Se você vende curso on-line, e-book, mentoria ou qualquer infoproduto, a LGPD se aplica ao seu negócio do mesmo jeito que se aplica a uma empresa grande. O tamanho do negócio não muda a obrigação de proteger os dados de quem compra. A boa notícia é que a lei tem regras simplificadas para pequenos negócios: você não precisa nomear um encarregado de dados (DPO), mas ainda precisa ter uma política de privacidade clara, pedir consentimento antes de usar dados pra marketing, e saber o que fazer se a lista de alunos vazar.
A LGPD se aplica mesmo pra quem trabalha sozinho?
Sim. A LGPD não faz distinção por porte de empresa quando o assunto é a obrigação de tratar dados pessoais com cuidado. Ela se aplica a qualquer pessoa física ou jurídica que trate dados pessoais no Brasil, com fins econômicos. Se você tem uma página de vendas que coleta nome, e-mail, CPF ou dados de pagamento, a lei já se aplica, esteja você registrado como MEI, ME ou operando sozinho.
O que muda pra quem é pequeno negócio é o tamanho da obrigação, não a obrigação em si: a Resolução CD/ANPD nº 2/2022 criou regras mais simples para microempreendedores individuais, microempresas, pequenas empresas e startups, reconhecendo que a realidade operacional é diferente de uma empresa grande.
Preciso nomear um encarregado de dados (DPO)?
Não, se você se enquadra como pequeno negócio (MEI, ME, EPP ou startup), essa é uma das principais flexibilizações da Resolução CD/ANPD nº 2/2022: pequenos negócios estão dispensados da obrigatoriedade de nomear um encarregado formal. Ainda assim, é preciso ter um canal simples pelo qual quem comprou seu curso ou produto consiga falar com você sobre os próprios dados, geralmente um e-mail de contato já resolve.
O que preciso ter na minha página de vendas?
No mínimo:
- Política de privacidade visível, explicando quais dados você coleta (nome, e-mail, CPF, dados de pagamento) e para quê.
- Consentimento explícito para qualquer uso de dados além da compra em si: por exemplo, se você quer colocar o comprador numa lista de e-mail marketing pra ofertas futuras, isso precisa de uma autorização separada, com uma caixa de marcação que a pessoa marca ativamente (nunca pré-marcada).
- Base legal clara para cada tipo de tratamento: a entrega do curso/produto se apoia na execução do contrato de compra; já uma newsletter de ofertas futuras normalmente depende do consentimento.
Posso comprar uma lista de e-mails pronta pra divulgar meu infoproduto?
Não é recomendável, e é um risco real. Enviar e-mail de divulgação pra uma lista que você não coletou diretamente, sem saber se aquelas pessoas consentiram em receber esse tipo de contato, é o tipo de prática que mais gera reclamação formal contra pequenos negócios. A base seguindo a lei é sempre a lista que você mesmo construiu, com consentimento explícito de quem entrou nela.
O que acontece se os dados dos meus alunos vazarem?
Um vazamento de dados (nome, e-mail, CPF de quem comprou seu curso, por exemplo) gera o dever de comunicar a ANPD e os titulares afetados quando o incidente representa risco relevante, mesmo sendo pequeno negócio. A ANPD hoje adota uma postura mais educativa do que punitiva com pequenos negócios: a fiscalização tende a orientar antes de multar, e sanções mais pesadas ficam reservadas a casos de má-fé, reincidência grave ou dano significativo aos titulares. Ainda assim, ignorar um vazamento ou não ter nenhum cuidado básico de segurança (senha fraca na plataforma de vendas, planilha de alunos compartilhada sem proteção) é o tipo de negligência que pesa contra o negócio se o caso for parar na ANPD.
Perguntas frequentes
Minha plataforma de vendas (Hotmart, Kiwify, etc.) já cuida disso por mim?
Parcialmente. A plataforma tem suas próprias obrigações de segurança, mas a responsabilidade pela base legal do tratamento, pelo consentimento de marketing e pela política de privacidade da sua página de vendas continua sendo sua, como criador do produto.
Posso perder o negócio por causa de uma reclamação da LGPD?
Não automaticamente. A ANPD prioriza orientar pequenos negócios antes de aplicar sanções pesadas, exceto em casos graves. O risco real está em ignorar reclamações repetidas ou não corrigir uma falha depois de avisado.
Preciso de contrato ou termo de uso assinado por quem compra?
Termo de uso e política de privacidade aceitos no momento da compra (checkbox de aceite) já cobrem boa parte da exigência. Não é preciso um contrato assinado individualmente para infoprodutos de menor valor, mas vale revisar caso o produto envolva mentoria/consultoria individual com mais troca de dados sensíveis.