MEI Precisa Seguir a LGPD? O Que a Lei Exige de Quem Guarda Dados de Clientes

A Lei de Proteção de Dados Vale Para Quem Tem MEI?

Sim, o MEI precisa seguir a LGPD quando guarda dados de clientes na atividade profissional, como nome, telefone, endereço e ficha de atendimento. A ANPD trata o MEI como agente de pequeno porte e dispensa obrigações, como indicar encarregado, se não houver alto risco. Os direitos dos clientes continuam valendo.

Você anota o telefone da cliente no caderno de agendamentos. Guarda o endereço de entrega numa planilha. Tem uma lista de contatos no WhatsApp com quem já comprou. Se atende no corpo, talvez preencha uma ficha com alergias e problemas de saúde antes de cada procedimento. Tudo isso é dado de gente de verdade, e a Lei Geral de Proteção de Dados, a LGPD, tem regra sobre o que se faz com esse tipo de informação.

Fica a pergunta se essa lei é assunto de grande empresa, de banco e de loja virtual, e não de quem trabalha sozinha com CNPJ de MEI. A resposta oficial está em dois documentos: a própria Lei 13.709/2018 e uma resolução da Agência Nacional de Proteção de Dados (ANPD, chamada de Autoridade Nacional até uma lei de 2026 mudar o nome) feita justamente para os negócios pequenos. Este artigo organiza o que os dois dizem, sem jargão, e mostra onde a lei toca a rotina de quem atende clientes.

Uma observação antes de seguir: este texto apresenta o que consta na lei e nas normas da ANPD e não substitui a orientação de uma advogada especializada. Onde a resposta depende de interpretação, isso fica sinalizado.

O Que Conta Como Dado Pessoal no Dia a Dia de Uma MEI?

A LGPD define dado pessoal como qualquer informação relacionada a uma pessoa natural identificada ou identificável. Isso é bem mais amplo do que parece. No seu negócio, entram nessa definição:

• nome, telefone, e-mail e endereço da cliente;
• CPF, quando você pede para emitir nota;
• foto da cliente, inclusive a de “antes e depois”;
• o histórico de compras ou de atendimentos dela;
• o número que aparece na sua lista de transmissão do WhatsApp.

A lei também define banco de dados como um conjunto estruturado de dados pessoais, em suporte eletrônico ou físico. Ou seja, o caderno de agendamentos, a pasta com fichas em papel e a planilha do celular são, para a lei, bancos de dados. Não importa se está no computador ou numa gaveta.

E os dados sensíveis?

Existe uma categoria com proteção reforçada: o dado pessoal sensível. A lei lista, entre eles, os dados sobre origem racial ou étnica, convicção religiosa, opinião política, vida sexual e saúde. É aqui que entra a ficha de anamnese, aquele formulário em que a cliente informa alergias, doenças, uso de medicamentos e gravidez antes de um procedimento. O artigo sobre lash designer MEI cita essa ficha como parte da rotina de atendimento, e o artigo sobre a massoterapeuta que atende em domicílio traz o histórico de saúde da cliente como item administrativo. Para a LGPD, essas informações são dados de saúde, e a lei trata o tratamento deles com regras próprias, como veremos mais adiante.

Quem é o “controlador” dos dados?

A lei chama de controlador a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento dos dados. Quando é você quem decide quais informações pedir, como guardar e para que usar, você é a controladora dos dados das suas clientes. Se contrata uma plataforma ou um aplicativo que guarda esses dados por você, essa empresa pode ser operadora, que é quem trata os dados em nome de quem decide, e o papel de cada uma depende do contrato e de como o serviço funciona.

A LGPD Vale Mesmo Para MEI ou Só Para Empresa Grande?

Vale. A lei só deixa de se aplicar, entre outras hipóteses do artigo 4º, ao tratamento de dados feito por pessoa natural para fins exclusivamente particulares e não econômicos. Quem guarda dados de clientes para tocar um negócio tem fim econômico, e por isso está dentro da lei.

