CD nº 10/2021

Página 1

PRESIDÊNCIA DA REPÚBLICA

PR/ANPD/DIR/AS/ANPD

VOTO Nº 13/2021/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

DIRETOR

ARTHUR PEREIRA SABBAT

1. ASSUNTO

1.1. Regulamentação relativa à aplicação da Lei nº 13.709, de 14 de agosto de

2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de

tratamento de pequeno porte.

2. EMENTA

2.1. VALIAÇÃO DA MINUTA DE RESOLUÇÃO QUE REGULAMENTA A

APLICAÇÃO DA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD), PARA

AGENTES DE TRATAMENTO DE PEQUENO PORTE.

2.1.1. Análise dos dispositivos da minuta apresentada e proposta de

alteração ou supressão de alguns dispositivos;

2.1.2. Avaliação da Análise de Impacto Regulatório, elaborada nos termos

do § 2º do Art. 55-J da LGPD e do Art. 62, §1º do Regimento Interno da ANPD;

2.1.3. Voto pela submissão da minuta de resolução, após sua aprovação

pelo Conselho Diretor, à consulta pública pelo prazo de 30 (trinta) e realização de

audiência pública, em atendimento ao comando extraído do Art. 62 do Regimento

Interno da ANPD;

2.1.4. Votação por meio de circuito deliberativo, nos termos do § 1º do art.

40 do Regimento Interno da ANPD, observada a redução de prazo prevista no

artigo 41, em seu

§ 1º.

3. RELATÓRIO

3.1. Em janeiro de 2021 a Coordenação-Geral de Normatização (CGN) iniciou

processo com o fim de regulamentar o art. 55, inciso XVIII, da Lei nº 13.709, de 14

de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), o qual dispõe

sobre a competência da Autoridade Nacional de Proteção de Dados (ANPD) para

editar normas, orientações e procedimentos simplificados e diferenciados, inclusive

quanto aos prazos, para que microempresas e empresas de pequeno porte, bem

como iniciativas empresariais de caráter incremental ou disruptivo que se

autodeclarem startups ou empresas de inovação, possam adequar-se à referida lei.

3.2. Essa iniciativa baseou-se no cumprimento ao disposto no item nº 3 da

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 1

Página 2

Agenda Regulatória 2021-2022, publicada pela Portaria ANPD nº 11, de 27 de janeiro

de 2021, a qual previa ter o mencionado tema iniciado seu processo de

regulamentação no primeiro semestre de 2021, ato realizado pela supracitada

Coordenação-Geral.

3.3. A primeira medida adotada pela CGN, com base na Nota Técnica nº

1/2021/CGN/ANPD (SEI nº 2361168), de 29 de janeiro de 2021, foi a realização da

Tomada de Subsídios nº 1/2021, com prazo de 30 (trinta) dias, com o escopo de

obter subsídios relevantes de agentes econômicos, consumidores e demais

interessados da sociedade, de forma a identificar e aprimorar os aspectos relevantes

ao tema em tela.

3.4. Para viabilizar a Tomada de Subsídios, foi concebido pela CGN modelo

para envio de contribuições, que seguiu anexo a 22 (vinte e dois) ofícios, enviados a

órgãos públicos, entidades privadas e outras representantes da sociedade civil, com

atuação e interesse no assunto; por fim, foram realizadas 13 (treze) reuniões com

representantes de empresas e de comunidades afetas ao tema.

3.5. Em razão da tomada de subsídios, foram recebidas e analisadas 65

(sessenta e cinco) contribuições, que subsidiaram a CGN na elaboração de minuta de

ato normativo, que foi submetida à consulta interna aos demais servidores da ANPD,

no período de 10 a 18 de junho de 2021 (SEI nº 2631292).

3.6. Concluída a consulta interna e realizados novos ajustes, foi encaminhada,

em 05 de julho de 2021, nova minuta (SEI nº 2699933) à Assessoria Jurídica da

ANPD, nos termos da Nota Técnica nº 18/2021/CGN/ANPD (SEI nº 2686233). Em 27

de julho de 2021, a CGN encaminhou nova versão da minuta (SEI nº 2757306) com

pequenas alterações em relação ao primeiro texto enviado, nos termos da Nota

Técnica nº 22/2021/CGN/ANPD (SEI nº 2757093).

