Em 30 de agosto de 2021 a Autoridade Nacional de Proteção de Dados (ANPD) publicou Consulta Pública sobre a minuta de resolução que regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte, definidos como sendo as “microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos, que tratam dados pessoais, e pessoas naturais e entes despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador”. A norma tem como objetivo facilitar a adaptação à Lei Geral de Proteção de Dados pelos agentes de pequeno porte, apresentando possibilidade de adoção de procedimentos simplificados e diferenciados.
Importante destacar que a dispensa e a flexibilização das obrigações previstas em seu corpo não se aplicam aos agentes de pequeno porte que realizem tratamento de alto risco e em larga escala para os titulares. Tratamento de alto risco é aquele que envolve, dentre outros: i) dados sensíveis ou dados de grupos vulneráveis, incluindo crianças e adolescentes e idosos; ii) uso de tecnologias emergentes, que possam ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras e roubo de identidade; ou iii) tratamento automatizado de dados pessoais que afetem os interesses dos titulares, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. Quanto ao tratamento de dados em larga escala, ele estará caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado.
Entre as dispensas e flexibilizações trazidas pela norma, tem-se:
- Dispensa de conferir portabilidade dos dados do titular a outro fornecedor de serviço ou produto;
- Dispensa de fornecimento da declaração clara e completa de que trata o art. 19, inciso II da LGPD;
- Flexibilização da forma de disponibilização das informações sobre o tratamento de dados pessoais, nos termos do art. 9º da LGPD, podendo ocorrer por meio eletrônico ou por qualquer outra forma que assegure o acesso facilitado às informações pelo titular dos dados pessoais;
- Facultatividade de fazerem-se representar por entidades de representação da atividade empresarial, por pessoas jurídicas ou por pessoas naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados;
- Dispensa da obrigação de manutenção de registros das operações de tratamento de dados pessoais constante do art. 37 da LGPD;
- Direito à apresentação de Relatório de Impacto à Proteção de Dados Pessoais simplificado;
- Isenção, flexibilização ou simplificação da comunicação de incidentes de segurança (a ser definida em regulamentação específica);
- Dispensa da obrigação de indicar o encarregado pelo tratamento de dados pessoais (art. 41 da LGPD), devendo disponibilizar canal de comunicação com o titular de dados;
- Simplificação dos procedimentos e da política de Segurança da Informação.
A minuta de resolução concede, ainda, aos agentes de tratamento de pequeno porte, prazo em dobro para: i) atendimento das solicitações dos titulares referentes ao tratamento de seus dados pessoais; ii) comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares; e iii) prazos estabelecidos nos normativos próprios para a apresentação de informações, documentos, relatórios e registros solicitados pela ANPD a outros agentes de tratamento.
A ANPD poderá, no entanto, determinar ao agente de tratamento de pequeno porte o cumprimento de obrigações dispensadas ou flexibilizadas na minuta de Resolução, considerando as circunstâncias relevantes da situação, tais como a natureza e o volume das operações, os riscos para os titulares e a sensibilidade e a criticidade dos dados tratados.
A norma estabelece, por fim, que a ANPD divulgará guias orientativos de aplicação da LGPD e que outras normas de tratamento simplificado a agentes de pequeno porte poderão ser dispostas em resoluções específicas.