O que existe para o pequeno negócio é um tratamento diferenciado. Em janeiro de 2022, a ANPD aprovou a Resolução CD/ANPD nº 2, o regulamento da LGPD para os chamados agentes de tratamento de pequeno porte. O artigo 2º, inciso II, do regulamento aprovado por essa resolução (os artigos citados daqui em diante são desse regulamento) inclui, de forma expressa, o microempreendedor individual dentro da categoria de microempresas e empresas de pequeno porte, desde que esteja devidamente registrado e se enquadre nos limites da Lei Complementar 123/2006.

Ou seja: o MEI precisa seguir a LGPD, mas com regras mais leves em vários pontos. É essa flexibilização que a próxima seção detalha.

O Que a ANPD Dispensa ou Facilita Para o MEI?

A resolução da ANPD lista dispensas e simplificações. O quadro abaixo reúne as principais, com o artigo em que cada uma aparece:

O que a resolução não faz é isentar o MEI da lei. O artigo 6º diz que a dispensa ou flexibilização das obrigações não isenta o pequeno porte do cumprimento dos demais dispositivos da LGPD, incluindo as bases legais, os princípios e os direitos dos titulares. Na prática, as clientes têm os mesmos direitos, e o que muda é o jeito mais simples de cumprir as obrigações.

Como Ficam o Canal de Contato, o Registro e a Segurança Na Prática?

A resolução fala em “canal de comunicação” e em “registro simplificado”, mas não dita um formato único. Vale olhar cada um com o que o texto oficial permite.

Canal de comunicação. Como o MEI não precisa indicar encarregado, precisa oferecer um meio para a cliente falar sobre os dados dela. A resolução aceita meio eletrônico, impresso ou qualquer outro que garanta acesso facilitado às informações. Um e-mail, um número de WhatsApp de atendimento ou um aviso impresso no local de atendimento, com a forma de contato, são exemplos dentro do que o texto admite.

Registro das operações. É uma lista simples do que você faz com os dados: quais informações coleta (nome, telefone, ficha de saúde), para que usa (agendar, entregar, emitir nota), com quem compartilha (a plataforma de agendamento, a transportadora) e por quanto tempo guarda. A resolução previu que a ANPD forneceria um modelo para esse registro simplificado, e a ANPD já disponibiliza esse modelo em seu site.

Segurança. O artigo 12 exige medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação, considerando o nível de risco para quem tem os dados e a realidade do negócio. O artigo 13 permite uma política simplificada. A ANPD publicou, em outubro de 2021, um guia orientativo de segurança da informação para agentes de pequeno porte, com exemplos como manter documentos físicos que contêm dados pessoais dentro de gavetas, e não sobre as mesas, não compartilhar logins e senhas e bloquear os computadores. A resolução diz que seguir as orientações e boas práticas divulgadas pela ANPD, inclusive por guias, será considerado como observância do artigo 52, § 1º, inciso VIII, da LGPD, que é um dos critérios que a lei manda considerar na hora de aplicar uma sanção.

Quando o MEI Deixa de Ter Esse Tratamento Diferenciado?

O artigo 3º da resolução lista três situações em que o pequeno porte não pode usar as flexibilizações:

1. quando realiza tratamento de alto risco para os titulares;
2. quando a receita bruta ultrapassa o limite da Lei Complementar 123/2006 para o pequeno porte;
3. quando pertence a um grupo econômico cuja receita global ultrapassa esses limites.

O primeiro ponto é o que se liga à ficha de saúde. O artigo 4º define o alto risco de forma cumulativa: é preciso atender a pelo menos um critério geral e um critério específico.

• Critérios gerais: tratamento em larga escala, ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares.
• Critérios específicos: uso de tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões tomadas unicamente por tratamento automatizado ou uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.

Pela redação da resolução, usar dado sensível, como a ficha de saúde, atende a um critério específico, mas sozinho não configura alto risco: é preciso também um critério geral, como a larga escala. A própria resolução explica que larga escala considera o número significativo de titulares, o volume de dados, a duração, a frequência e a extensão geográfica do tratamento. Uma profissional que atende poucas clientes por semana e outra que mantém uma base enorme de fichas não estão na mesma posição, e é essa análise que a norma pede. Se a sua atividade se aproxima desse limite, a avaliação do caso concreto é de uma advogada.

