que vende roupas para clientes da UE trata diariamente nomes, endereços, e-mails e histórico de compras de clientes. Seu tratamento não é ocasional; é central em cada transação.

Obrigações-chave: base legal para o processamento de pedidos (necessidade contratual), base separada para e-mails de marketing (consentimento ou interesses legítimos), banner de consentimento de cookies para análise de dados e pixels de publicidade, aviso de privacidade no site, contratos de tratamento de dados com o processador de pagamentos e a plataforma de e-mail, e um processo claro para lidar com pedidos de acesso e exclusão.

A derrogação do Artigo 30(5) não se aplica porque o tratamento não é ocasional. O varejista deve manter uma planilha de registros. Não é necessário um DPO. Um funcionário designado atende às solicitações de direitos.

Uma Clínica ou Consultório Médico Local (5 Funcionários)

Um pequeno consultório médico trata diariamente dados de saúde de pacientes. Dados de saúde são dados de categoria especial nos termos do Artigo 9, exigindo uma base legal tanto no Artigo 6 quanto no Artigo 9(2). A base do Artigo 9 apropriada para um prestador de serviços de saúde que atende pacientes é tipicamente o Artigo 9(2)(h): diagnóstico e tratamento médico.

A derrogação do Artigo 30(5) não se aplica porque o tratamento envolve dados de categoria especial (registros de saúde). O consultório deve manter registros completos de tratamento. Se um DPO é exigido depende de o tratamento ser "em larga escala" no contexto; a maioria das autoridades de proteção de dados da UE considera que um pequeno consultório local não atinge o limiar de larga escala, embora a orientação varie entre Estados-Membros.

Obrigações adicionais importantes: controles de acesso rígidos aos registros de pacientes, medidas de segurança apropriadas para dados de saúde sensíveis, acordos de compartilhamento de dados com quaisquer sistemas de terceiros utilizados (resultados de laboratório, plataformas de agendamento) e tratamento cuidadoso de qualquer comunicação com pacientes por e-mail.

Uma Pequena Agência de Marketing Digital (15 Funcionários)

Uma agência de marketing que gerencia campanhas e trata dados de consumidores da UE em nome de clientes ocupa uma posição mais complexa. A agência atua tanto como controladora (para seus próprios dados de funcionários e contatos comerciais) quanto como operadora (ao tratar dados de clientes em nome do cliente).

Como operadora, a agência deve: assinar contratos de tratamento de dados com cada cliente, especificando a natureza, a finalidade e a duração do tratamento; implementar medidas de segurança apropriadas conforme instruído pelo controlador; notificar os clientes prontamente sobre qualquer violação; e não contratar suboperadores sem a autorização do cliente.

Para campanhas de publicidade comportamental que utilizam pixels de rastreamento e cookies, aplicam-se os requisitos de consentimento do GDPR para cookies. A agência também deve estar ciente de que o uso do Google Ads exige a implementação do Consent Mode v2 desde março de 2024, para comunicar corretamente as escolhas de consentimento do usuário.

Erros Comuns de Conformidade das PMEs

Presumir que o Porte Cria uma Isenção

"Somos uma pequena empresa" não é uma defesa jurídica nos termos do GDPR. As autoridades supervisoras já multaram profissionais autônomos e microempresas por violações básicas. As multas se aplicam de forma proporcional, mas se aplicam.

Uso Excessivo do Consentimento como Base Legal

Muitas pequenas empresas adicionam uma caixa de consentimento a todos os formulários porque parece seguro. Na prática, o consentimento é frequentemente a base errada: cria direitos de revogação complexos de gerenciar, e só deve ser usado quando o indivíduo tem uma escolha livre genuína. Quando você pode se basear em necessidade contratual ou interesses legítimos, essas bases costumam ser mais práticas e duradouras.

Consentimento de Cookies Inválido

Declarar "ao usar este site, você aceita cookies" em um aviso de rodapé não é um consentimento válido nos termos do GDPR. O consentimento para cookies não essenciais exige um mecanismo claro de adesão que permita aos usuários aceitar ou rejeitar cookies antes de serem instalados. Caixas pré-marcadas e consentimento implícito são não conformes.

