ANPD publica Resolução sobre aplicação da LGPD para agentes de tratamento de pequeno porte

A Autoridade Nacional de Proteção de Dados (ANPD) publicou, no Dia Internacional da Proteção de Dados (28 de janeiro), a Resolução n.º 02/2022, que regulamenta a aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) para agentes de pequeno porte. O documento define agentes de pequeno porte como sendo: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais.

A Resolução, que já está em vigor, visa apresentar procedimentos simplificados e diferenciados para os referidos agentes. Seu propósito é facilitar a conformidade de agentes de tratamento de pequeno porte, trazendo equilíbrio entre o ônus regulatório da LGPD e o porte das organizações.

Em agosto de 2020, a ANPD publicou a minuta da Resolução, a qual foi submetida a Consulta Pública. Algumas disposições da minuta não foram mantidas na versão final da Resolução, como: (i) a dispensa aos agentes de tratamento de manter registros de tratamento de dados pessoais, (ii) a possibilidade de apresentar o relatório de impacto à proteção de dados pessoais simplificado e (iii) a faculdade aos agentes de tratamento de optar entre anonimizar, bloquear ou eliminar dados pessoais quando o titular exercer o direito previsto no artigo 18, IV, da LGPD.

Entre os principais pontos da Resolução estão:

• A dispensa de nomeação do Encarregado pelo Tratamento de Dados Pessoais, apesar de considerá-la boa prática para atenuar eventual sanção administrativa, nos termos do artigo 52, §1º, IX, da LGPD;
• Prazo em dobro para atendimento às solicitações dos titulares de dados e fornecimento de declaração clara e completa de que trata o artigo 19, II, da LGPD, bem como para comunicação à ANPD e aos titulares da ocorrência de incidentes de segurança, salvo quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional;
• A elaboração e manutenção simplificada de registros das operações de tratamento de dados pessoais;
• A comunicação de incidente de segurança à ANPD de forma simplificada; e
• O estabelecimento de uma política simplificada de segurança da informação, que contemple os requisitos mínimos para o tratamento de dados pessoais.
  

O tratamento diferenciado não será aplicado aos agentes de tratamento de pequeno porte que realizem tratamento de alto risco para os titulares ou que aufiram receita bruta superior ao limite estabelecido na Lei Complementar n.º 123/2006 ou, no caso de startups, na Lei Complementar n.º 182/2021, ou pertençam a grupo econômico cuja receita global ultrapasse esses valores.

Em relação ao tratamento de dados pessoais que será considerado de alto risco, o regulamento determina que este deve atender cumulativamente a pelo menos um critério geral e um critério específico:

Critérios gerais:

• tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando-se o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado; ou
• tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais dos titulares, caracterizado quando impedir o exercício de direitos ou a utilização de um serviço, assim como quando puder ocasionar danos materiais ou morais aos titulares.

Critérios específicos:

• uso de tecnologias emergentes ou inovadoras;
• vigilância ou controle de zonas acessíveis ao público;
• decisões tomadas unicamente com base em tratamento automatizado de dados pessoais; ou
• utilização de dados pessoais sensíveis ou de dados pessoais de crianças, de adolescentes e de idosos.

A despeito da importância da Resolução para facilitar a conformidade de agentes de tratamento de pequeno porte à LGPD, muitos pontos relevantes ainda estão pendentes de regulamentação, como uma definição mais clara acerca do que será considerado como tratamento de dados pessoais de alto risco. Sobre o tema, o §3º do artigo 4º prevê que a ANPD poderá disponibilizar guias e orientações para auxiliar os agentes de tratamento na avaliação de tratamentos de alto risco.
A ANPD deverá ainda (i) fornecer modelos para o registro simplificado das atividades de tratamento de dados pessoais, (ii) dispor sobre a flexibilização ou procedimento simplificado de comunicação de incidente de segurança, bem como (iii) divulgar guias orientativos com recomendações e boas práticas sobre questões de segurança da informação.

Encerrando as atividades da Semana da Proteção de Dados, a ANPD também publicou o Guia Orientativo sobre o "Tratamento de Dados Pessoais pelo Poder Público" [1]. O documento, de 26 páginas, traz diretrizes para auxiliar órgãos e entidades do Poder Público nas suas atividades de tratamento, além de indicar as bases legais mais comuns, com exemplos práticos de sua aplicabilidade de forma didática e acessível.

• Você pode acessar a Resolução n.º 02/2022 aqui.
  
• Para acessar o Guia orientativo clique aqui.
  

Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity. Clique aqui para ler outras notícias de fevereiro de 2022.

NOTAS:

[1] https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-poder-publico-anpd-versao-final.pdf