LGPD para restaurantes: o guia prático de conformidade

A Lei Geral de Proteção de Dados parece assunto de banco e de big tech, até você perceber o que ela considera "tratamento de dados": anotar o nome e o telefone de quem reservou, manter a lista de clientes no WhatsApp, pedir o CPF no programa de fidelidade, gravar o salão com câmeras. Tudo isso é tratamento, e tudo isso acontece todos os dias no seu restaurante.

A boa notícia: a LGPD não foi feita para inviabilizar negócios pequenos, e a própria ANPD criou um regime simplificado para micro e pequenas empresas. A notícia que exige atenção: a primeira multa da história da ANPD caiu justamente sobre uma microempresa, por causa de listas de contatos de WhatsApp. Este guia traduz a lei para a operação real de um restaurante: o que já é tratamento de dados na sua casa, quais bases legais usar em cada situação, o que muda com o regime de pequeno porte, como ficam as câmeras e o Wi-Fi, e o que fazer nas primeiras horas de um vazamento.

O que no seu restaurante já é tratamento de dados

O artigo 5.º, inciso X, da LGPD (Lei 13.709/2018) define tratamento de forma deliberadamente ampla: coleta, recepção, utilização, acesso, armazenamento, arquivamento, eliminação e mais uma dúzia de verbos. Aplicando ao dia a dia de um restaurante, já são tratamento de dados pessoais:

• o livro ou sistema de reservas: nome, telefone, data, número de pessoas, observações;
• as conversas e listas de clientes no WhatsApp, incluindo as listas de transmissão para divulgar a programação da semana;
• o cadastro e o programa de fidelidade: CPF, e-mail, aniversário, histórico de consumo;
• o Wi-Fi para clientes, quando o acesso passa por um portal que pede cadastro;
• as câmeras de segurança: a imagem de uma pessoa identificável é dado pessoal;
• a folha da equipe: dados de funcionários e candidatos também contam, ainda que este guia foque nos clientes.

Repare que o suporte não importa: caderno de papel organizado, planilha, agenda do celular ou software, a lei alcança todos. O que muda é a facilidade de cumprir as obrigações. Quem gerencia reservas em um sistema de reservas online que centraliza os dados dos clientes responde a um pedido de acesso ou de exclusão em minutos; quem tem os mesmos dados espalhados entre cadernos, planilhas e o WhatsApp de três funcionários, não.

Se você ainda está estruturando essa base, o nosso guia sobre a base de dados de clientes do restaurante explica o que guardar, o que evitar e como tratar as alergias, que são dados de saúde. Aqui, vamos direto à camada operacional brasileira: multas reais, regime de pequeno porte, câmeras, Wi-Fi, encarregado e incidentes.

A primeira multa da ANPD foi por listas de WhatsApp

Em 6 de julho de 2023, o Diário Oficial da União publicou a primeira sanção pecuniária da história da Autoridade Nacional de Proteção de Dados. O alvo não foi um banco nem uma rede social: foi a Telekall Infoservice, uma microempresa do Espírito Santo que oferecia listas de contatos de WhatsApp para disparo de mensagens eleitorais. Resultado: duas multas de R$ 7.200 cada, uma por tratar dados sem base legal e outra por não responder à fiscalização, além de uma advertência por não ter indicado encarregado. Total: R$ 14.400.

Os valores parecem pequenos porque a dosimetria da ANPD é proporcional ao porte: para uma microempresa, R$ 7.200 correspondia ao teto aplicável ao caso. A lição para o setor não está no valor, está na escolha do alvo: a estreia do poder sancionador da autoridade foi contra um negócio minúsculo, por causa do uso comercial de listas de WhatsApp, exatamente o tipo de dado que restaurantes acumulam aos milhares. Quem usa as conversas de reserva para disparar promoções sem critério está repetindo, em escala menor, o erro que gerou a primeira multa do país. As regras para fazer isso direito estão no nosso guia de reservas pelo WhatsApp no restaurante.

Dito isso, sejamos precisos sobre o risco real: até a publicação deste artigo, não há registro de sanção da ANPD contra um restaurante ou bar na lista pública de sanções administrativas, e as fiscalizações têm mirado grandes empresas e órgãos públicos. Para um restaurante, o risco mais provável não é a batida da autoridade: são ações individuais de clientes no Juizado Especial após um vazamento, e o estrago de reputação de um episódio público. A conformidade é um seguro barato contra os dois.