Ausência de Política de Retenção de Dados

O princípio de limitação de armazenamento nos termos do Artigo 5(1)(e) exige que os dados pessoais não sejam mantidos além do necessário. Manter registros de clientes indefinidamente, ou nunca excluir arquivos de ex-funcionários, viola esse princípio. Defina períodos de retenção para cada categoria de dados e implemente um processo para excluir dados quando esses períodos expirarem.

Esquecer os Dados dos Funcionários

O GDPR se aplica igualmente a dados de funcionários e a dados de clientes. Registros de funcionários, informações salariais, arquivos disciplinares e currículos enviados por candidatos exigem todos as mesmas proteções. Muitas pequenas empresas concentram os esforços de conformidade nos dados de clientes e negligenciam totalmente suas obrigações de RH.

Ausência de Plano de Resposta a Violações

Sem um plano, é provável que uma violação ultrapasse o prazo de notificação de 72 horas enquanto a equipe decide o que fazer. Um procedimento escrito básico, cobrindo como detectar uma violação, como avaliar sua gravidade, quem é responsável pela notificação e como contê-la e documentá-la, não custa nada para criar e pode evitar uma multa.

Contratos de Tratamento de Dados com Fornecedores Ausentes

Usar armazenamento em nuvem, ferramentas de e-mail marketing ou software de folha de pagamento sem verificar se há um contrato de tratamento de dados em vigor é uma lacuna comum. É também um alvo simples de fiscalização para as autoridades supervisoras, porque é fácil demonstrar como um documento ausente.

Medidas de Conformidade de Baixo Custo para Pequenas Empresas

A conformidade não exige grandes orçamentos ou software especializado. As seis etapas a seguir abordam as exigências de mais alta prioridade do GDPR a custo mínimo.

Etapa 1: inventário de dados (gratuito): liste todo tipo de dado pessoal que você trata: o que é, de quem é, por que você o mantém, onde é armazenado, quem pode acessá-lo e por quanto tempo você o mantém. Uma planilha é suficiente. Atualize-a sempre que introduzir uma nova ferramenta ou processo.

Etapa 2: aviso de privacidade (gratuito): redija um aviso de privacidade em linguagem simples, cobrindo todas as informações exigidas pelos Artigos 13 e 14. Publique-o em seu site e disponibilize-o em todos os pontos de coleta de dados. Use os modelos gratuitos do EDPB como ponto de partida.

Etapa 3: consentimento de cookies (gratuito a baixo custo): se o seu site usa cookies não essenciais (análise de dados, publicidade, botões de redes sociais), implemente um banner de adesão em conformidade. Diversas ferramentas gratuitas e de baixo custo oferecem gestão de consentimento compatível com o GDPR.

Etapa 4: revisão de contratos com fornecedores (gratuito): percorra sua lista de prestadores de serviço e confirme que há um contrato de tratamento de dados em vigor com cada um que trate dados pessoais em seu nome. A maioria dos grandes provedores oferece esses contratos em seus termos ou mediante solicitação.

Etapa 5: segurança básica (gratuito a baixo custo): habilite a autenticação multifator em todas as contas comerciais. Implante um gerenciador de senhas. Criptografe seus dispositivos. Mantenha o software atualizado. Essas medidas são, em sua maioria, gratuitas e abordam os vetores de violação mais comuns para pequenas empresas.

Etapa 6: procedimentos de solicitação de direitos e resposta a violações (gratuito): designe um contato nomeado para solicitações de titulares de dados. Crie um registro simples para acompanhar solicitações, seu tipo, data de recebimento e data de resolução. Redija uma lista de verificação de resposta a violações de uma página, cobrindo a exigência de notificação em 72 horas.