3.7. Em 04 de agosto de 2021, a Assessoria Jurídica da ANPD se manifestou

por meio do Parecer nº 00013/2021/GAB/ASJUR-ANPD/CGU/AGU (SEI nº 2779400),

aprovado pelo Despacho nº 00001/2021/GAB/ASJUR-ANPD/CGU/AGU. No

mencionado Parecer, aquela Assessoria Jurídica apresentou recomendações para

prosseguimento do processo.

3.8. Uma vez de posse do Parecer nº 00013/2021/GAB/ASJUR-

ANPD/CGU/AGU (SEI nº 2779400), exarado pela Assessoria Jurídica, a CGN elaborou

a Nota Técnica nº 25/2021/CGN/ANPD (SEI nº 2810848). Nessa Nota, a CGN aborda

o referido Parecer, o qual concluiu pela licitude do processo de normatização

realizado até aquele momento e apresentou 15 (quinze) sugestões de adequação ao

corpo da minuta, que acatadas ou justificadas pela CGN.

3.9. No corpo da mencionada Nota, além de explicitar as razões pelas quais

acatou ou justificou as alterações sugeridas pela Assessoria Jurídica, a CGN, em

virtude de revisão técnica, realizou 4 (quatro) modificações no texto, a fim de

proporcionar coerência redacional e doutrinária, explanando-as.

3.10. Por fim, concluiu a CGN, na referida Nota Técnica, que o processo fosse

encaminhado à Secretaria-Geral do Conselho Diretor da ANPD, para análise e medidas

cabíveis, acompanhado da minuta de resolução (SEI nº 2810956) e do Relatório da

Análise de Impacto Regulatório referente ao tema (SEI nº 2811023), sugerindo a

realização de consulta pública pelo prazo de 30 (trinta) dias exclusivamente pela

Plataforma Participa +Brasil, e de audiência pública na última semana dessa consulta

pública.

3.11. É o que importa relatar. Passo à análise da matéria para a apreciação pelo

Conselho Diretor.

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 2

Página 3

4. ANÁLISE

AAVALIAÇÃO DA MINUTA DE RESOLUÇÃO

4.1. A minuta de resolução que regulamenta a aplicação da Lei nº 13.709, de

14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), para

agentes de tratamento de pequeno porte (SEI nº 2810956), está estruturada em 5

(cinco) Títulos, que compreendem 4 (quatro) Capítulos e 6 (seis) Seções, onde são

abordados os aspectos referentes ao tratamento diferenciado voltado às

microempresas e empresas de pequeno porte, e às iniciativas empresariais de

caráter incremental ou disruptivo que se autodeclarem startups ou empresas de

inovação.

4.2. Passa-se à análise dos pontos da minuta que ensejam alteração e à

exposição das consequentes propostas de modificações.

Artigo 2º, III

4.3. O inciso III do art. 2º trata da definição de pessoas jurídicas sem fins

lucrativos:

“III – pessoas jurídicas sem fins lucrativos: associações, fundações,

organizações religiosas e partidos políticos e demais entidades equiparadas

sem personalidade jurídica, incluídas as pessoas formais.”

4.4. Aqui se propõe retirar o trecho “e demais entidades equiparadas sem

personalidade jurídica, incluídas as pessoas formais”, para permitir a utilização do

termo “entes despersonalizados”, mais usual e que guarda simetria com a linguagem

utilizada no “Guia Orientativo para Definições dos Agentes de Tratamento de Dados

Pessoais e do Encarregado”, publicado em maio de 2021 pela ANPD.

4.5. Dessa forma, propõe-se a nova redação para o mencionado inciso:

“III – pessoas jurídicas sem fins lucrativos: associações, fundações,

organizações religiosas e partidos políticos;”

Artigo 2º, IV

4.6. O inciso IV do art. 2º estabelece a definição de pessoas naturais que

tratam dados pessoais:

“IV – pessoas naturais que tratam dados pessoais: pessoa natural nos

termos da Lei nº 10.406, de 10 de janeiro de 2002 (Código Civil), que

realizam tratamento de dados pessoais, nos termos da Lei nº 13.709, de 14

de agosto de 2018;”

4.7. Creio não haver necessidade dessa definição, uma vez que o Código Civil

e a LGPD abordam-na com propriedade.

