postado em 01/02/2022
RESOLUÇÃO Nº2 DA ANPD - Flexibilização garante incentivo as empresas de pequeno porte para adequação à LGPD
Na última sexta-feira (28/01), a ANPD, órgão competente para regular e fiscalizar os agentes que tratam dados pessoais, aprovou a Resolução Nº 2 que impacta diretamente as Empresas de Pequeno Porte.
Além das empresas de pequeno porte assim definida por lei, o regulamento alcança as microempresas, startups, sociedades simples, sociedade unipessoal e empresas sem fins lucrativos, ou seja, aquelas que não possuem muitos recursos para atender as diversas exigências da Lei Geral de Proteção de Dados, o que evidentemente é um obstáculo e desestímulo às organizações menores.
A inovação aplicada à LGPD trouxe certa tranquilidade aos pequenos empresários que, apesar de ainda serem obrigados a estar em conformidade às normas de proteção de dados pessoais, agora, veem o caminho à adequação menos burocrático e oneroso.
Uma das principais alterações que certamente implica em incentivo aos empreendedores de pequeno porte a buscarem atender as disposições da LGPD é a dispensa de indicação de um Encarregado de Proteção de Dados, também conhecido como DPO (Data protection Officer).
Este profissional competente para fazer a conexão entre os titulares de dados, a organização que os tratam e a ANPD continua sendo de extrema importância neste cenário. Todavia, ao passo que a contratação do Encarregado implicaria em um acréscimo do custo operacional dos empreendimentos podendo inviabilizar, inclusive, a atividade empresarial, foi decidido que a disponibilização de um canal de atendimento e comunicação com o titular de dados para fornecimento de informações, esclarecimentos e demais obrigações previstas em lei é suficiente.
Insta pontuar que a indicação de um Encarregado de Proteção de Dados (pessoa física ou jurídica) pela empresa de pequeno porte é considerada boa prática de governança, e em eventual processo administrativo ou judicial, será levada em consideração para apreciação da sanção aplicável. Todavia, reitera-se que não é mais uma exigência a existência desse profissional para empresa de pequeno porte.
Para as organizações ou outros agentes considerados de pequeno porte, os prazos serão concedidos em dobro, quando:
Além das empresas de pequeno porte assim definida por lei, o regulamento alcança as microempresas, startups, sociedades simples, sociedade unipessoal e empresas sem fins lucrativos, ou seja, aquelas que não possuem muitos recursos para atender as diversas exigências da Lei Geral de Proteção de Dados, o que evidentemente é um obstáculo e desestímulo às organizações menores.
A inovação aplicada à LGPD trouxe certa tranquilidade aos pequenos empresários que, apesar de ainda serem obrigados a estar em conformidade às normas de proteção de dados pessoais, agora, veem o caminho à adequação menos burocrático e oneroso.
Uma das principais alterações que certamente implica em incentivo aos empreendedores de pequeno porte a buscarem atender as disposições da LGPD é a dispensa de indicação de um Encarregado de Proteção de Dados, também conhecido como DPO (Data protection Officer).
Este profissional competente para fazer a conexão entre os titulares de dados, a organização que os tratam e a ANPD continua sendo de extrema importância neste cenário. Todavia, ao passo que a contratação do Encarregado implicaria em um acréscimo do custo operacional dos empreendimentos podendo inviabilizar, inclusive, a atividade empresarial, foi decidido que a disponibilização de um canal de atendimento e comunicação com o titular de dados para fornecimento de informações, esclarecimentos e demais obrigações previstas em lei é suficiente.
Insta pontuar que a indicação de um Encarregado de Proteção de Dados (pessoa física ou jurídica) pela empresa de pequeno porte é considerada boa prática de governança, e em eventual processo administrativo ou judicial, será levada em consideração para apreciação da sanção aplicável. Todavia, reitera-se que não é mais uma exigência a existência desse profissional para empresa de pequeno porte.
Para as organizações ou outros agentes considerados de pequeno porte, os prazos serão concedidos em dobro, quando:
- Em atendimento de solicitações e comunicação dos titulares referentes ao tratamento e incidente de dados;
- Comunicação à ANPD sobre ocorrência de incidente de segurança e eventual risco aos titulares (ressalvada as situações que comprometem a integridade física ou moral dos titulares ou à segurança nacional), bem como apresentação de documentos e registros solicitados pela Autarquia; e
- Para o fornecimento de declaração clara e completa sobre existência e/ou acesso aos dados pessoais quando requerido pelo titular.
Entretanto, de acordo com o artigo 3º da resolução, essas flexibilizações não contemplam as empresas de pequeno porte que realizam tratamento de alto risco para os titulares[1], cujos critérios (gerais ou específicos, cumulativamente) estão previstos na norma.
Ademais, também não são beneficiados com as medidas em comento, as empresas de pequeno porte que obtenham receita bruta superior ao limite estabelecido no art. 3º, II, da Lei Complementar nº 123, de 2006 ou (R$ 4.800.000,00 de faturamento no ano-calendário), no caso de startups, no art. 4º, § 1º, I, da Lei Complementar nº 182, de 2021 (R$ 16.000.000,00 de faturamento no ano-calendário), além daquelas que pertencem a grupo econômico cuja receita global ultrapasse esses referidos limites.
