0
0
A resposta curta é: sim, a LGPD se aplica ao seu aplicativo desde o primeiro usuário cadastrado, e não só quando a base de dados fica grande. Essa é a confusão mais comum que vejo em fundadores de startups e produtos digitais, a ideia de que a lei só chega quando a empresa “cresce o suficiente para importar”. Não é assim que a Lei Geral de Proteção de Dados, Lei nº 13.709/2018, foi desenhada.
Por que a dúvida existe?
A LGPD nasceu inspirada no Regulamento Geral de Proteção de Dados europeu, e trouxe junto uma reputação de lei pensada para grandes corporações. Na prática, o texto da lei não faz essa distinção por porte de empresa. O que muda com o tamanho é o volume de risco, não a exigência legal. Uma startup com 200 usuários tem exatamente as mesmas obrigações de base que uma multinacional, só que com menos estrutura para cumpri-las, o que na verdade torna o tema mais urgente, não menos.
1. Coletar dado não é o problema, coletar sem base legal é
Todo aplicativo coleta dado, e-mail, nome, geolocalização, comportamento de uso. Isso é normal e esperado. O problema aparece quando a coleta não tem uma base legal que a justifique. A LGPD prevê dez bases legais no artigo 7º, sendo as mais usadas por produtos digitais o consentimento do usuário, a execução de contrato e o legítimo interesse.
Na prática: se o dado é necessário para o app funcionar (endereço para entrega, por exemplo), a base é execução de contrato, e você não precisa de um checkbox de consentimento para isso. Se o dado é para finalidade acessória (enviar promoção, por exemplo), aí sim entra o consentimento, e ele precisa ser específico para aquela finalidade, não genérico.
2. Política de privacidade genérica de outro site não protege ninguém
Copiar a política de privacidade de um concorrente e trocar o nome da empresa é um erro recorrente, e um erro caro. A política precisa refletir exatamente quais dados o seu produto coleta, para qual finalidade, por quanto tempo fica armazenado e com quem é compartilhado. Se o app usa uma ferramenta de analytics de terceiro, isso precisa estar descrito. Se os dados são processados fora do Brasil, isso também precisa estar descrito, com a base legal para a transferência internacional.
3. Quem é o encarregado de dados, e por que isso não é opcional
O artigo 41 da LGPD exige a indicação de um encarregado de dados, o Data Protection Officer, cuja função é ser o canal de comunicação entre a empresa, os titulares de dados e a Autoridade Nacional de Proteção de Dados. Em startups pequenas, esse papel costuma recair sobre o próprio fundador ou sobre alguém do time, não precisa ser um cargo dedicado, mas precisa existir e estar identificado publicamente na política de privacidade.
A ausência de encarregado indicado é, na minha experiência, um dos primeiros pontos verificados em qualquer notificação da ANPD ou em qualquer due diligence de investidor mais atento.
4. O que fazer quando (não se) vazar dado?
Vazamento de dado não é hipótese remota, é estatística. O artigo 48 da LGPD obriga a comunicação à ANPD e aos titulares afetados em prazo razoável sempre que o incidente acarretar risco ou dano relevante. Isso significa que a empresa precisa ter, antes do incidente acontecer, um plano de resposta minimamente definido: quem é avisado primeiro, o que é comunicado, em quanto tempo. Montar esse plano depois que o vazamento já aconteceu é tarde demais e agrava a situação diante da autoridade.
5. Investidor também audita LGPD, e isso pega fundador desprevenido
Um ponto que poucos fundadores antecipam: rodadas de investimento, principalmente a partir da série A, já incluem due diligence específica de proteção de dados. Fundos perguntam sobre base legal de tratamento, sobre existência de encarregado, sobre histórico de incidentes. Uma startup sem esse tema organizado perde tempo de negociação e, em alguns casos, perde valuation por causa de um risco jurídico que poderia ter sido resolvido meses antes por uma fração do custo.
Meu app é gratuito, a LGPD se aplica mesmo assim?
Sim. A LGPD se aplica a qualquer tratamento de dado pessoal realizado no Brasil ou que tenha por objetivo oferecer serviço a pessoas localizadas no país, independentemente de o produto ser pago ou gratuito.
Preciso contratar um encarregado de dados dedicado?
Não necessariamente. Em empresas de menor porte, o próprio fundador ou um membro do time pode acumular a função, desde que fique formalmente indicado e acessível aos titulares de dados.
Qual a multa em caso de descumprimento?
A LGPD prevê multa de até 2% do faturamento da empresa no Brasil no seu último exercício, limitada a R$ 50 milhões por infração, além de outras sanções como bloqueio e eliminação dos dados.
Uso apenas Google Analytics e ferramentas de terceiro, ainda preciso me preocupar?
Sim. Usar ferramenta de terceiro para coletar ou processar dado não transfere a responsabilidade da sua empresa, você continua sendo o controlador do dado e responde por como ele é tratado, inclusive por terceiros contratados.
Em suma
Não existe um “momento certo” para começar a se preocupar com a LGPD, o momento é agora, com o primeiro usuário cadastrado. A boa notícia é que adequação básica não exige orçamento de grande empresa, exige organização: saber que dado é coletado, com qual base legal, quem responde por ele e o que fazer se algo der errado.
Se seu produto já tem usuários e essa organização ainda não existe, vale uma análise individualizada antes que a primeira notificação chegue.
