No dia 27 de janeiro a resolução nº 2 de 2022, editada pela Autoridade Nacional de Proteção de Dados (ANPD), definiu a ideia de agente de tratamento de pequeno porte para a aplicação da Lei Geral de Proteção de Dados. Com a resolução é esperado que o custo da adequação das pequenas empresas à LGPD diminua. O caso não se aplica a startups que enfrentam uma quantidade considerável de dados e novas tecnologias, conforme confirmou os advogados consultados pelo veículo JOTA.
De acordo com Allan Turano, coordenador do curso de Direito, Economia Criativa e Negócios Digitais da FGV Direito-Rio e advogado no escritório JPN Advogados: “Um processo de adequação tem início e meio, mas não tem fim”. Ele completa informando a importância do acompanhamento e reforço constante à prática de proteção de dados.
Até a resolução, o processo era o mesmo, com a mesma quantidade de etapas independentemente do tamanho da empresa, o que significava um custo proibitivo em alguns casos. Segundo Allan Turano, a resolução trouxe dispensas e vantagens para empresas de pequeno porte. “Por exemplo, a LGPD exige que a empresa nomeie um Data Protection Officer (DPO). Esse é um item que as empresas menores já não precisam mais seguir.”, completa. Outro ponto diz respeito aos prazos de atendimento aos clientes que foram duplicados pela resolução.
A proposta da ANPD informa que as obrigações não podem ser aplicadas, ou serão aplicadas em grau mais suave, a empresas que são definidas como agentes de tratamento de pequeno porte. Conforme revela Simone Braga de Andrade, sócia do escritório Braga de Andrade Advogados, em Salvador (BA), “mas há uma boa chance de startups não se enquadrarem, pela própria natureza delas”.
As empresas que se adequarem a pelo menos dois critérios da lista trazida abaixo, sendo um geral e outro específico, não são consideradas agentes de pequeno porte. São eles:
Critérios Gerais:
1. Administração de dados pessoais em grande escala; ou
2. Tratamento de dados pessoais que afetem os interesses e direitos fundamentais dos titulares;
Critérios Específicos:
1. Utilização de tecnologia emergentes ou inovadoras;
2. Controle de zonas acessíveis ao público;
3. Atitudes tomadas com base no tratamento automatizado de dados pessoais, pensando em definir o perfil daquela pessoa, seja no âmbito pessoal, profissional, de consumo, de saúde e de crédito ou ainda sobre a personalidade do titular; ou
4. Uso dos dados sensíveis ou pessoais de crianças, adolescentes e de idosos.
Ao olhar de Braga, a informação é positiva mesmo que tenha sido feita de forma tardia pensando que quando entrou em vigor a Lei possuía 20 itens ainda pendentes para regulamentar. A resolução “era muito esperada pelo ecossistema de proteção de dados”, completa.
Empresas de diferentes setores como da saúde e construção civil vem se adequando às normas por terem acesso aos dados sensíveis dos clientes e por possuírem, portanto, mais riscos. Francisco Laux, doutor em Direito pela USP e advogado no Granemann Laux Advogados Associados, de Balneário Camboriú (SC), completa ainda que: “Em outros ramos, a gente não vê ainda a mesma preocupação”.
No seu ponto de vista, “a maioria das [pequenas] empresas continuou a trabalhar da mesma forma, para ver se a lei vai pegar só para as empresas maiores ou se o Judiciário também irá fiscalizar pequenas e médias”. O grande incentivador nas pequenas e médias empresas têm sido as multinacionais que esperam que a adequação a LGPD seja um critério básico para realização de negócios, reforça Laux.
“Eu não vejo uma preocupação orgânica, eu vejo uma preocupação provocada por exigências de compliance de parceiros comerciais”, revela.
De agora em diante
A advogada Simone Braga de Andrade informa ainda que um ponto que ainda precisa ser analisado é em relação a passagem da resolução que preservou a obrigatoriedade de manter registo das operações de tratamento de dados pessoais. O apontamento diz respeito ao artigo 9º da resolução. “Enquanto não chegar esse modelo, não estou tranquila. Vai realmente simplificar o mapeamento? Se a investida da pesquisa for no mesmo nível de profundidade, o trabalho será o mesmo.”, ela questiona.
A ANPD afirmou do outro lado que “fornecerá modelo para o registro simplificado de que trata o caput”.
Já Allan Turano acredita que no começo a ANPD precisa atuar de maneira educativa e menos punitiva, sempre analisando como as empresas vão agir aos incentivos impostos. Ele destaca: “As próprias empresas já estão se antecipando e exigindo dos seus parceiros medidas de conformidade e medidas preventivas.”
Fonte: JOTA