O regime de pequeno porte: o que a Resolução 2/2022 simplifica

A Resolução CD/ANPD n.º 2/2022 criou o regime dos "agentes de tratamento de pequeno porte", que abrange microempresas e empresas de pequeno porte nos termos da LC 123/2006, além de startups. A imensa maioria dos restaurantes independentes se enquadra. Na prática, o regime entrega quatro alívios:

1. Registro simplificado das operações (art. 9): o inventário de tratamentos pode seguir o modelo simplificado disponibilizado pela própria ANPD. Para um restaurante, são poucas linhas: reservas, cadastro e fidelidade, marketing, câmeras, folha da equipe.
2. Dispensa de indicar encarregado (art. 11): você não é obrigado a nomear um encarregado de dados. Atenção ao parágrafo 1.º do mesmo artigo, que muita gente esquece: a dispensa não elimina o dever de manter um canal de comunicação com os titulares. Um e-mail dedicado, visível no site e no cardápio digital, resolve.
3. Política de segurança simplificada (art. 13): medidas compatíveis com o porte, como senhas individuais, acessos limitados e backup, em vez de uma burocracia de grande corporação.
4. Prazos em dobro (art. 14): os prazos para responder aos titulares, comunicar incidentes e atender à ANPD contam em dobro. O prazo de 15 dias para a declaração completa de acesso do art. 19 da LGPD, por exemplo, vira 30.

Duas ressalvas para não transformar o alívio em armadilha. Primeiro, o regime simplifica obrigações, não revoga a lei: princípios, bases legais e direitos dos titulares aplicam-se por inteiro a qualquer CNPJ. Segundo, o art. 3.º da resolução exclui do regime quem realiza tratamento de alto risco, como perfilamento em larga escala. Um restaurante que anota reservas e manda e-mail para a própria clientela está longe disso; um grupo que cruza dados de consumo de dezenas de casas para vender publicidade já precisa de outra conversa.

Bases legais na prática: reserva, marketing, câmeras e Wi-Fi

Erro clássico: achar que a LGPD exige consentimento para tudo. O consentimento é uma entre dez bases legais, e frequentemente é a base errada. O mapa para as operações típicas de um restaurante:

Para as comunicações com a clientela, o teste do legítimo interesse é o de bom senso descrito no Guia Orientativo de Legítimo Interesse da ANPD, de fevereiro de 2024: finalidade legítima, necessidade real e expectativa do titular, sempre com o direito de se opor. As mecânicas completas, de segmentação a frequência de envio, estão nos guias de e-mail marketing para restaurantes e de fidelização de clientes no restaurante.

Câmeras: legítimo interesse, aviso visível e retenção curta

Câmeras de segurança são o exemplo típico em que pedir consentimento seria absurdo: ninguém assina termo para entrar no salão. As bases adequadas são o legítimo interesse ou a proteção da vida e da incolumidade física, e o próprio guia da ANPD exige o balanceamento: interesse legítimo (proteger clientes, equipe e patrimônio), necessidade (as câmeras cobrem o necessário, nunca banheiros ou vestiários) e expectativa do titular (todo mundo espera câmera em comércio, desde que avisado).

Traduzindo em três medidas: placa de aviso visível na entrada ("ambiente monitorado por câmeras"), acesso às gravações restrito a quem precisa, e prazo de retenção curto e documentado. A lei não fixa um número de dias; defina um prazo proporcional (o suficiente para tratar um incidente), escreva-o na sua política e cumpra-o. Importante: não existe orientação da ANPD específica para câmeras de restaurante, o que vale é a aplicação dos guias gerais, e é exatamente isso que uma fiscalização ou um juiz verificariam.

Wi-Fi para clientes: o cadastro mínimo

O Wi-Fi gratuito virou cortesia padrão, e o portal de cadastro virou máquina de coletar dados. A regra da minimização vale aqui com força total: para dar acesso à internet, você não precisa de CPF, data de nascimento nem profissão. Se o portal pede e-mail, deixe claro para quê, e nunca condicione o acesso ao aceite de marketing: o opt-in da newsletter é uma escolha separada, com caixinha própria, desmarcada por padrão. Como nas câmeras, não há orientação da ANPD específica para portais de Wi-Fi de restaurantes; aplique os princípios gerais e a regra de ouro: se você não consegue explicar em uma frase para que serve um dado, não o colete.