Resumo de Obrigações do GDPR para PMEs

Recursos Oficiais Gratuitos para Pequenas Empresas

Guia de Proteção de Dados do EDPB para Pequenas Empresas: o guia do EDPB para PMEs é o recurso oficial gratuito mais abrangente. Abrange todos os principais temas do GDPR com vídeos, fluxogramas interativos, infográficos e exemplos práticos. A seção de recursos práticos inclui modelos para download de registros de tratamento, avisos de privacidade, formulários de consentimento e contratos de tratamento de dados. Disponível em 17 idiomas da UE desde 2024.

Orientação da ICO para Pequenas Organizações: o Escritório do Comissário de Informação do Reino Unido fornece orientação específica para pequenas e médias organizações e uma ferramenta de autoavaliação de proteção de dados que gera um plano de ação personalizado.

Portal Your Europe Business: o portal Your Europe oferece orientação sobre o GDPR em todos os idiomas oficiais da UE para empresas que atuam em todo o mercado único.

Autoridades Supervisoras Nacionais: a autoridade de proteção de dados de cada Estado-Membro da UE publica seus próprios recursos para PMEs. A DPC irlandesa, a CNIL francesa, a AP holandesa e as autoridades estaduais alemãs oferecem, todas, kits de ferramentas e linhas de apoio gratuitos para pequenas empresas em suas jurisdições.

O Que Muda Com o Digital Omnibus Proposto (Quando Promulgado)

Se as emendas do Digital Omnibus forem adotadas conforme proposto, as mudanças práticas para as PMEs seriam:

• Organizações com menos de 750 funcionários não precisariam mais manter registros de atividades de tratamento, a menos que o tratamento seja suscetível de resultar em alto risco (o limiar da AIPD nos termos do Artigo 35).
• O tratamento rotineiro de baixo risco (listas de e-mail de clientes, registros de funcionários, reservas on-line) não precisaria mais ser formalmente documentado por essas organizações.
• Todas as demais obrigações permanecem inalteradas: base legal, avisos de privacidade, direitos dos titulares de dados, segurança, notificação de violações e contratos com fornecedores continuam se aplicando integralmente.

A simplificação é real, mas limitada. A grande maioria das suas obrigações de conformidade não é afetada. Continue as práticas atuais de conformidade e acompanhe o andamento legislativo antes de fazer qualquer mudança.

Guias Relacionados sobre o GDPR

• O Que É o GDPR para uma visão geral abrangente do regulamento
• Lista de Verificação de Conformidade com o GDPR para um guia de conformidade passo a passo
• Requisitos de Consentimento do GDPR sobre padrões de consentimento válido e quando o consentimento é ou não a base certa
• Direitos dos Titulares de Dados no GDPR para os oito direitos individuais
• Multas e Penalidades do GDPR para dados de fiscalização e cálculo de penalidades
• Regra das 72 Horas de Notificação de Violação do GDPR para o procedimento de comunicação de violações
• Lei de Cookies da UE (Diretiva ePrivacy) para exigências de consentimento de cookies
• Leis de Privacidade de Dados da UE para o hub completo de proteção de dados da UE

Perguntas frequentes

O GDPR se aplica a pequenas empresas?

Sim. O GDPR se aplica a qualquer organização que trate dados pessoais de indivíduos na UE, independentemente do porte. Um profissional autônomo, uma startup e uma empresa com 200 funcionários estão todos sujeitos a ele, se lidarem com dados pessoais de pessoas da UE. Não existe isenção genérica para pequenas empresas. As obrigações de conformidade são calibradas de acordo com a natureza e o risco de suas atividades de tratamento, não com o número de funcionários.

As pequenas empresas precisam de um Encarregado de Proteção de Dados?

A maioria não precisa. Um DPO é obrigatório nos termos do Artigo 37 apenas para autoridades públicas, organizações cujas atividades centrais exigem monitoramento regular e sistemático de indivíduos em larga escala, e organizações cujas atividades centrais envolvem tratamento em larga escala de dados de categoria especial (saúde, biométricos, genéticos, etc.). Uma empresa típica de varejo, serviços ou tecnologia de pequeno porte não atende a esses critérios. A nomeação voluntária é possível, mas, nesse caso, aplicam-se as regras completas do GDPR sobre independência e proteção do DPO.