Um detalhe adicional está no artigo 16: a ANPD pode determinar que um agente de pequeno porte cumpra obrigações que a resolução dispensou, considerando a natureza ou o volume das operações e os riscos para os titulares. A flexibilização, portanto, não é garantia definitiva.

Preciso do Consentimento da Cliente Para Guardar os Dados Dela?

Nem sempre. É preciso desfazer a ideia de que todo tratamento de dado exige que a pessoa assine uma autorização. O artigo 7º da lei lista dez hipóteses em que o tratamento é permitido, e o consentimento é apenas a primeira delas. Entre as demais, as que aparecem na rotina de quem atende clientes são:

• Execução de contrato ou procedimentos preliminares a pedido do titular: guardar nome, telefone e endereço para agendar um serviço ou entregar uma encomenda que a cliente pediu.
• Cumprimento de obrigação legal ou regulatória: dados que a lei exige para emitir nota fiscal, por exemplo. Para entender quando isso acontece, veja o artigo sobre quando o MEI emite nota fiscal.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral: guardar o registro de um serviço para se defender de uma reclamação.
• Legítimo interesse do controlador ou de terceiro: com o limite de que não prevaleçam direitos e liberdades fundamentais da pessoa.

Cada tratamento precisa de uma base legal identificável, e a escolha de qual base se aplica ao seu caso é uma análise jurídica, que a lei não faz por você.

E a ficha de saúde da cliente?

Para dados sensíveis, o artigo 11 da lei tem hipóteses próprias. A primeira é o consentimento do titular, que deve ser dado “de forma específica e destacada, para finalidades específicas”. Sem consentimento, a lei admite o tratamento em situações como cumprimento de obrigação legal, exercício regular de direitos e proteção da vida.

Há também a hipótese de tutela da saúde, mas o texto da lei a limita a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária. Se uma profissional de estética, de massagem ou de cílios se encaixa nessa descrição é uma questão de enquadramento, e nenhuma norma citada neste artigo responde isso de forma expressa. Por isso, quem trabalha com ficha de saúde deve tratar esse ponto com uma advogada.

O Que a Cliente Pode Pedir e em Quanto Tempo?

O artigo 18 da LGPD garante à cliente, a qualquer momento e mediante requisição, direitos como:

• confirmar se existe tratamento dos dados dela;
• acessar os dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com o consentimento dela;
• saber com quem os dados foram compartilhados;
• revogar o consentimento.

O pedido é feito por requerimento expresso, e a lei diz que ele é atendido sem custos para a cliente. Quanto aos prazos, a lei prevê a confirmação ou o acesso em formato simplificado de forma imediata, ou por declaração completa em até 15 dias. Para o pequeno porte, a resolução da ANPD prevê a declaração simplificada em até 15 dias (artigo 15) e prazo em dobro para a declaração completa (artigo 14, inciso III). Para os demais pedidos do artigo 18, a lei remete a prazos previstos em regulamento, e o texto oficial consultado não fixa um número de dias para eles.

Se não for possível atender de imediato, a lei permite que o controlador envie uma resposta indicando as razões de fato ou de direito que impedem a providência, ou informando que não é o agente de tratamento daqueles dados.

Por quanto tempo posso guardar os dados?

A lei diz que o tratamento termina, entre outras hipóteses, quando a finalidade foi alcançada ou quando os dados deixaram de ser necessários. Depois disso, os dados são eliminados, com algumas exceções previstas no artigo 16, entre elas a conservação para cumprimento de obrigação legal ou regulatória. Os dados que uma lei específica obriga a manter seguem o prazo que essa lei define, e os demais seguem a finalidade para a qual foram coletados. A LGPD não fixa um número único de dias.

E Se os Dados Vazarem? Celular Perdido, Planilha Enviada Para a Pessoa Errada

A regulamentação da ANPD define incidente de segurança como qualquer evento adverso confirmado, relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade da segurança de dados pessoais. Um celular perdido com a lista de clientes desbloqueada, uma planilha mandada para o contato errado ou uma conta invadida podem se encaixar nesse conceito, dependendo do que de fato aconteceu.

