Referida Resolução entrou em vigor no dia 28/01/2022 e tem por objetivo aprovar o Regulamento de aplicação da Lei nº 13.709/18 (LGPD) para os agentes de tratamento (empresas) de pequeno porte, com exigências e obrigações simplificadas para esse público.
REGRA – MAS QUEM SE ENQUADRA NESSA RESOLUÇÃO? QUEM SÃO ESSES AGENTES DE TRATAMENTO DE PEQUENO PORTE?
- Microempresas (ME);
- Empresas de pequeno porte (EPP): Sociedade empresária; Sociedade simples; Sociedade limitada unipessoal (art. 41 da Lei nº 14.195/2); Empresário (art. 966 do Código Civil), incluído o microempreendedor individual, cuja receita bruta anual seja igual ou inferior a R$ 360.000,00;
- Startups (que atentam aos critérios previstos no Capítulo II da LC nº 182/2021);
- Pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente;
- Pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;
- Zonas acessíveis ao público: espaços abertos ao público, como praças, centros comerciais, vias públicas, estações de ônibus, de metrô e de trem, aeroportos, portos, bibliotecas públicas, dentre outros.
EXCEÇÃO – DE ACORDO COM A RESOLUÇÃO CD/ANPD Nº 2 NÃO PODERÃO SE BENEFICIAR DO TRATAMENTO DIFERENCIADO NESSA LEGISLAÇÃO, OS AGENTES DE TRATAMENTO DE PEQUENO PORTE QUE:
- Realizem tratamento de alto risco dos dados dos titulares.
São considerados de alto risco, o tratamento de dados que atender, de forma cumulada, a pelo menos um critério geral e um critério específico, definido na referida Resolução.
CRITÉRIOS GERAIS:
- tratamento de dados em larga escala;
- tratamento de dados que possa afetar significativamente interesses e direitos fundamentais dos titulares dos dados;
CRITÉRIOS ESPECÍFICOS:
- quando há uso de tecnologias emergentes ou inovadoras;
- quando se faz vigilância ou controle de zonas acessíveis ao público;
- quando a decisão decorre unicamente de tratamento automatizado de dados pessoais;
- quando há o uso de dados sensíveis ou de dados pessoais de crianças, adolescentes ou idosos.
- Tenham receita bruta superior a R$ 4.800.000,00, no caso de empresas enquadradas no SIMPLES NACIONAL ou no caso de STARTUPS cuja receita bruta total ultrapasse R$ 16.000.000,00;
- Pertençam a grupo econômico, cuja receita global ultrapasse R$ 4.800.000,00 (limite previsto para enquadramento no Simples Nacional) ou R$ 16.000.000,00 (para startups).
POR QUAIS MEIOS OS AGENTES DE TRATAMENTO DE PEQUENO PORTE DEVEM DISPONIBILIZAR AS INFORMAÇÕES SOBRE O TRATAMENTO DOS DADOS PESSOAIS?
- Eletrônico;
- Impresso, ou;
- Qualquer outro meio que assegure os direitos previstos na LGPD, facilitando, ao máximo, o acesso dos titulares às informações.
BENEFÍCIO AOS AGENTES DE TRATAMENTO DE PEQUENO PORTE
Essa Resolução permite aos agentes de tratamento de pequeno porte que se organizem por meio de:
- entidades de representação da atividade empresarial;
- pessoas jurídicas, ou;
- pessoas naturais, para fins de negociação, mediação e conciliação das reclamações realizadas pelos titulares dos dados.
REGISTRO DAS ATIVIDADES DE TRATAMENTO
Essa Resolução permite que os agentes de tratamento de pequeno porte realizem o registro das operações de tratamento dos dados pessoais de forma simplificada, para tanto a ANPD fornecerá o modelo a ser seguido para realização desse registro.
COMUNICAÇÃO DOS INCIDENTES DE SEGURANÇA
A ANPD já sinalizou que irá disponibilizar regras que simplificarão o procedimento de comunicação de incidente de segurança, mediante publicação de regulamentação específica.
DISPENSA DE TER ENCARREGADO/DPO
Os agentes de tratamento de pequeno porte NÃO SÃO OBRIGADOS a indicar/nomear um encarregado pelo tratamento de dados, nos termos previstos no art. 41 da Lei 13.709/18, mas a indicação será considerada uma política de boas práticas e governança, nos termos da lei.
Se o agente de tratamento de pequeno porte optar por não indicar um encarregado, este DEVERÁ disponibilizar um CANAL DE COMUNICAÇÃO com o titular de dados para atender a regra prevista no art. 41, § 2º, I, da Lei 13.709/18.
DA SEGURANÇA E DAS BOAS PRÁTICAS PREVISTAS NESSA RESOLUÇÃO
Os agentes de tratamento de pequeno porte:
- DEVEM adotar medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação para proteção dos dados pessoais, considerando o nível de risco à privacidade dos titulares de dados e a sua realidade. Fornecimento de guias orientativos são considerados exemplos de segurança e de boas práticas;
- PODEM estabelecer políticas de privacidade simplificadas, que contenham, no mínimo, os requisitos essenciais e necessários para o tratamento dos dados pessoais, objetivando indicar a proteção de acessos não autorizados; o tratamento que será dado em situações acidentais ou ilícitas ou, ainda, no caso de tratamento inadequado ou ilícito dos dados.
PRAZOS DIFERENCIADOS PARA OS AGENTES DE TRATAMENTO DE PEQUENO PORTE
Referida Resolução prevê que os agentes de tratamento de pequeno porte terão PRAZO EM DOBRO, nas seguintes situações:
- No atendimento das solicitações dos titulares, no que diz respeito ao tratamento e seus dados pessoais;
- Na comunicação à ANPD e ao titular dos dados, em caso de ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, exceto quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional;
- No fornecimento de declaração clara e completa (que indique: a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento);
- Quanto aos prazos estabelecidos em normativos próprios para apresentação de informações, documentos, relatórios e registros solicitados pela ANPD a outros agentes de tratamento.
IMPORTANTE TER EM MENTE
A dispensa ou a flexibilização das obrigações previstas nesta Resolução NÃO ISENTA os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como direitos dos titulares.
Além disso, a ANPD poderá determinar ao agente de tratamento de pequeno porte que cumpra as obrigações dispensadas nesta Resolução, dependendo da natureza e do volume das operações realizadas, bem como dos riscos a que os titulares estão expostos.
O SHIBATA ADVOGADOS se coloca à disposição dos agentes de tratamento de pequeno porte para sanar eventuais dúvidas a respeito do tema e para ajudar na melhor forma de se adequarem à LGPD.