Você gerencia um arquivo do clientevocê envia newsletter Se você tem funcionários e utiliza câmeras em suas instalações, então está processando dados pessoais e o RGPD (Regulamento Geral de Proteção de Dados) se aplica integralmente a você. No entanto, de acordo com o Barômetro France Num 2025, Apenas 41% das microempresas/PMEs mantêm um registro de atividades de processamento.Essa obrigação se aplica a todas as empresas, independentemente do porte. Este guia explica, sem jargões jurídicos, o que o RGPD exige de você em termos concretos e como cumpri-lo passo a passo.
RGPD: Definição e Princípios Fundamentais
O RGPD, ou Regulamento Geral de Proteção de Dados, é o Regulamento Europeu n.º 2016/679, de 27 de abril de 2016. Entrou em vigor em 25 de maio de 2018 em todos os Estados-Membros da União Europeia, substituindo a Diretiva 95/46/CE de 1995. Ao contrário de uma diretiva, um regulamento aplica-se diretamente, sem transposição nacional. Em França, é complementado pela Lei de Proteção de Dados de 6 de janeiro de 1978 (alterada em 2018) e supervisionado pela CNIL (Comissão Nacional de Informática e Liberdades).
Seu principal objetivo é fortalecer os direitos dos indivíduos sobre seus dados pessoais, harmonizando as regras dentro da UE para criar um quadro jurídico único. Também introduz o princípio da responsabilização, ou seja, a obrigação de fornecer informações e demonstrar conformidade.
Os 7 princípios fundamentais do RGPD (Artigo 5.º)
O artigo 5.º do regulamento estabelece os princípios que todas as organizações devem respeitar no tratamento de dados pessoais:
Esses princípios se aplicam a você, gerente de uma microempresa/pequena e média empresa, assim que você coleta o nome de um cliente, o endereço de e-mail de um potencial cliente ou os dados bancários de um fornecedor.
Quem é afetado e quais dados são protegidos?
Todas as empresas, independentemente do tamanho.
O fator determinante não é o tamanho da sua organização, mas sim o fato de você processar dados pessoais. Uma microempresa com um único funcionário que gerencia um banco de dados de clientes está sujeita ao GDPR da mesma forma que uma grande corporação. Associações, profissionais autônomos (médicos, advogados, contadores) e subcontratados que processam dados em nome de um controlador de dados também são afetados.
O RGPD também se aplica a empresas estabelecidas fora da UE quando estas visam residentes europeus. A multa de 150 milhões de euros imposta à SHEIN pela CNIL em 2025 ilustra perfeitamente este princípio: a marca chinesa utilizava rastreadores de publicidade antes de qualquer interação do utilizador, e a sua localização fora da UE não a protegeu.
O que são dados pessoais?
Dados pessoais são quaisquer informações que permitam a identificação direta ou indireta de uma pessoa singular: nome, sobrenome, endereço de e-mail, número de telefone, endereço IP, dados de localização, número de cliente, fotografia, etc. A definição é ampla: uma placa de carro, um identificador online ou mesmo uma combinação de informações aparentemente inócuas, tomadas isoladamente, podem constituir dados pessoais.
Exemplos concretos para uma microempresa/pequena e média empresa (PME):
Dados sensíveis: uma categoria à parte.
O artigo 9.º do RGPD proíbe, em princípio, o tratamento de determinadas categorias de dados designadas por "sensíveis", que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, os dados genéticos, os dados biométricos, os dados de saúde ou os dados relativos à vida sexual ou à orientação sexual.
Para uma empresa muito pequena ou PME, esses dados sensíveis podem surgir em contextos inesperados: licença médica de funcionários (dados de saúde), informações coletadas durante uma entrevista de emprego ou até mesmo imagens de um sistema de reconhecimento facial na entrada do estabelecimento. O seu processamento está sujeito a condições rigorosamente regulamentadas e, geralmente, requer o consentimento explícito do indivíduo em questão.
