INFORMATIVO nº 03 | 2022

A Autoridade Nacional de Proteção de Dados (“ANPD”) publicou, em 28/01/2022, a Resolução CD/ANPD nº 02, aprovando o regulamento de aplicação da Lei Geral da Proteção de Dados (“LGPD”) para agentes de tratamento de pequeno porte, que incluem microempresas, sociedades limitadas unipessoal, startups e pessoas físicas que realizam atividades que envolvem tratamento de dados pessoais.

As principais mudanças instituídas são:

• Apoio nas respostas às reclamações de titulares: faculdade dos agentes de tratamento de pequeno porte se organizarem por meio de entidades de representação da atividade empresarial, por pessoas jurídicas ou por pessoas físicas, para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados;
• Registro das atividades de tratamento (Art. 37 LGPD): poderá ser feito de forma simplificada, sendo que a ANPD irá fornecer o modelo para registro;
• Comunicação de Incidentes de Segurança: este procedimento será flexibilizado/simplificado, através de diretrizes a serem apresentadas pela ANPD;
• Encarregado de Proteção de Dados (Data Protection Officer – DPO): a empresa de pequeno porte NÃO terá obrigação de indicar um DPO, porém deverá disponibilizar um canal de comunicação com o titular de dados;
• Boas Práticas: os agentes de tratamento de pequeno porte deverão adotar medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação, para proteção dos dados pessoais, considerando, ainda, o nível de risco à privacidade dos titulares de dados e a realidade do agente de tratamento. Serão emitidos guias orientativos pela ANPD;
• Política de Segurança da Informação: poderá ser estabelecida de forma simplificada, contemplando requisitos essenciais e necessários para o tratamento de dados pessoais, com o objetivo de protegê-los de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;
• Prazos Diferenciados: prazo em dobro para os agentes de pequeno porte para: (i) atender solicitações de titulares referentes ao tratamento de seus dados pessoais, (ii) comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares e (iii) fornecimento de declaração clara e completa, prevista no art. 19, II da LGPD;

Vale dizer que estas mudanças poderão ser anuladas pela ANPD caso (i) a empresa não se enquadre no conceito de agente de tratamento de pequeno porte ou (ii) existam circunstâncias relevantes para tanto, como a natureza ou o volume das operações, de forma que, o agente, nestes casos, deverá cumprir integralmente com as obrigações previstas na LGPD.

Diante do exposto, ficamos à inteira disposição para tecer eventuais esclarecimentos sobre o tema e para auxiliar V.Sas. na avaliação da melhor estratégia a ser adotada para fins de adequação à LGPD, sob a ressalva de que, independentemente do porte do agente de tratamento, a ANPD poderá aplicar multas de não conformidade, que podem chegar até 2% do faturamento da empresa.

Atenciosamente,

Carolina Carmagnani | Edison Carmagnani Filho