4.8. Propõe-se, assim, a exclusão do referido inciso.

Artigo 2º, V

4.9. O inciso V do art. 2º estabelece a definição de agentes de tratamento de

pequeno porte:

“V – agentes de tratamento de pequeno porte: são as pessoas naturais,

jurídicas, equivalentes ou formais, referidas nos incisos I a IV do art. 2º que

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 3

Página 4

satisfaçam os requisitos desta Resolução;”

4.10. Quanto ao referido dispositivo, entendo ser mais adequada sua

apresentação de forma direta, com o objetivo de facilitar o entendimento e a sua

aplicação, por meio da adoção de termos mais conhecidos e abordando

especificamente as pessoas naturais e os entes despersonalizados que

assumam obrigações típicas de controlador ou de operador. Como proposto

originalmente, esses últimos não se configurariam pessoas jurídicas e, assim, ficariam

excluídos da redação original do inciso.

4.11. Desse modo, propõem-se nova redação para o mencionado inciso,

renumerado em função da exclusão do inciso anterior:

“IV – agentes de tratamento de pequeno porte:

microempresas, empresas de pequeno porte, startups e

pessoas jurídicas sem fins lucrativos, que tratam dados

pessoais, e pessoas naturais e entes despersonalizados que

realizam tratamento de dados pessoais, assumindo obrigações

típicas de controlador ou de operador;”

Artigo 2º,

Parágrafo único

4.12. O Parágrafo único do art. 2º dispõe:

“Parágrafo único. Para fins desta resolução, os agentes de tratamento de

pequeno porte devem ter a receita bruta máxima estabelecida no art. 4º, §1º,

inciso I, da Lei Complementar nº 182, de 1º de junho de 2021.”

4.13. Quanto a esse dispositivo, para não dar a entender que a norma cita o

que poderiam parecer categorias intermediárias ou inovadoras com base na receita

estabelecida na mencionada Lei Complementar, e para ressaltar que o presente

parágrafo intenta, tão somente, evidenciar um critério de incidência da norma para

reforçar seu entendimento, sugere-se manter o dispositivo, mas alterar sua redação

para proporcionar o referido entendimento.

4.14. Desse modo, propõe-se que esse Parágrafo único tenha a seguinte

redação:

“Parágrafo único. Para fins desta resolução, consideram-se, ainda,

agentes de tratamento de pequeno porte, os que possuem receita

bruta máxima estabelecida no art. 4º, §1º, inciso I, da Lei

Complementar nº 182, de 1º de junho de 2021.”

Artigo 3º - caput

4.15. O art. 3º dispõe:

“Art. 3º Conforme orientação a ser divulgada pela ANPD, a dispensa e a

flexibilização das obrigações previstas nesta resolução não são aplicáveis a

agentes de tratamento de pequeno porte que realizem tratamento de alto

risco para os titulares”.

4.16. Aqui se propõem três alterações. a primeira, retirar o trecho “Conforme

orientação a ser divulgada pela ANPD”, tendo em vista já constar essa previsão

no § 4º do art. 3º.

4.17. A segunda, consiste em acrescentar algo que parece, pela abordagem no

decorrer da norma, um segundo critério, além do tratamento de alto risco, e

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 4

Página 5

cumulativo a esse, capaz de excluir, da dispensa e da flexibilização previstas na

norma, os agentes de pequeno porte; trata-se do tratamento de dados em larga

escala.

4.18. A terceira reside em acrescentar, ao final do artigo, o trecho

“ressalvada a hipótese prevista no art. 13, Parágrafo único”. Justifica-se o

acréscimo uma vez que, como a redação original do art. 3º especifica que a norma

não se aplica aos agentes que realizem tratamento de alto risco e o art. 13 da mesma

resolução trata de uma dispensa que vale inclusive para os que realizam esse tipo de

tratamento, julga-se que o trecho em adição torna a ideia mais clara.

4.19. Desse modo, propõe-se a seguinte redação para o mencionado artigo:

“Art. 3º A dispensa e a flexibilização das obrigações previstas

nesta resolução não são aplicáveis a agentes de tratamento de

pequeno porte que realizem tratamento de alto risco e em larga

escala para os titulares, ressalvada a hipótese prevista no art. 13,

Parágrafo único”.

Artigo 3º,

§ 1º

4.20. O § 1º do art. 3º dispõe:

“§ 1º Para fins desta resolução, será considerado tratamento de alto risco

para os titulares, entre outras hipóteses, conforme orientação divulgada pela

ANPD, o tratamento em larga escala que envolva: …”.

4.21. Aqui se propõem duas alterações. A primeira consiste em retirar o trecho

“conforme orientação divulgada pela ANPD”, tendo em vista já constar essa previsão

no § 4º do art. 3º.