As 6 bases legais para o processamento
Todo o processamento de dados pessoais deve ser baseado em uma das seis bases legais previstas no Artigo 6º do RGPD. Esta lista é exaustiva: se nenhuma dessas bases se aplicar, o processamento é proibido. A escolha da base legal deve ser feita antes do início do processamento e documentada em seus registros.
1. Consentimento (art. 6.1.a)
O indivíduo deu seu consentimento de forma livre, específica, consciente e inequívoca. O consentimento deve ser revogado com a mesma facilidade com que foi concedido. Essa é a base para newsletters, cookies não essenciais e marketing por e-mail B2C.
Exemplo concreto: O formulário de inscrição na sua newsletter deve incluir uma caixa de seleção desmarcada, com uma declaração clara sobre o uso dos dados.
2. A execução de um contrato (art. 6.1.b)
O processamento é necessário para a execução de um contrato do qual a pessoa é parte. É a base natural para gerenciar o relacionamento com o cliente, a emissão de faturas, a entrega ou a folha de pagamento dos funcionários.
Exemplo concreto: Você coleta o endereço de entrega do seu cliente para enviar o pedido. Não é necessário nenhum consentimento adicional.
3. A obrigação legal (art. 6.1.c)
O processamento é obrigatório por lei ou regulamento. É a base utilizada para a conservação de recibos de vencimento, faturas (10 anos para fins contábeis) e declarações fiscais e de segurança social.
Exemplo concreto: Você deve guardar os recibos de pagamento de seus funcionários por um período mínimo de 5 anos, conforme previsto no Código do Trabalho.
4. Salvaguarda de interesses vitais (art. 6.1.d)
Uso excepcional, limitado a situações de emergência médica em que a pessoa não tem capacidade para dar consentimento.
5. A missão de interesse público (art. 6.1.e)
Reservado para autoridades públicas e entidades responsáveis por uma missão de serviço público. Não se aplica a empresas privadas tradicionais.
6. Interesse legítimo (art. 6.1.f)
O responsável pelo tratamento dos dados busca um interesse legítimo, desde que os direitos e liberdades fundamentais do indivíduo não se sobreponham a ele. Essa base é flexível, mas exige um "teste triplo" documentado: o interesse é legítimo? O tratamento é necessário? Os direitos do indivíduo se sobrepõem a ele?
Exemplos concretos validados pela CNIL: Prospecção de vendas B2B com clientes existentes, prevenção de fraudes, segurança de TI, videovigilância proporcional das instalações.
Atenção: A CNIL sancionou diversas empresas por terem invocado indevidamente o interesse legítimo, em particular para justificar a vigilância permanente de funcionários ou campanhas de prospecção baseadas em arquivos adquiridos de corretores de dados.
Os direitos dos indivíduos
O RGPD concede aos indivíduos oito direitos fundamentais relativamente aos seus dados pessoais (Capítulo III do regulamento). Como responsável pelo tratamento de dados, deve respeitar estes direitos e responder no prazo de um mês após a receção do pedido.
Direito de acesso (art. 15) Qualquer pessoa pode solicitar a confirmação de que seus dados são processados por você e obter uma cópia dos mesmos. A resposta é obrigatória dentro de um mês.
Direito de retificação (art. 16) A pessoa pode solicitar a correção de dados incorretos ou incompletos. Atualize seu cadastro de clientes assim que um cliente notificar uma mudança de endereço.
Direito ao apagamento (“direito ao esquecimento”, art. 17) O indivíduo pode solicitar a exclusão de seus dados sob certas condições (revogação do consentimento, dados que não são mais necessários, processamento ilegal). Esse direito não é absoluto: não se aplica se houver uma obrigação legal de reter os dados.
Direito à portabilidade dos dados (artigo 20.º) O indivíduo pode recuperar seus dados em um formato estruturado e legível por máquina para transmiti-los a outro provedor de serviços. Esse direito aplica-se somente ao processamento baseado em consentimento ou contrato.
