Resolução da ANPD flexibiliza LGPD para empresas de menor porte
Uma das leis mais impactantes dos últimos tempos, e que atinge diretamente as empresas brasileiras é a Lei Geral de Proteção de Dados – LGPD, que foi publicada em 2018 e até hoje causa dúvidas e discussões, tanto para pequenos como grandes empresários.
A lei, no primeiro momento igualou todas as empresas, independente de tamanho ou estrutura, e agora o Conselho Diretor na ANPD (Autoridade Nacional de Proteção de Dados) aprovou uma nova resolução que tenta corrigir essas diferenças.
No intuito de minimizar seus impactos para microempresas, empresas de pequeno porte e outras figuras, a resolução nº 2 flexibiliza alguns pontos da Lei 13.079/2018.
Mas o que diz a resolução? Ela determina, dentre outros assuntos, que os chamados agentes de tratamento de pequeno porte (ATPPs) não precisam de uma estrutura própria de responsáveis e de tratamento de dados. É o que entenderemos a seguir:
A resolução se preocupou em fazer as definições necessárias:
Art. 2º Para efeitos deste regulamento são adotadas as seguintes definições:
I – agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;
Dentre o rol acima apresentado, destacaremos duas figuras, as ME’s e as EPP’s, que, logicamente responderão pela maior fatia dos ATPPs, mas que, conforme o artigo 3º, não se beneficiarão das vantagens da resolução caso:
• Realizem tratamento de alto risco para os titulares, preservando a possibilidade de se organizar por meio de entidade de representação de sua atividade, por pessoas jurídicas ou naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados;
• Tenham receita bruta superior aos limites estabelecidos na Lei Complementar nº 123, de 2006 ou, no caso de startups, no art. 4º, § 1º, I, da Lei Comple-mentar nº 182, de 2021;
• Caso pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites referidos no item anterior, conforme o caso.
Vemos que a flexibilização encampada na resolução conta com alguns limites, o que é natural, mas notamos que o tratamento permanece rígido em outros momentos, demandando uma atenção especial por parte dos ATPPs.
Um dos exemplos da flexibilização é a possibilidade de se atender à exigência de elaboração e manutenção de registro de operações de tratamento de dados pessoais de forma simplificada, o que será feito com a utilização de um modelo a ser fornecido pela ANPD.
Um outro exemplo de facilitação para a adequação à LGPD é o prazo em dobro relação às demais empresas, por exemplo, a comunicação em caso de incidentes de segurança passaria dos 2 dias úteis recomendados pela ANPD para 4 dias úteis.
Ainda em relação às facilidades criadas pela Resolução nº2, temos a possibilidade de os ATPPs se assim desejarem, se organizarem por meio do Sindicato Patronal, por pessoas jurídicas ou por pessoas naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados.
Já em relação à necessidade de nomear um encarregado, a resolução nº2 da ANPD faculta a nomeação de um encarregado pelo tratamento dos dados pessoais, mas impõe a criação de um canal de comunicação para atender às reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências.
Ou seja, ao mesmo tempo que a resolução faculta a nomeação, ela impõe que haja uma pessoa capacitada, como se encarregado fosse.
Essas são apenas algumas das novidades trazidas pela resolução nº 2, que traz uma certeza: a LGPD se mostra cada vez mais como uma lei que veio para ficar. Prova disso é que ela começa a ter a devida regulamentação por parte da ANPD, órgão integrante da Presidência da República, o que é um indício de que será aplicada, e não se adequar pode gerar problemas para as empresas que não estiverem prontas.
Importante orientar e ajudar os clientes que estão enquadrados na resolução, podendo evitar custos desnecessários e até mesmo se defender caso ocorra algum questionamento ou fiscalização.
A LGPD e a resolução nº2 da ANPD: flexibilização ou alerta?
Uma das leis mais impactantes dos últimos tempos, e que atinge diretamente as empresas é a lei Geral de Proteção de Dados – LGPD, que foi publicada em 2018 e até hoje causa dúvidas e discussões.
No intuito de minimizar seus impactos para microempresas, empresas de pequeno porte e outras figuras, o Conselho Diretor da ANPD (Autoridade Nacional de Proteção de Dados) aprovou a resolução nº 2, que flexibiliza alguns pontos da Lei 13.079/2018.
Mas o que diz essa resolução? Ela determina, dentre outros assuntos, que os chamados agentes de tratamento de pequeno porte (que chamaremos de ATPPs) não precisam de uma estrutura própria de responsáveis e de tratamento de dados. É o que entenderemos a seguir:
Primeiro, vamos recorrer à própria Resolução para entender quem são os ATPPs:
Art. 2º Para efeitos deste regulamento são adotadas as seguintes definições:
I – agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;
Dentre o rol acima apresentado, destacaremos duas figuras, as ME’s e as EPP’s, que, logicamente responderão pela maior fatia dos ATPPs, mas que, conforme o artigo 3º, não se beneficiarão das vantagens da resolução caso:
• Realizem tratamento de alto risco para os titulares, preservando a possibilidade de se organizar por meio de entidade de representação de sua atividade, por pessoas jurídicas ou naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados;
• Tenham receita bruta superior aos limites estabelecidos na Lei Complementar nº 123, de 2006 ou, no caso de startups, no art. 4º, § 1º, I, da Lei Complementar nº 182, de 2021;
• Caso pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites referidos no item anterior, conforme o caso.
Vemos que a flexibilização encampada na resolução conta com alguns limites, o que é natural, mas notamos que o tratamento permanece rígido em outros momentos, demandando uma atenção especial por parte dos ATPPs.
Um dos exemplos da flexibilização é a possibilidade de se atender à exigência de elaboração e manutenção de registro de operações de tratamento de dados pessoais de forma simplificada, o que será feito com a utilização de um modelo a ser fornecido pela ANPD.
Um outro exemplo de facilitação para a adequação à LGPD é o prazo em dobro relação às demais empresas, por exemplo, a comunicação em caso de incidentes de segurança passaria dos 2 dias úteis recomendados pela ANPD para 4 dias úteis.
Ainda em relação às facilidades criadas pela Resolução nº2, temos a possibilidade de os ATPPs se assim desejarem, se organizarem por meio do Sindicato Patronal, por pessoas jurídicas ou por pessoas naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados.
Já em relação à necessidade de nomear um encarregado, a resolução nº2 da ANPD faculta a nomeação de um encarregado pelo tratamento dos dados pessoais, mas impõe a criação de um canal de comunicação para atender às reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências.
Ou seja, ao mesmo tempo que a resolução faculta a nomeação, ela impõe que haja uma pessoa capacitada, como se encarregado fosse.
Essas são apenas algumas das novidades trazidas pela resolução nº 2, que traz uma certeza: a LGPD se mostra cada vez mais como uma lei que veio para ficar. Prova disso é que ela começa a ter a devida regulamentação por parte da ANPD, órgão integrante da Presidência da República, o que é um indício de que será aplicada, e não se adequar pode gerar problemas para as empresas que não estiverem prontas.