ANPD define regras para agentes de pequeno porte

Veja as mudanças da versão final da resolução

No dia 27 de janeiro de 2022 a Autoridade Nacional de Proteção de Dados publicou a Resolução CD/ANPD nº 02, estabelecendo um regramento diferenciado para agentes de tratamento de pequeno porte. O processo de construção dessa resolução se iniciou com a primeira tomada de subsídios realizada pela Autoridade, em janeiro de 2021, passando por uma consulta e audiência pública em agosto, até culminar na presente resolução.

O Data Privacy Brasil contribuiu em todas as etapas de construção dessa norma. A nossa contribuição à Consulta Pública teve como enfoque: (i) uma melhor definição dos critérios de alto risco, especialmente na relação entre alto risco e larga escala; (ii) equalizar a dispensa da obrigação de registro de tratamento de dados, transformando-a em flexibilização; (iii) exclusão do relatório de impacto à proteção de dados da flexibilização, por ser um instrumento intrínseco às atividades de alto risco; (iv) equalizar as flexibilizações relativas à segurança da informação; (v) incentivar a indicação de encarregados por agentes de pequeno porte, reconhecendo-a como uma boa prática, além de abrir a possibilidade de indicação de um encarregado por entidades representativas; (vi) equalizar os prazos diferenciados concedidos para agentes de pequeno porte, especialmente relativos à notificação de incidentes de segurança; (vii) demonstrar a inadequação da dispensa do atendimento a determinados direitos dos titulares.

Todas as sugestões foram total ou parcialmente incorporadas à resolução final, conforme a tabela comparativa ao final do texto.

A versão final da norma que prevê regramento específico para agentes de pequeno porte possui diferenças substanciais em relação à proposta de minuta levada à consulta pública, evidenciando a capilaridade da Autoridade Nacional para incorporar sugestões da sociedade civil e trabalhar de forma contínua para aperfeiçoamento das normas.

Alto risco e larga escala

O primeiro grande ponto de atenção na primeira minuta proposta foi a previsão de que o regramento não se aplicaria para agentes de tratamento de pequeno porte que realizem atividade de alto risco e em larga escala. Incorporando as sugestões, a resolução final prevê o parâmetro do alto risco, sendo a larga escala um dos critérios para se avaliar se a atividade de tratamento é de alto risco ou não, conforme o art. 4º da resolução.

Pertencimento a grupo econômico

Conforme preocupação levantada na contribuição do Data Privacy Brasil, a resolução final não será aplicável a agentes de tratamento de pequeno porte que pertençam a grupo econômico de fato ou de direito, cuja receita global ultrapasse os limites referidos no art. 3º, II.

Direitos dos titulares
Todas as dispensas e flexibilizações relativas ao atendimento a direito dos titulares previstas na minuta inicial foram removidas, restando apenas a possibilidade de atendimento por meio eletrônico; impresso; ou qualquer outro que assegure os direitos previstos na LGPD e o acesso facilitado às informações pelos titulares, além da possibilidade dos agentes de pequeno porte se organizarem por entidades de representação para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados.

Registro da atividade de tratamento

A dispensa dessa obrigação legal também foi removida da resolução final, restando apenas a possibilidade de registro simplificado, de acordo com um modelo que será disponibilizado pela própria ANPD.

Relatório de Impacto

A resolução final não mais prevê qualquer dispensa ou obrigação para a obrigação de elaborar relatório de impacto à proteção de dados.

Encarregado

A dispensa de indicação de encarregado de proteção de dados para agentes de pequeno porte foi mantida. Contudo, há previsão expressa que a sua indicação será considerada política de boas práticas e governança para fins do disposto no art. 52, §1º, IX da LGPD.

A partir dessas mudanças destacadas, pode-se perceber que há uma maior equalização das obrigações para agentes de pequeno porte, uma vez que dispensas que ampliavam a posição de vulnerabilidade dos titulares, como  a dispensa de atendimento a determinados direitos dos titulares e a obrigação de registro foram suprimidas ou moduladas. Além disso, os agentes de pequeno porte contam com maior segurança jurídica para a sua definição e enquadramento em atividades de alto risco ou não.

Confira a tabela!