Direito à limitação (art. 18) A pessoa pode solicitar a suspensão temporária do processamento de seus dados, por exemplo, enquanto sua exatidão estiver sendo verificada.
Direito de objeção (art. 21) O indivíduo tem o direito de se opor ao processamento dos seus dados, especialmente para fins de marketing. Esse direito é absoluto no que diz respeito ao marketing: você deve interromper imediatamente o processamento.
Legislação relativa a decisões automatizadas (art. 22) Uma pessoa não pode ser submetida a uma decisão baseada exclusivamente em processamento automatizado (pontuação, criação de perfis) que produza efeitos jurídicos significativos, sem intervenção humana.
Direito à informação (artigos 13-14) Toda pessoa deve ser informada sobre a coleta e o uso de seus dados no momento da coleta.
Como esses pedidos podem ser gerenciados na prática? Designe um endereço de e-mail específico (por exemplo, rgpd@suaempresa.fr), registre cada solicitação com a respectiva data de recebimento e documente sua resposta. Em 2026, a CNIL (Autoridade Francesa de Proteção de Dados) sancionou microempresas e consultórios médicos não pela violação inicial, mas sim por nunca terem respondido às solicitações dos indivíduos em questão. O silêncio constitui uma violação separada.
Suas obrigações específicas: processamento de dados, informações, segurança, subcontratados.
O registo das atividades de processamento (artigo 30.º)
Este é o seu documento central de conformidade. Todas as empresas, independentemente do porte, são obrigadas a manter este registro. A ideia equivocada de que empresas com menos de 250 funcionários estão isentas é falsa: a isenção se aplica apenas a alguns casos muito específicos de processamento ocasional e de baixo risco, e não à obrigação geral.
Para uma microempresa/pequena e média empresa (PME), este registo pode assumir a forma de uma tabela simples listando, para cada atividade de processamento:
A CNIL fornece um Modelo de registro simplificado adequado para pequenas organizações..
A obrigação de fornecer informações
Você deve informar os indivíduos em questão no momento da coleta de seus dados. Essas informações podem estar incluídas em:
As informações devem ser claras, acessíveis e escritas em francês. A CNIL (Autoridade Francesa de Proteção de Dados) sancionou uma empresa por fornecer sua política de privacidade apenas em inglês.
A obrigação de segurança (art. 32)
Você deve implementar medidas técnicas e organizacionais adequadas para proteger os dados. Para uma microempresa/pequena e média empresa (PME), isso significa, em termos concretos:
Regulamentação dos subcontratados (artigo 28.º)
Qualquer prestador de serviços que processe dados em seu nome (provedor de hospedagem, software de faturamento, contador, agência de marketing) é um processador de dados nos termos do RGPD. Você deve celebrar um contrato por escrito com ele, contendo cláusulas específicas sobre proteção de dados: finalidades do processamento, medidas de segurança, obrigações de confidencialidade e o que acontece com os dados após o término do contrato.
Exemplo concreto: Se você usa software CRM Ao utilizar o modelo SaaS para gerenciar seus clientes, verifique se o fornecedor oferece um contrato de processamento de dados (DPA) em conformidade com o GDPR.
Encarregado da Proteção de Dados (DPO), avaliação de impacto (IAPD): em que casos?
O Encarregado da Proteção de Dados (DPO)
A nomeação de um DPO é obrigatória em três casos específicos (Artigo 37.º do RGPD):
Para a grande maioria das microempresas/PMEs, o DPO não é, portanto, obrigatório. No entanto, é altamente recomendável nomear um "responsável pela LGPD" interno, ou seja, uma pessoa encarregada de monitorar a conformidade, mesmo sem um título oficial. Essa pessoa pode ser você mesmo, um funcionário ou um prestador de serviços externo.