Essas concessões são vistas com bons olhos pelos especialistas em proteção de dados e pelos empreendedores, uma vez que desburocratiza minimamente o processo de atendimento e adequação à LGPD. Contudo, cabe destacar que a empresa de pequeno porte continua obrigada a observas as demais disposições previstas em lei, e para isso, assessoria jurídica em proteção de dados pessoas é elemento imprescindível ao empresário em qualquer modelo de negócio.
É bom que se diga que a ANPD não concedeu um cheque em branco às MEs, EPPs, e startups. Na verdade, o que houve foi uma análise mais humana por parte do órgão, que, entendendo as inúmeras diferenças de estrutura, além das diferenças financeiras, optou por conceder um tratamento “diferenciado” a elas. Cabe agora, ao empresário, aproveitar esta desburocratização que facilita a adequação de sua empresa, e buscar a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).
[1] Tratamento de alto risco ocorre quando existem cumulativamente ao menos um critério geral (tratamento de dados em larga escala ou que possa afetar significativamente interesses e direitos fundamentais dos titulares) e um critério específico (uso de tecnologias inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões automatizadas, ou utilização de dados sensíveis ou de criança e adolescente).
RAFAEL LOUREIRO FABEN é advogado e consultor do escritório Marinho Advogados Associados. Graduado e Mestrando em Direito e Estado na Era Digital pelo UNIVEM - Centro Universitário Eurípides de Marília/SP, especialista em Direito Digital, Privacidade e Proteção de Dados Pessoais. Atua com consultoria nas áreas de Direito e Compliance Digital, além de programas de Privacidade e Proteção de Dados Pessoais para conformidade com a LGPD. Contato: rafaelfaben@marinho.adv.br
.jpg)
RENAN TRINDADE é profissional jurídico da Marinho Advogados Associados. Bacharel em Direito pelo UNIVEM – Centro Universitário Eurípides de Marilia. Pós-Graduando em Advocacia Empresarial pela EBRADI – Escola Brasileira de Direito. Atua na seara Empresarial, em especial no âmbito da Propriedade Intelectual, Direito Digital e Proteção de Dados. Contato: renantrindade@marinho.adv.br.
Ademais, também não são beneficiados com as medidas em comento, as empresas de pequeno porte que obtenham receita bruta superior ao limite estabelecido no art. 3º, II, da Lei Complementar nº 123, de 2006 ou (R$ 4.800.000,00 de faturamento no ano-calendário), no caso de startups, no art. 4º, § 1º, I, da Lei Complementar nº 182, de 2021 (R$ 16.000.000,00 de faturamento no ano-calendário), além daquelas que pertencem a grupo econômico cuja receita global ultrapasse esses referidos limites.
Essas concessões são vistas com bons olhos pelos especialistas em proteção de dados e pelos empreendedores, uma vez que desburocratiza minimamente o processo de atendimento e adequação à LGPD. Contudo, cabe destacar que a empresa de pequeno porte continua obrigada a observas as demais disposições previstas em lei, e para isso, assessoria jurídica em proteção de dados pessoas é elemento imprescindível ao empresário em qualquer modelo de negócio.
É bom que se diga que a ANPD não concedeu um cheque em branco às MEs, EPPs, e startups. Na verdade, o que houve foi uma análise mais humana por parte do órgão, que, entendendo as inúmeras diferenças de estrutura, além das diferenças financeiras, optou por conceder um tratamento “diferenciado” a elas. Cabe agora, ao empresário, aproveitar esta desburocratização que facilita a adequação de sua empresa, e buscar a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).
[1] Tratamento de alto risco ocorre quando existem cumulativamente ao menos um critério geral (tratamento de dados em larga escala ou que possa afetar significativamente interesses e direitos fundamentais dos titulares) e um critério específico (uso de tecnologias inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões automatizadas, ou utilização de dados sensíveis ou de criança e adolescente).
RAFAEL LOUREIRO FABEN é advogado e consultor do escritório Marinho Advogados Associados. Graduado e Mestrando em Direito e Estado na Era Digital pelo UNIVEM - Centro Universitário Eurípides de Marília/SP, especialista em Direito Digital, Privacidade e Proteção de Dados Pessoais. Atua com consultoria nas áreas de Direito e Compliance Digital, além de programas de Privacidade e Proteção de Dados Pessoais para conformidade com a LGPD. Contato: rafaelfaben@marinho.adv.brRENAN TRINDADE é profissional jurídico da Marinho Advogados Associados. Bacharel em Direito pelo UNIVEM – Centro Universitário Eurípides de Marilia. Pós-Graduando em Advocacia Empresarial pela EBRADI – Escola Brasileira de Direito. Atua na seara Empresarial, em especial no âmbito da Propriedade Intelectual, Direito Digital e Proteção de Dados. Contato: renantrindade@marinho.adv.br.
