A LGPD e a resolução nº2 da ANPD: flexibilização ou alerta?

Uma das leis mais impactantes dos últimos tempos, e que atinge diretamente as empresas é a lei Geral de Proteção de Dados – LGPD, que foi publicada em 2018 e até hoje causa dúvidas e discussões.

No intuito de minimizar seus impactos para microempresas, empresas de pequeno porte e outras figuras, o Conselho Diretor da ANPD (Autoridade Nacional de Proteção de Dados) aprovou a resolução nº 2, que flexibiliza alguns pontos da Lei 13.079/2018.

Mas o que diz essa resolução? Ela determina, dentre outros assuntos, que os chamados agentes de tratamento de pequeno porte (que chamaremos de ATPPs) não precisam de uma estrutura própria de responsáveis e de tratamento de dados. É o que entenderemos a seguir:

Primeiro, vamos recorrer à própria Resolução para entender quem são os ATPPs:

Art. 2º Para efeitos deste regulamento são adotadas as seguintes definições:

I – agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;

Dentre o rol acima apresentado, destacaremos duas figuras, as ME’s e as EPP’s, que, logicamente responderão pela maior fatia dos ATPPs, mas que, conforme o artigo 3º, não se beneficiarão das vantagens da resolução caso:

• Realizem tratamento de alto risco para os titulares, preservando a possibilidade de se organizar por meio de entidade de representação de sua atividade, por pessoas jurídicas ou naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados;
• Tenham receita bruta superior aos limites estabelecidos na Lei Complementar nº 123, de 2006 ou, no caso de startups, no art. 4º, § 1º, I, da Lei Complementar nº 182, de 2021;
• Caso pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites referidos no item anterior, conforme o caso.

Vemos que a flexibilização encampada na resolução conta com alguns limites, o que é natural, mas notamos que o tratamento permanece rígido em outros momentos, demandando uma atenção especial por parte dos ATPPs.

Um dos exemplos da flexibilização é a possibilidade de se atender à exigência de elaboração e manutenção de registro de operações de tratamento de dados pessoais de forma simplificada, o que será feito com a utilização de um modelo a ser fornecido pela ANPD.

Um outro exemplo de facilitação para a adequação à LGPD é o prazo em dobro relação às demais empresas, por exemplo, a comunicação em caso de incidentes de segurança passaria dos 2 dias úteis recomendados pela ANPD para 4 dias úteis.

Ainda em relação às facilidades criadas pela Resolução nº2, temos a possibilidade de os ATPPs se assim desejarem, se organizarem por meio do Sindicato Patronal, por pessoas jurídicas ou por pessoas naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados.

Já em relação à necessidade de nomear um encarregado, a resolução nº2 da ANPD faculta a nomeação de um encarregado pelo tratamento dos dados pessoais, mas impõe a criação de um canal de comunicação para atender às reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências.

Ou seja, ao mesmo tempo que a resolução faculta a nomeação, ela impõe que haja uma pessoa capacitada, como se encarregado fosse.

Essas são apenas algumas das novidades trazidas pela resolução nº 2, que traz uma certeza: a LGPD se mostra cada vez mais como uma lei que veio para ficar. Prova disso é que ela começa a ter a devida regulamentação por parte da ANPD, órgão integrante da Presidência da República, o que é um indício de que será aplicada, e não se adequar pode gerar problemas para as empresas que não estiverem prontas.