Resolução ANPD nº 2 de 27 de janeiro de 2022 – Aplicação da Lei Geral de Proteção de Dados Pessoais para Agentes de Pequeno Porte

A Resolução 02/2022 do Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD) aprovou o Regulamento de Aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) para agentes de tratamento de pequeno porte. Para LGPD, são considerados agentes de pequeno porte: (i) microempresa com receita bruta anual igual ou inferir a R$ 360.000,00 e empresa de pequeno porte com receita bruta anual superior a R$ 360.000,00 e igual ou inferior a R$ 4.800.000,00 (nos termos do art. 3º e 18-A da Lei Complementar nº 123/2006); (ii) startups (nos termos do Capítulo II da Lei Complementar nº 182, de 1º de junho de 2021); e (iii) pessoas naturais e entes privados despersonalizados.   Menciona-se, todavia, que a referida Resolução tem uma concepção bem mais limitada do conceito de agente de tratamento de pequeno porte em relação à consulta pública.

Essa regulamentação teve por objetivo a flexibilização das obrigações dispostas na LGPD para agentes de tratamento de pequeno porte, sendo que as principais diferenças estão nas obrigações relacionadas aos direitos do titular de dados, no registro das atividades que envolvem dados pessoais e na indicação de encarregado pelo tratamento de dados pessoais.

É válido mencionar que a ANPD excetua o tratamento jurídico diferenciado disposto no Regulamento aos agentes de tratamento de pequeno porte que realizem atividade considerada de alto risco para os titulares (e.g. tratamento de dados pessoais em larga escala ou que possam afetar os interesses fundamentais do titular de dados; tratamento de dados que envolva o uso de novas tecnologias; tratamento de dados pessoais sensíveis ou de crianças, adolescentes ou idosos; etc.); ou que pertença a grupo econômico com receita global superior aos limites impostos.

Com relação aos direitos do titular de dados, será facultado ao agente de tratamento de pequeno porte escolher a forma que disponibilizará as informações solicitadas pelo titular de dados desde que assegure os direitos previstos na LGPD. Não sendo, portanto, obrigado a disponibilizar de forma impressa ou eletrônico nos moldes previstos nos artigos 9º a 18º da LGPD.

Quanto a obrigação da manter inventário contendo a descrição detalhada dos processos que envolvem tratamento de dados pessoais, nos termos do artigo 37 da LGPD, o agente de pequeno pode poderá cumprir essa obrigação de forma simplificada e menos burocrática através de modelo a ser fornecido pela própria ANPD. Em relação ao encarregado, a ANPD decidiu por isentar os agentes de pequeno porte da obrigação de indicação formal de pessoa responsável pela proteção de dados, desde que seja disponibilizado um canal próprio de comunicação com o titular de dados pessoais.

Além do acima disposto, vale ressaltar que os agentes de tratamento de pequeno porte também contam com prazos diferenciados para cumprimento de obrigações e a adoção de técnicas menos complexas com relação a segurança da informação.

Como pode-se observar, a ideia da ANPD foi de simplificar para os agentes de tratamento de pequeno porte o processo a adequação à LGPD, para evitar custos e tempo desproporcionais  às atividade desses agentes.

Este Boletim foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.