Artigo Jurídico – ASBRAV
No final de janeiro último, a Autoridade Nacional de Proteção de Dados (ANPD) publicou a Resolução n.º 2/2022, regulamentando a aplicação da Lei Geral de Proteção de Dados (Lei n.º 13.709 de 2018 – LGPD) aos agentes de tratamento de pequeno porte, encerrando uma dúvida que persistia no meio empresarial.
O dilema existia porque a LGPD, desde 2019, expressamente prevê que microempresas e empresas de pequeno porte teriam tratamento diferenciado com relação às exigências de adequação, mas não se sabia como seria na prática. Assim, a Resolução n.º 2 esclareceu que as microempresas e empresas de pequeno porte precisam sim se preocupar com o tratamento de dados pessoais e buscar adequação à Lei, mas através de um processo simplificado.
Nesse sentido, a Resolução define que estão inseridos dentro do gênero “agentes de tratamento de pequeno porte” as microempresas (inclusive MEIs), empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais (a exemplo de condomínios).
O faturamento de tais organizações, para o enquadramento nas definições de microempresas e empresas de pequeno porte, deve respeitar a previsão da Lei Complementar n.º 123/2006 (Lei do Simples Nacional), que limita em R$ 360.000,00 e R$ 4.800.000,00, respectivamente.
Em caso de startups, esta se beneficiará do tratamento diferenciado da Resolução somente se preencher os requisitos do Marco Legal das Startups (LC n.º 182): (a) receita bruta até R$ 16.000.000,00 no último ano calendário (ou R$ 1.333.334,00 x n.º meses de existência quando inferior a 12 meses); (b) ter até 10 (dez) anos de inscrição no CNPJ; e (c) declaração de utilização de modelos inovadores (Lei 10.973/2004) ou enquadramento no Inova Simples.
Importante deixar claro que não basta a organização estar enquadrada em uma das hipóteses acima para usufruir das benesses da Resolução. O seu artigo 3º exclui as organizações que realizem tratamento de alto risco para os titulares e pertençam a qualquer tipo de grupo econômico.
Didaticamente, a Resolução esclarece que o tratamento de alto risco para os titulares envolve o tratamento de dados em larga escala, com número significativo de titulares, e que possa afetar interesses e direitos dos titulares, apontando como critérios específicos de risco as seguintes situações: (i) uso de tecnologias emergentes ou inovadoras; (ii) vigilância ou controle de zonas acessíveis ao público; (iii) decisões tomadas unicamente com base em tratamento automatizado; e (iv) utilização de dados pessoais sensíveis ou de dados pessoais de crianças.
Ou seja, uma microempresa, com faturamento de 20 mil reais/mês e que utilize sistemas automatizados para definir certos perfis pessoais de contratação, por exemplo, estará excluída da incidência da Resolução, devendo estar adequada à totalidade das exigências da LGPD.
Mas quais são as facilitações trazidas pela Resolução para as organizações que puderem ser enquadradas como agentes de pequeno porte?
Uma delas diz respeito ao registro do fluxo de dados das suas operações, que pode ser realizada de forma simplificada, nos termos que serão fornecidos pela ANPD, conforme previsão do artigo 9º da Resolução. O registro de fluxo de dados, conforme a melhor técnica de adequação à Lei, é uma das etapas que demandam maior número de horas dos profissionais envolvidos.
Outra facilitação é a dispensa de indicação do encarregado pelo tratamento de dados, o que reduz o custo fixo mensal da organização. Mas é importante a organização ter conhecimento que a indicação do encarregado será considerada medida política de boas práticas e governança, o que poderá reduzir o valor da multa em caso de incidente de segurança.
Os agentes de tratamento de pequeno porte ainda terão simplificado o procedimento de comunicação à ANPD dos eventuais incidentes de segurança (art. 10) e ainda terão prazo em dobro para responder aos titulares de dados e comunicações junto à ANPD.
Desta forma, a Resolução vem para esclarecer situações práticas da maior importância para os agentes de tratamento de pequeno porte, não deixando margem de dúvida que os mesmos precisam realizar a adequação à LGPD, mas de forma simplificada, o que reduz substancialmente o custo do processo.
Por Guilherme Spillari Costa
Advogado de empresas. Sócio de RLSC Advogados – contato@rlsc.com.br