Avaliação de Impacto sobre a Proteção de Dados (AIPD)
A Avaliação de Impacto sobre a Proteção de Dados (AIPD) é obrigatória antes de qualquer tratamento de dados que possa resultar em alto risco para os direitos e liberdades dos indivíduos (Artigo 35 do RGPD). A CNIL (Comissão Nacional de Informática e Liberdades da França) publicou uma lista de nove categorias de tratamento de dados para as quais a AIPD é sistematicamente exigida.
Casos específicos em que uma microempresa/pequena ou média empresa (PME) pode ser afetada:
Se você não se enquadra nessas categorias, uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) não é obrigatória. No entanto, uma avaliação de risco proporcional continua sendo uma boa prática.
Conformidade em 7 passos para microempresas/pequenas e médias empresas (PMEs)
Aqui está um plano de ação concreto, sem jargões, para ajudá-lo a entrar em conformidade.
Passo 1: Nomeie um representante do RGPD
Designe uma pessoa (você mesmo ou um funcionário) para supervisionar a conformidade. Essa pessoa será o ponto de contato para solicitações de exercício de direitos e eventuais auditorias da CNIL (Autoridade Francesa de Proteção de Dados).
Etapa 2: Mapeie seus tratamentos e crie seu cadastro.
Liste todas as atividades para as quais você coleta dados: cadastro de clientes, gestão de funcionários, newsletter, formulário de contato, videovigilância, contabilidade. Para cada uma, forneça as informações exigidas pelo Artigo 30. Utilize o modelo simplificado da CNIL disponível em [endereço do site]. cnil.fr.
Etapa 3: Verifique e documente sua base legal.
Para cada atividade de tratamento de dados listada em seu registro, identifique a base legal aplicável. Documente essa escolha. Caso não seja possível identificar uma base legal válida, você deverá cessar essa atividade de tratamento de dados.
Etapa 4: Cumpra suas obrigações de informação
Elabore ou atualize sua política de privacidade, os avisos de privacidade em seus formulários e as cláusulas do GDPR em seus contratos de trabalho. Instale um banner de cookies compatível em seu site, caso utilize tecnologias de rastreamento.
Etapa 5: Proteja seus dados
Realize uma auditoria rápida das suas práticas de segurança: senhas, acesso a arquivos, backups, atualizações. Corrija quaisquer vulnerabilidades identificadas. Treine seus funcionários sobre as melhores práticas.
Etapa 6: Supervisione seus subcontratados
Liste todos os seus fornecedores de serviços que processam dados em seu nome. Verifique se você firmou um contrato de processamento de dados com cada um deles, em conformidade com o Artigo 28 do RGPD.
Etapa 7: Estabelecer um procedimento de gestão de direitos e violações
Crie um endereço de e-mail específico para solicitações relacionadas ao GDPR. Mantenha um registro das solicitações recebidas e das respostas fornecidas. Prepare um procedimento de notificação de violação de dados: você tem 72 horas para notificar a CNIL (Autoridade Francesa de Proteção de Dados) e, se o risco for alto, informar os indivíduos afetados.
Violações de dados e penalidades: o que você realmente arrisca
Notificação de violações de dados (Art. 33-34)
Em caso de violação de dados (ataque hacker, perda de um computador, envio de e-mail para a pessoa errada, acesso não autorizado ao seu cadastro de clientes), você é obrigado a notificar a CNIL (Autoridade Francesa de Proteção de Dados) em até 72 horas após a descoberta do incidente. Se a violação representar um alto risco para os indivíduos afetados, você também deve informá-los diretamente.
A notificação é feita no portal da CNIL (notificações.cnil.frMesmo que você não tenha certeza da gravidade do incidente, é melhor relatá-lo e documentar sua análise.
As penalidades: dois níveis de multas.
O RGPD prevê um regime de sanções de dois níveis:
Nível 1 (art. 83.4): até 10 milhões de euros ou 2% do volume de negócios anual global por deficiências técnicas (registo inexistente, notificação tardia, falha na realização da DPIA).