O encarregado depois da Resolução 18/2024

A Resolução CD/ANPD n.º 18/2024 regulamentou a atuação do encarregado e manteve a dispensa de indicação para os agentes de pequeno porte. Se o seu restaurante é ME ou EPP, portanto, você continua dispensado de nomear um, desde que mantenha o canal de contato com os titulares.

Se você optar por indicar um encarregado mesmo assim (grupos com várias casas, franquias, ou simplesmente para organizar a responsabilidade), as regras são acessíveis:

• a indicação se faz por ato formal escrito, datado e assinado, descrevendo as atribuições;
• o encarregado pode ser pessoa física ou jurídica, interna ou externa: o escritório de contabilidade ou de advocacia que já atende o restaurante pode assumir a função;
• nenhuma certificação é exigida: a resolução afirma expressamente que a atividade não pressupõe registro em entidade nem certificação específica;
• o encarregado pode acumular funções, desde que sem conflito de interesses: o gerente que decide sozinho as campanhas de marketing não deveria ser a mesma pessoa que fiscaliza esse tratamento;
• a comunicação com titulares e com a ANPD deve ser em português, e a identidade e o contato do encarregado devem ser divulgados publicamente, em geral no site.

Para a maioria dos restaurantes independentes, a conta é simples: mantenha o canal de contato obrigatório (um e-mail do tipo privacidade@seurestaurante.com.br já cumpre o papel) e deixe a nomeação formal para quando a operação crescer.

Vazou: o que fazer e em quanto tempo

Um notebook furtado com a planilha de clientes, um celular da casa perdido com o WhatsApp aberto, um sistema invadido: incidente de segurança não é hipótese remota, é questão de tempo. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD n.º 15/2024) define o roteiro:

1. Contenha e registre. Troque senhas, revogue acessos, bloqueie o aparelho perdido. Anote data, hora, o que aconteceu e quais dados foram afetados: essa linha do tempo é a sua defesa.
2. Avalie o risco. A comunicação à ANPD e aos titulares só é obrigatória quando o incidente pode acarretar risco ou dano relevante aos titulares: dados sensíveis, volume grande, possibilidade de fraude. Um caderno de reservas molhado não é notificável; uma base de cadastro com CPF exposta na internet, sim.
3. Comunique no prazo. O prazo geral é de 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais. Para agentes de pequeno porte, ele conta em dobro: 6 dias úteis. Informações que faltarem podem ser complementadas em até 20 dias úteis, de forma fundamentada.
4. Use o formulário oficial. A comunicação à ANPD se faz pelo formulário eletrônico da autoridade, e a comunicação aos titulares deve ser direta e em linguagem clara: o que vazou, o que você fez, o que a pessoa deve fazer (trocar senha, desconfiar de contatos estranhos).

O reflexo errado é o silêncio. Um vazamento comunicado no prazo, com boa-fé documentada, pesa muito menos, na ANPD e em uma eventual ação de cliente, do que o mesmo vazamento descoberto pela imprensa meses depois.

Checklist de conformidade do restaurante pequeno

A conformidade de um restaurante ME ou EPP cabe em uma tarde de trabalho e nesta lista:

1. Inventarie onde vivem os dados de clientes: sistema de reservas, planilhas, cadernos, WhatsApp, portal do Wi-Fi, gravações das câmeras. Preencha o registro simplificado no modelo da ANPD.
2. Elimine as cópias soltas: exportações de planilha em vários computadores e listas no celular pessoal da equipe são o seu maior risco.
3. Publique uma política de privacidade curta e honesta no site e no cardápio digital: quais dados, para quê, por quanto tempo, como exercer os direitos.
4. Crie o canal do titular: um e-mail dedicado, visível, com alguém responsável por responder (lembrando dos prazos em dobro do pequeno porte).
5. Separe o marketing do serviço: reserva não exige consentimento; newsletter para não clientes exige; promoções para a clientela existente pedem opção de descadastro em toda mensagem.
6. Sinalize as câmeras e defina a retenção das gravações por escrito.
7. Enxugue o portal do Wi-Fi: peça o mínimo, desatrele o acesso do aceite de marketing.
8. Trate alergias como dado de saúde: declaração espontânea, uso restrito à refeição, purga periódica.
9. Prepare o plano de incidente: quem faz o quê, o formulário da ANPD nos favoritos, os prazos de 3 e 6 dias úteis anotados.
10. Formalize o contrato com os fornecedores de software que hospedam seus dados: na LGPD eles são operadores, e tratam dados sob as suas instruções.

