No dia 28 de janeiro de 2022, a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) publicou a Resolução CD/ANPD nº 02, que regulamenta a aplicação da Lei 13.709 de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), aos Agentes de Tratamento de Pequeno Porte, elencando hipóteses de dispensa ou flexibilização das obrigações estabelecidas na LGPD para os referidos agentes de tratamento.
A Resolução visa regulamentar a previsão contida no inciso XVII do artigo 55-J da LGPD de criar procedimentos simplificados e diferenciados para as microempresas, empresas de pequeno porte, startups ou empresas de inovação, de modo a equilibrar o direito fundamental à proteção dos dados do titular e as dificuldades e onerosidade para tais agentes se adequarem a todas as normas da LGPD.
Entre as obrigações previstas na LGPD dispensadas ou flexibilizadas aos Agentes de Tratamento de Pequeno Porte, através da referida Resolução, destaca-se:
(i) Simplificação da obrigação de elaboração e manutenção de registro das operações de tratamento de dados pessoais, podendo a ANPD fornecer modelo de registro simplificado.
(ii) Flexibilização ou procedimento simplificado de comunicação de incidente de segurança, conforme será regulamentado pela ANPD.
(iii) Dispensa da obrigação de nomear encarregado de tratamento de dados pessoais (DPO), ficando o agente obrigado de toda forma a disponibilizar um canal de comunicação com o titular dos dados.
(iv) Faculdade em adotar política simplificada de segurança da informação, que contemple requisitos essenciais e necessários para o tratamento de dados pessoais, com o objetivo de protegê-los de acessos não autorizados e de situações acidentais ou ilícitas. A política simplificada de segurança da informação deve levar em consideração os custos de implementação, bem como a estrutura, a escala e o volume das operações do agente de tratamento de pequeno porte.
(v) Prazos Diferenciados, concessão de prazo em dobro para (a) atender solicitações dos titulares; (b) comunicação à ANPD de incidentes de segurança que possa acarretar risco ou dano relevante aos titulares.
Nos termos da Resolução, são entendidos como Agentes de Tratamento de Pequeno Porte asmicroempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, incluindo as sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam o tratamento de dados pessoais, assumindo obrigações típicas de controlador ou operador, conforme definições previstas na própria LGPD. De acordo com a Resolução se enquadram no conceito de:
(i) Microempresas e empresas de Pequeno Porte: sociedade empresária, sociedade simples, sociedade limitada unipessoal, nos termos do artigo 41 da Lei nº. 14.195, de 26 de agosto de 2021, e o empresário a que se refere o art. 966 da Lei nº. 10.406, de 10 de janeiro de 2002 (Código Civil), incluído o empreendedor individual, devidamente registrados no Registro de Empresas Mercantis ou no Registro Civil de Pessoas Jurídicas, que se enquadre nos termos do art. 3º e 18-A, Parágrafo 1º da Lei Complementar nº. 123, de 14 de dezembro de 2016.
(ii) Startups: organizações empresariais ou societárias, nascentes ou em operação recente, cuja atuação caracteriza-se pela inovação aplicada a modelo de negócios ou a produtos ou serviços ofertados, que atendam aos critérios previstos no Capítulo II da Lei Complementar nº 182, de 1º de junho de 2021.
SAIBA MAIS SOBRE: Regulação da LGPD para Pequenas Empresas está em Elaboração – Entenda Por Que seu Provedor Pode Ficar de Fora
Com efeito, a classificação de Agente de Tratamento de Pequeno Porte está relacionada à receita bruta anual da Microempresa, Empresa de Pequeno Porte, MEI e Startup, conforme conceitos previstos acima, e resumidos no quadro abaixo:
| EMPRESA | RECEITA BRUTA ANUAL |
| Microempresa | Até R$ 360.000,00 |
| Pequena Empresa | Até R$ 4.800.000,00 |
| MEI | Até R$ 81.000,00 |
| STARTUP | Até R$ 16.000.000,00 ou de R$ 1.333.334,00 multiplicado pelo número de meses de atividade no ano-calendário, quando inferior a 12 (doze) meses; |
Já o Art. 4º, inciso XV da Resolução nº. 600/2012 – PGMC – Plano Geral de Metas de Competição da ANATEL, alterado pela Resolução nº.694/2018, definiu o conceito de Prestadora de Pequeno Porte (PPP) dos serviços de telecomunicações, como sendo o “Grupo detentor de participação de mercado nacional inferior a 5% (cinco por cento) em cada mercado de varejo em que atua”.
Deste modo, a classificação de Agentes de Tratamento de Pequeno Porte não guarda nenhuma relação com o conceito de Prestadoras de Pequeno Porte (PPPs) dos serviços de telecomunicações definido pela ANATEL, pautado na participação inferior a 5% (cinco por cento) do mercado nacional dos serviços de telecomunicações que atua.
Desta forma, o fato do Provedor ser uma Prestadora de Pequeno Porte (PPP) de serviços de telecomunicações nos termos definidos pela ANATEL, não enseja automaticamente a conclusão de que o mesmo se enquadra no conceito de Agente de Tratamento de Pequeno Porte previsto na Resolução CD/ANPD nº 02.
Por fim, cumpre ainda destacar que os Agentes de Tratamento de Pequeno Porte não poderão se beneficiar do tratamento jurídico diferenciado nas hipóteses previstas no artigo 3º da Resolução CD/ANPD nº 02, a saber:
(i) Na hipótese que realizar tratamento de alto risco para os titulares, ressalvado o disposto no artigo 8º da Resolução. Será considerado de alto risco o tratamento de dados pessoais que atender cumulativamente a pelo menos 1 (um) critério geral e 1 (um) critério específico, dentre aqueles elencados no artigo 4º da Resolução.
(ii) Aufiram receita bruta superior ao limite estabelecido no art. 3º, II, da Lei Complementar 123 de 2006, ou no caso de startups, no artigo 4º, parágrafo 1º da Lei Complementar nº. 182 de 2021;
(iii) Empresas que pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites previstos no item (ii) acima.
Pelo exposto, será necessário que o Provedor avalie se está enquadrado no conceito de Microempresa, Empresa de Pequeno Porte e/ou Startup definidos na Resolução e reproduzidos acima, e se incide em alguma das exceções previstas na Resolução que obstam seu enquadramento como Agente de Tratamento de Pequeno Porte.
Caso o Provedor se enquadre nos requisitos para ser considerado Agente de Tratamento de Pequeno Porte, estará submetido à nova regulamentação trazida pela Resolução CD/ANPD nº 02. Caso contrário, embora seja Prestadora de Pequeno Porte (PPP) dos serviços de telecomunicações nos termos definidos pela ANATEL, ficará excluída do tratamento diferenciado introduzido pela nova Resolução.
Veja mais sobre LGPD em: Impactos da Lei Geral de Proteção de Dados – LGPD
A Dra Jordana Magalhães é Advogada e Consultora com ênfase na área de tecnologia da informação, propriedade intelectual, contratos e trabalhistas. Sócia da Silva Vítor, Faria & Ribeiro Sociedade de Advogados.