A comunicação à ANPD e aos titulares é regulada pela Resolução CD/ANPD nº 15/2024. O prazo geral é de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. Para os agentes de pequeno porte, esse prazo é contado em dobro, ou seja, seis dias úteis, conforme a própria Resolução nº 15/2024 (artigo 6º, § 8º, para a comunicação à ANPD, e artigo 9º, § 6º, para a comunicação ao titular). A Resolução nº 15 também reescreveu o inciso II do artigo 14 do regulamento do pequeno porte, que agora remete a ela.

Nem todo incidente exige comunicação. O gatilho é o incidente que possa acarretar risco ou dano relevante aos titulares. O artigo 5º da Resolução nº 15 define isso como a possibilidade de afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver ao menos um destes tipos de dado: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal, judicial ou profissional, ou dados em larga escala. Como a ficha de saúde é dado sensível, esse critério aparece para quem trabalha com ela. Avaliar se um caso específico chega ao nível de risco relevante é uma análise que cabe a uma advogada.

Qual É a Sanção Para Quem Descumpre a LGPD?

Entre as sanções administrativas que o artigo 52 da lei prevê para a ANPD aplicar estão:

• advertência, com prazo para adotar medidas corretivas;
• multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração;
• multa diária, dentro do mesmo limite;
• publicização da infração depois de apurada e confirmada;
• bloqueio dos dados a que se refere a infração até a regularização;
• eliminação dos dados a que se refere a infração;
• suspensão parcial do banco de dados, suspensão da atividade de tratamento e proibição de atividades relacionadas a tratamento, que só podem ser aplicadas depois de já ter sido aplicada ao menos uma das sanções dos incisos II a VI para o mesmo caso (artigo 52, incisos X a XII e § 6º).

A lei diz que as sanções são aplicadas de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto (artigo 52, § 1º). Entre os critérios que ela manda considerar estão a adoção de mecanismos internos capazes de minimizar o dano e a adoção de política de boas práticas e governança (incisos VIII e IX), e a resolução do pequeno porte liga a política simplificada de segurança e as boas práticas da ANPD a esses critérios (artigos 12 e 13). Ou seja, a organização básica descrita ali conta na hora em que a ANPD decide qual sanção aplicar. A lei fala em faturamento da pessoa jurídica, e como esse teto se aplica ao empresário individual é ponto para uma advogada.

Como a LGPD Aparece na Rotina de Cada Profissão?

Alguns exemplos de como os conceitos da lei aparecem em profissões que já têm artigo no blog. Eles não substituem a análise do seu caso, servem para mostrar onde o tema aparece:

• Estética, cílios, massagem e podologia: a ficha de anamnese contém dado de saúde, que a lei classifica como dado sensível. É o ponto de maior atenção, pelo que vimos nos artigos 5º e 11 da lei.
• Confeitaria, doces e comida por encomenda: nome, telefone e endereço de entrega são dados pessoais comuns. O tratamento pode se enquadrar na execução da encomenda pedida pela cliente.
• Fotografia e antes e depois: foto de pessoa identificável é dado pessoal. O uso da imagem para divulgação também envolve regras de direito de imagem, que são outro tema e pedem orientação jurídica.
• Venda pelo Instagram e pelo WhatsApp: a lista de contatos e o histórico de conversas são dados pessoais. O artigo sobre como o MEI vende pelo Instagram e pelo WhatsApp explica a parte de nota fiscal e obrigações dessa forma de venda.

Cuidar do Dado da Cliente É Parte de Cuidar do Seu Negócio

A LGPD parece um assunto distante quando se trabalha sozinha, mas ela olha para algo que a MEI já faz todos os dias: guardar informação de quem confia nela. O que a lei e a ANPD pedem do pequeno porte cabe em poucas perguntas. Você guarda dados de clientes? Sabe para que cada um serve? Há um jeito de a cliente falar com você sobre eles? Onde ficam guardados e quem tem acesso?

Com essas respostas, a maior parte do caminho está feita. O resto é análise de caso, e ela é de uma advogada. Para conhecer as regras gerais que valem para toda mulher com CNPJ de MEI, o Guia Completo do MEI para Mulher reúne o passo a passo do começo ao fim. E para conhecer a origem e o contexto da lei, a Wikipédia tem uma página sobre a Lei Geral de Proteção de Dados Pessoais.