Sejamos honestos: o risco mora na planilha e no WhatsApp do gerente

Nenhum restaurante vai ser multado por ter um sistema de reservas. O cenário que produz vazamento, reclamação e processo é outro: a base de clientes exportada para uma planilha que circula por e-mail, a lista de transmissão no WhatsApp pessoal de um gerente que amanhã pode estar trabalhando no concorrente, o caderno de reservas de 2023 esquecido em uma gaveta. A LGPD não pune a tecnologia; ela expõe a desorganização.

Um sistema com dados centralizados resolve a parte estrutural do problema: os dados entram estruturados, ficam em um único lugar com acessos controlados, e atender um cliente que pede a exclusão dos próprios dados leva minutos. No ViteUneTable, a base de clientes pertence ao restaurante, a versão gratuita é ilimitada e com 0% de comissão por cliente, e o Pack Standard (29 € sem IVA por mês, cobrado em euros, com fatura que varia com o câmbio e sem boleto) acrescenta os lembretes automáticos por e-mail. E a honestidade de sempre: nenhum software torna o seu restaurante "conforme à LGPD" sozinho. A responsabilidade de controlador é sua; uma ferramenta bem desenhada só a torna administrável no meio do serviço de sábado.

Nota para leitores de Portugal: este artigo trata exclusivamente do Brasil. Em Portugal aplica-se o RGPD europeu, fiscalizado pela CNPD, com regras e prazos diferentes; o essencial para restaurantes portugueses está no nosso guia sobre a base de dados de clientes do restaurante, que cobre os dois países lado a lado.

Perguntas frequentes

A LGPD se aplica a restaurantes pequenos?

Sim, integralmente. Não existe isenção por porte: princípios, bases legais e direitos dos titulares valem para qualquer CNPJ. O que existe é o regime da Resolução CD/ANPD 2/2022, que simplifica obrigações para micro e pequenas empresas: registro de operações simplificado, dispensa de encarregado, política de segurança proporcional e prazos contados em dobro.

A ANPD já multou algum restaurante?

Não há registro de sanção da ANPD contra restaurantes ou bares na lista pública de sanções da autoridade até a publicação deste artigo. A primeira multa da história, porém, atingiu uma microempresa por uso de listas de WhatsApp, a Telekall Infoservice, em 2023. Para restaurantes, o risco prático mais relevante são ações individuais de clientes após vazamentos e o dano de reputação, não a fiscalização direta.

Posso usar os contatos de reserva do WhatsApp para enviar promoções?

Para quem já é seu cliente, o legítimo interesse pode amparar comunicações sobre a sua própria casa, desde que a pessoa possa pedir para sair da lista a qualquer momento e o volume seja razoável. Comprar listas de terceiros ou disparar mensagens em massa para desconhecidos é outra história: foi exatamente o tipo de prática por trás da primeira multa da ANPD.

Preciso do consentimento dos clientes para as câmeras de segurança?

Não. As bases adequadas são o legítimo interesse ou a proteção da vida e da incolumidade física, nunca o consentimento individual. As condições: aviso visível na entrada, cobertura proporcional (jamais banheiros ou vestiários), acesso restrito às gravações e prazo de retenção curto, definido por escrito.

Posso nomear meu contador como encarregado de dados?

Pode. A Resolução CD/ANPD 18/2024 admite encarregado pessoa física ou jurídica, interno ou externo, sem exigência de certificação, e permite o acúmulo de funções desde que não haja conflito de interesses. A indicação se faz por ato formal escrito, e a identidade e o contato do encarregado devem ser divulgados publicamente. Se o seu restaurante é ME ou EPP, a nomeação segue dispensada; o canal de contato com os titulares, não.

Em quanto tempo devo comunicar um vazamento de dados?

Quando o incidente puder causar risco ou dano relevante aos titulares, a comunicação à ANPD e aos afetados deve ocorrer em 3 dias úteis a contar do conhecimento do impacto sobre dados pessoais, prazo que dobra para 6 dias úteis para agentes de pequeno porte, conforme a Resolução CD/ANPD 15/2024. Informações faltantes podem ser complementadas em até 20 dias úteis. Documente tudo desde a primeira hora: a linha do tempo é a sua melhor defesa.