A Autoridade Nacional de Proteção de Dados – ANPD do Brasil publicou a minuta da Resolução. que diferencia a aplicação de algumas disposições da Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018) aos agentes de tratamento de dados de pequeno porte. para consulta e audiência pública, antes da oficialização da norma. 

A Resolução se dirige a micro e pequenas empresas, empreendedor individual, profissionais liberais, startups, condomínios, entidades sem fins lucrativos, fundações, associações, organizações religiosas, partidos políticos, que realizam tratamento de dados pessoais. Merecem destaque alguns aspectos.

A dispensa e flexibilização de algumas obrigações não desobrigam do cumprimento de todo o restante da LGPD, por não representarem uma redução do nível de proteção conferido aos titulares de dados. 

Alguns tipos de tratamento  de dados não serão abrangidos pela flexibilização das normas da LGPD, mesmo se realizados por agentes de pequeno porte, por se revelarem de alto risco, como tratamentos que incluam dados sensíveis, de crianças, adolescentes e idosos; dados de vigilância ou controle de zonas acessíveis ao público; o uso de tecnologias emergentes, que possam causar danos materiais ou morais aos titulares de dados; tratamento automatizado de dados, incluindo definição de perfil pessoal, profissional de consumo, de crédito ou de aspectos da personalidade.

Também não se aplicará esta Resolução aos tratamentos de dados considerados de larga escala, como os que abrangerem número significativo de titulares, tendo em vista ainda o volume de dados envolvidos, a duração, a frequência e a extensão geográfica do tratamento.

A ANPD disponibilizará um guia para auxiliar na avaliação quanto ao grau de risco e a larga escala dos tratamentos de dados e caberá a cada organização fazer o seu próprio enquadramento como destinatária ou não da Resolução, podendo entretanto a ANPD alterá-lo posteriormente.

A esperada dispensa do dever de manutenção dos registros das operações de tratamento de dados está acompanhada de um incentivo forte para que o agente de pequeno porte utilize os modelos para registro simplificado que a ANPD vai fornecer – o uso voluntário destes registros será considerado, para efeito de aplicação de sanções, como adoção de mecanismo para tratamento adequado e seguro dos dados e boas práticas de governança, nos termos da LGPD e sob a égide do princípio da accountability.

Os agentes de pequeno porte estarão dispensados de nomear um Encarregado do Tratamento de Dados, mas deverão manter um canal de comunicação com o titular dos dados. Recomendamos fortemente, contudo, que haja alguém responsável por gerir as operações de tratamento de dados na organização, para assegurar o compliance com a LGPD, sob pena de sequer conseguir atender às demandas dos titulares de dados.

Os agentes de pequeno porte poderão adotar medidas técnicas e administrativas essenciais e necessárias com base em requisitos mínimos de segurança da informação para a proteção dos dados, considerando a sua própria realidade e o risco à privacidade dos titulares dos dados. 

Poderão também instituir uma política simplificada de segurança da informação, mas que considere os custos de implementação, estrutura, escala e volume das operações de tratamento de dados, a sensibilidade e a criticidade dos dados tratados, em relação aos direitos e liberdades dos titulares. A avaliação destes aspectos pode levar a ANDP a determinar que a organização cumpra as obrigações que estão sendo dispensadas na Resolução.

Deve-se ter em mente que a política de segurança da informação e as medidas técnicas e administrativas a serem implementadas devem sempre responder à lógica da proporcionalidade com o grau de risco que a atividade de tratamento de dados representa para os respectivos titulares – as medidas devem ser aptas a assegurar a proteção dos dados, numa abordagem baseada no risco.

A minuta da Resolução prevê que os agentes de tratamento de pequeno porte contarão com prazos diferenciados para cumprimento das obrigações legais, contendo ainda algumas outras disposições que não foram destacadas aqui.

A minuta da Resolução pode ser lida na página da ANPD (www.gov.br/anpd/pt-br), onde se encontra o link para consulta e envio de contribuições (até 29.09.2021) e inscrição para manifestação oral na audiência pública agendada para os dias 14 e 15 de setembro de 2021.