Perguntas Frequentes

O MEI precisa nomear um encarregado de dados (DPO)?

Não. O artigo 11 da Resolução CD/ANPD nº 2/2022 diz que os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado. Quem não indica precisa disponibilizar um canal de comunicação com o titular dos dados. A indicação voluntária de um encarregado é considerada pela ANPD como política de boas práticas e governança.

Preciso ter um site com política de privacidade?

A resolução não exige um site. O artigo 7º diz que as informações sobre o tratamento e o atendimento dos pedidos podem ser disponibilizados por meio eletrônico, impresso ou por qualquer outro meio que assegure o acesso facilitado da cliente às informações. O que a lei exige é que a cliente consiga saber como os dados dela são tratados, e não um formato específico de documento.

A LGPD vale se eu só anoto os dados de clientes no caderno de papel?

Vale. A lei define banco de dados como conjunto estruturado de dados pessoais em suporte eletrônico ou físico. Um caderno de agendamentos ou uma pasta de fichas em papel se encaixa nessa definição, e as regras de segurança valem também para eles.

Posso guardar o número de WhatsApp da cliente sem pedir autorização?

O consentimento é uma das dez hipóteses do artigo 7º, mas não é a única. Guardar o telefone para agendar ou entregar algo que a cliente pediu costuma se enquadrar na execução de contrato ou de procedimentos preliminares a pedido dela. Já enviar mensagens de divulgação exige avaliar a base legal aplicável, e essa avaliação é jurídica.

Preciso de autorização para postar a foto do antes e depois?

A foto de uma pessoa identificável é dado pessoal, e a divulgação exige uma base legal na LGPD. O uso da imagem também envolve regras de direito de imagem, que não são da LGPD e devem ser conferidas com uma advogada. A lei não dá uma resposta única, porque depende de como a pessoa aparece na imagem e de para que ela é usada.

Quanto tempo posso guardar a ficha da cliente?

A lei diz que os dados devem ser eliminados quando a finalidade foi alcançada ou quando deixam de ser necessários, com exceções, como a conservação para cumprimento de obrigação legal ou regulatória. O prazo depende do tipo de dado e da finalidade, e a lei não fixa um número único para todos os casos.

NOTA INFORMATIVA: Este artigo apresenta informações baseadas na Lei nº 13.709/2018 (LGPD) e nas resoluções da ANPD vigentes em setembro de 2026. As normas podem mudar, e a ANPD pode publicar novos guias e modelos para o pequeno porte. Antes de decidir como tratar dados de clientes, sobretudo dados de saúde, confirme a sua situação com uma advogada especializada em proteção de dados.

📚 Fontes consultadas: Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigos 4º, 5º, 7º, 11, 15, 16, 18, 19 e 52; Resolução CD/ANPD nº 2/2022 (regulamento para agentes de tratamento de pequeno porte); Resolução CD/ANPD nº 15/2024 (comunicação de incidente de segurança); Lei nº 15.352/2026 (Agência Nacional de Proteção de Dados); Guia Orientativo de Segurança da Informação para agentes de tratamento de pequeno porte (ANPD, 2021); Lei Complementar nº 123/2006; Agência Nacional de Proteção de Dados (gov.br/anpd).

Fernanda Albuquerque

+ postsBio ⮌

Fernanda Albuquerque é especialista em conteúdos sobre MEI e empreendedorismo feminino. É a criadora do meiparamulheres.com.br, um blog dedicado a ajudar mulheres a entenderem o MEI de forma simples, prática e sem burocracia.

• Fernanda Albuquerque

  Perdão de Dívida do MEI Virou Lei: Como Vai Funcionar e Quem Tem Direito
• Fernanda Albuquerque

  Trancista Pode Ser MEI? CNAE, Ocupação Oficial e Valor do DAS
• Fernanda Albuquerque

  MEI Tem Pró-Labore? Quanto a MEI Pode Tirar do Negócio Por Mês
• Fernanda Albuquerque

  Pode Cobrar Sinal Para Agendamento? O Que a Lei Diz Quando a Cliente Falta