Nível 2 (art. 83.5): As multas podem chegar a 20 milhões de euros ou 4% do volume de negócios anual global por violações de direitos fundamentais, consentimento ou transferências internacionais.
A realidade das sanções para micro e pequenas empresas
As multas elevadas ganham as manchetes, mas a realidade estatística também afeta as pequenas empresas. Em 2025, a CNIL (Comissão Nacional de Informática e Liberdades da França) aplicou 83 sanções, totalizando € 486,8 milhões, e mais de 60% dessas sanções foram direcionadas a PMEs. Em 2026, quase todas as primeiras 23 sanções aplicadas sob procedimentos simplificados foram direcionadas a microempresas, consultórios médicos e escritórios de advocacia.
O procedimento simplificado, criado em 2022, permite que a CNIL (Autoridade Francesa de Proteção de Dados) sancione rapidamente infrações comuns com multas de até € 20.000, sem necessidade de audiência pública. Para uma empresa de cinco pessoas, € 10.000 muitas vezes representam a margem de lucro de um trimestre inteiro.
As infrações mais frequentemente sancionadas em micro e pequenas empresas são:
Este último ponto merece atenção especial: o silêncio perante a CNIL constitui uma violação autónoma prevista no artigo 31.º do RGPD, e é muitas vezes este silêncio que transforma um caso banal numa sanção agravada.
Perguntas frequentes: Suas dúvidas sobre o RGPD (Regulamento Geral sobre a Proteção de Dados)
Minha empresa tem menos de 10 funcionários, estou realmente sujeita ao GDPR?
Sim, sem exceção. O RGPD aplica-se a qualquer organização que processe dados pessoais, independentemente do seu tamanho. Assim que você gerencia uma base de dados de clientes, tem funcionários ou usa um formulário de contato em seu site, você está sujeito ao RGPD. O procedimento simplificado da CNIL foi especificamente concebido para pequenas empresas, e as decisões de 2026 dizem respeito principalmente a microempresas e trabalhadores autônomos.
Preciso nomear um DPO?
Não, não para a grande maioria das micro e pequenas empresas. A nomeação de um Encarregado da Proteção de Dados (DPO) é obrigatória apenas para entidades públicas, aquelas que processam dados sensíveis em larga escala ou aquelas cuja atividade principal consiste no monitoramento sistemático de indivíduos em larga escala. No entanto, é altamente recomendável nomear um representante interno para o RGPD, mesmo que informalmente.
Por quanto tempo devo manter os dados dos meus clientes?
Não existe um período de retenção universal: ele depende da finalidade do tratamento de dados. Para fins de gestão empresarial, a CNIL (Comissão Nacional de Informática e Liberdades da França) recomenda a conservação dos dados de clientes ativos durante o período da relação comercial e, posteriormente, por três anos para fins de marketing após o término dessa relação. As faturas devem ser conservadas por 10 anos para fins contábeis e fiscais. Os dados de candidatos não selecionados não devem ser conservados por mais de dois anos. Documente esses períodos de retenção em seus registros.
O que devo fazer se receber uma solicitação de exclusão de um cliente?
Você deve responder dentro de um mês. Se a solicitação for legítima (o cliente retira o consentimento, os dados não são mais necessários), você deve excluir os dados dele dos seus arquivos ativos. Observação: se você tiver uma obrigação legal de reter dados (por exemplo, faturas devem ser mantidas por 10 anos), você pode se recusar a excluir essa parte dos dados, mas deve informar claramente o cliente. Sempre documente sua resposta.
Gerenciar a conformidade com o GDPR significa centralizar e proteger os dados de seus clientes, potenciais clientes e equipes. O Djaboo, o software CRM completo desenvolvido para PMEs francesas, ajuda você a organizar seus relacionamentos com clientes, faturamento e projetos em um único local seguro, com acesso controlado e fácil rastreabilidade de dados. Para saber mais, visite [djaboo.com](https://djaboo.com).
