Lei Geral de Proteção de Dados para MEI e Empresas de Pequeno Porte

A Agência Nacional de Proteção de Dados publicou 0 Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte!

Aproveitando o dia internacional da Proteção de dados, a ANPD publicou nesta sexta-feira, dia 28/01/22, a RESOLUÇÃO CD/ANPD Nº 2, DE 27 DE JANEIRO DE 2022, que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteçâo de Dados Pessoais ( LGPD), para AGENTES DE TRATAMENTO DE DADOS DE PEQUENO PORTE.

O fato é um marco importante para os pequenos operadores que, na maioria dos casos, não dispõe de meios, quer seja financeiro, quer seja técnico-operacional para implementar um grande sistema de proteção de dados.

A Resolução traz em seu artigo 2º um rol taxativo de quem são os agentes de tratamento de dados de pequeno porte, segundo a qual seriam: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador, incluindo o MEI.

Importante salientar que, embora a Resolução tenha trazido algumas flexibilizações e até isenções em alguns pontos, ela não desobriga os agentes, mencionados anteriormente, de fazerem o tratamento de forma adequada conforme a LGPD.

Um exemplo dessa flexibilização e de isenção está no artigo 11 da Resolução que diz que "os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD.

§ 1º O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados para atender o disposto no art. 41, § 2º, I da LGPD.

§ 2º A indicação de encarregado por parte dos agentes de tratamento de pequeno porte será considerada política de boas práticas e governança para fins do disposto no art. 52, § 1º, IX da LGPD."

Ou seja, os agentes mencionados na Resolução não precisam indicar uma pessoa encarregada de responder às demandas dos interessados, devendo apenas manter um canal de comunicação para que o titular dos dados possa fazer suas solicitações ou reclamações.

Porém se o agente de pequeno porte indicar um encarregado pelo tratamento de dados, isso será considerado boas práticas e governança, podendo ser avocada como forma de atenuante em caso de apuração em processo administrativo por infração à LGPD.

Outra flexibilização importe é no tocante ao prazo para responder às solicitações dos titulares de dados, que serão contados em dobro para fornecimento de declaração clara e completa, prevista no art. 19, II da LGPD, ou seja, será de 30 (trinta) dias.

Já no caso de declaração simplificada, nos termos do art. 19, I da LGPD, o prazo para resposta ao titular dos dados requerente, será de 15 (quinze) dias, contados da data do requerimento do titular de dados.

Mas ATENÇÃO:

• Startups com rendimento superior a R$ 16.000.000,00 (dezesseis milhões de reais) no ano-calendário anterior ou de R$ 1.333.334,00 (um milhão, trezentos e trinta e três mil trezentos e trinta e quatro reais) multiplicado pelo número de meses de atividade no ano-calendário anterior, quando inferior a 12 (doze) meses, e
• Empresa de pequeno porte, que aufira, em cada ano-calendário, receita bruta superior a R$ 4.800.000,00 (quatro milhões e oitocentos mil reais),

  não poderão se beneficiar do tratamento jurídico diferenciado previsto na Resolução

Embora seja um avanço, ainda há muitos pontos que precisam ser respondidos pela ANPD, como é o caso das sanções impostas por infração à Lei, nos termos do artigo 52, já que uma multa elevada, como lá previsto, pode acabar com qualquer pequena empresa.

Quais seriam os patamares para a imposição de uma multa a um agente de pequeno porte?

Mesmo assim podemos ver com bons olhos essa Resolução, pois até a sua edição e publicação ainda pairava muita dúvida sobre a aplicação da LGPD para os agentes de tratamento de dados de pequeno porte, pois uma implementação no nível exigido na Lei era inviável financeiramente para aqueles personagens, já que o custo da implantação, por vezes faria com que alguns agentes preferissem se arriscar e não seguir a lei.

Se você ou sua empresa se encaixam na descrição dos agentes de tratamento de dados de pequeno porte conforme a Resolução e deseja se regularizar em relação à LGPD, procure um advogado especialista.