As pequenas empresas são isentas da manutenção de registros do GDPR?

A derrogação do Artigo 30(5) para organizações com menos de 250 funcionários é mais restrita do que muitos supõem. A isenção só se aplica se as três condições forem cumpridas simultaneamente: o tratamento é ocasional, não representa risco para os indivíduos e não envolve dados de categoria especial. A maioria das pequenas empresas trata dados de clientes ou funcionários regularmente, o que significa que falham no teste de ocasionalidade e ainda precisam manter registros. A recomendação é manter registros de qualquer forma, como boa prática.

O que é o Digital Omnibus do GDPR e ele ajuda as pequenas empresas?

O Digital Omnibus é um pacote de emendas pontuais ao GDPR, publicado pela Comissão Europeia em 19 de novembro de 2025. Ele propõe ampliar a derrogação de registros de organizações com menos de 250 funcionários para aquelas com menos de 750 funcionários, e limitar os registros obrigatórios apenas ao tratamento de alto risco. O EDPB e a EDPS saudaram a simplificação. Em maio de 2026, a proposta está em negociação trilateral e ainda não foi promulgada. O limiar atual de 250 funcionários e o teste de três condições continuam sendo a lei até que as emendas sejam formalmente adotadas.

Uma pequena empresa pode ser multada nos termos do GDPR?

Sim. As multas do GDPR se aplicam a organizações de todos os portes, com base na gravidade da violação. As autoridades supervisoras devem garantir que as multas sejam eficazes, proporcionais e dissuasivas, o que significa que uma pequena empresa normalmente receberia uma multa absoluta menor do que uma multinacional, mas as penalidades ainda podem ser significativas. As multas chegam a até 20 milhões de euros ou 4% do faturamento global anual para violações graves. Há casos documentados de multas contra pequenos prestadores de serviços de saúde por condicionar o atendimento médico ao consentimento de marketing, e contra pequenas empresas por ignorar pedidos de acesso.

Quais são as etapas mais importantes do GDPR para uma pequena empresa?

Comece com seis prioridades: (1) crie um inventário de dados listando todos os dados pessoais que você trata e por quê; (2) redija e publique um aviso de privacidade claro; (3) garanta que você tenha uma base legal documentada para cada atividade de tratamento; (4) implemente medidas básicas de segurança, incluindo autenticação multifator e criptografia de dispositivos; (5) tenha um processo simples para lidar com pedidos de direitos dos titulares de dados dentro de um mês; e (6) confirme que há contratos de tratamento de dados em vigor com todos os fornecedores que tratam dados pessoais em seu nome.

O GDPR se aplica a uma empresa fora da UE que vende para clientes da UE?

Sim. Nos termos do Artigo 3(2), o GDPR se aplica a organizações fora da UE que oferecem bens ou serviços a indivíduos na UE ou que monitoram seu comportamento. Uma loja on-line sediada nos EUA com clientes da UE, um provedor canadense de SaaS com usuários da UE, e uma empresa do Reino Unido que atende clientes da UE após o Brexit devem todos cumprir a lei. O Brexit significa que empresas do Reino Unido que atendem clientes da UE estão sujeitas ao GDPR da UE para suas operações na UE, além do GDPR separado do Reino Unido para suas operações no Reino Unido.

Preciso de um banner de consentimento de cookies no meu site?

Se o seu site usa cookies não essenciais (incluindo cookies de análise, pixels de publicidade, botões de redes sociais ou qualquer tecnologia de rastreamento), você precisa de um mecanismo de consentimento em conformidade. O consentimento válido exige uma adesão ativa antes de os cookies não essenciais serem instalados, uma opção igualmente fácil de rejeitá-los, e nenhuma caixa pré-marcada. Simplesmente informar que seu site usa cookies em um rodapé não é suficiente. Veja o guia da Lei de Cookies da UE para as exigências completas.