ARTIGOS - 2022

De acordo com a competência conferida na Lei Geral de Proteção de Dados a Autoridade Nacional de Proteção de Dados (ANPD), com o intuito de viabilizar a implementação das políticas necessárias para o tratamento de dados por parte dos agentes de pequeno porte, elaborou a Resolução CD/ANPD nº 2, a qual foi publicada no Diário Oficial da União de 28.1.2022 e deverá ser observada pelas microempresas e empresas de pequeno porte.  

​

Referido regulamento, na forma do artigo 2º, define que agentes de tratamento de pequeno porte são as “microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador” (sic).
Podem ser destacadas as seguintes flexibilizações aos agentes de pequeno porte: 

• Não estarem obrigados a indicar o encarregado de tratamento de dados pessoais, conforme exigido no artigo 41 da LGPD, devendo, contudo, indicar um canal de comunicação com o titular de dados;

•  Não obstante a inexigibilidade da indicação de um encarregado pelos agentes de pequeno porte, a resolução em comento registra expressamente que aqueles que se valerem dessa indicação terão reconhecimento em relação à adoção de política de boas práticas e governança, mantendo firme o objetivo de proteger os dados tratados frente aos acessos não autorizados e às situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer outra forma de tratamento inadequado ou ilícito;

• Os agentes de pequeno porte também poderão estabelecer de forma simplificada a sua política de proteção de dados;

•  A ANPD também poderá determinar aos agentes de tratamento de pequeno porte o cumprimento das obrigações dispensadas ou flexibilizadas por intermédio da resolução em comento, considerando situações como a natureza e volume das operações, bem como o risco para os titulares;

•  Os agentes de tratamento em questão seguem obrigados a adotar medidas administrativas e técnicas essenciais e necessárias, baseadas em requisitos mínimos de segurança da informação para proteção dos dados pessoais, levando-se em conta, ainda, o nível de risco à privacidade dos titulares de dados e a realidade do agente de tratamento;

• A concessão de prazo em dobro para atender às exigências dos titulares de tratamento de dados e, também, para comunicar a ocorrência de incidentes de segurança em relação aos quais houver potencial risco de comprometimento à integridade física ou moral dos titulares, ou à segurança nacional;

É relevante destacar, contudo, que - a teor do artigo 3º da norma em comento -, referida resolução não é aplicável aos agentes de pequeno porte que: (i) realizem tratamento de alto risco para os titulares, na forma da lei; (ii) aufiram renda bruta anual superior à R$4.800.000,00 ou, no caso de startups, à R$16.000.000,00; ou (iii) pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites indicados no item (ii).

Diante dessa regulamentação, portanto, os agentes de pequeno porte deverão ter atenção redobrada aos enquadramentos e adequações legais, lembrando que “a dispensa ou flexibilização das obrigações dispostas neste regulamento não isentam os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como direitos dos titulares” (art. 16, Resolução nº 2 CD/ANPD nº 2).

Não restam dúvidas, portanto, que a ANPD foi assertiva ao implementar flexibilizações relacionadas às obrigações aplicáveis aos agentes de pequeno porte, bem como que essa complementação normativa reforça a efetividade da LGPD no Brasil e que todos aqueles que tratam dados pessoais, deverão estar adequados à lei mediante a implementação de políticas efetivas e específicas para o seu negócio, sob pena de não cumprirem e estarem sujeitas às cominações legais que partem desde advertências, multas, publicização de infração, bloqueio dos dados pessoais, até a efetiva eliminação dos dados pessoais constante em sua base.

​

MIRIAM NASCIMENTO CARREIRA - Fevereiro/2022