4.22. A segunda refere-se a tornar o parágrafo específico ao que se propõe,

ou seja, elencar, dentre outras, as hipóteses de tratamento de alto risco. Em

consequência, faz-se mister retirar, do referido parágrafo, a menção ao tratamento

de dados em larga escala, o que será abordado em seguida, no § 2º.

4.23. Desse modo, propõe-se a nova redação para o mencionado parágrafo:

“§ 1º Para fins desta resolução, será considerado tratamento de

alto risco para os titulares, entre outras hipóteses, o tratamento

que envolva:”

Artigo 3º,

§ 3º

4.24. O § 3º do art. 3º dispõe:

“§ 3º Para fins deste artigo não será considerado tratamento de larga escala,

entre outras hipóteses conforme orientação a ser divulgada pela ANPD, o

tratamento de dados de funcionários ou para fins exclusivos de gestão

administrativa do agente de tratamento de pequeno porte”.

4.25. Aqui se propõe retirar o trecho “conforme orientação a ser divulgada

pela ANPD”, tendo em vista já constar essa previsão no § 4º do art. 3º.

4.26. Desse modo, propõe-se a nova redação para o mencionado parágrafo:

“§ 3º Para fins deste artigo não será considerado tratamento de

larga escala o tratamento de dados de funcionários ou para fins

exclusivos de gestão administrativa do agente de tratamento de

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 5

Página 6

pequeno porte”.

Artigo 3º,

§ 4º

4.27. O § 4º do art. 3º dispõe:

“§ 4º A ANPD disponibilizará guias e orientações que auxiliem os agentes de

tratamento de pequeno porte a avaliar se realizam tratamento com alto

risco”.

4.28. Com o fim de manter a coerência doutrinária e redacional com a assertiva

disposta no § 3º, e considerando o tratamento de alto risco e o em larga escala como

critérios, propõe-se acrescentar a ideia de outras hipóteses de tratamento de dados

pessoais em larga escala, extraordinárias ao referido parágrafo, na disposição

abrangente do § 4º.

4.29. Em virtude do acréscimo da ideia proposta, o referido parágrafo passa à

seguinte redação:

“§ 4º A ANPD disponibilizará guias e orientações que auxiliem os

agentes de tratamento de pequeno porte a avaliar se realizam

tratamento com alto risco e em larga escala.”

Artigo 4º, caput

4.30. O art. 4º dispõe:

“Art. 4º Caberá ao agente de tratamento de pequeno porte avaliar e, quando

solicitado pela ANPD, comprovar o seu enquadramento nas disposições do

art. 2º ou do

art. 3º.”

4.31. Aqui se verifica a necessidade de alterar a conjunção alternativa “ou”,

que dá a ideia de faculdade do agente em comprovar o enquadramento do

tratamento tanto no art. 2º quanto no art. 3º; pela conjunção aditiva “e”, obrigando-

o, dessa forma, a considerar ambos os artigos.

4.32. Assim procedendo, o art. 4º passa a ter a seguinte estrutura:

“Art. 4º Caberá ao agente de tratamento de pequeno porte avaliar

e, quando solicitado pela ANPD, comprovar o seu enquadramento

nas disposições do art. 2º e do art. 3º.”

Artigo 6º, caput

4.33. O caput do art. 6º dispõe:

“Art. 6º Os agentes de tratamento de pequeno porte podem atender às

requisições dos titulares de dados pessoais, descritas no art. 18 da LGPD,

por meio eletrônico, telefônico ou impresso.”

4.34. A LGPD, estabeleceu, de maneira taxativa, em seu art. 19, § 2º, que as

informações e os dados poderão ser fornecidos, a critério do titular: I - por meio

eletrônico, seguro e idôneo para esse fim; ou II - sob forma impressa. Não há

previsão de atendimento a requisições de titular por telefone, o que é compreensível,

visto que a ausência de informações por escrito pode comprometer a possibilidade

de exercício de direitos do titular em juizo ou perante a ANPD.

4.35. Em consequência, propõe-se retirar o termo “telefônico”, passando a o

referido artigo a ter a seguinte redação:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 6

Página 7

“Art. 6º Os agentes de tratamento de pequeno porte podem

atender às requisições dos titulares de dados pessoais, descritas

no art. 18 da LGPD, por meio eletrônico ou impresso.”

Artigo 6º,

§2º

4.36. O §2º do art. 6º dispõe:

“§2º É facultado ao agente de tratamento de pequeno porte, quando

solicitado pelo titular de dados, optar por anonimizar, bloquear ou eliminar os

dados desnecessários, excessivos ou tratados em desconformidade com o

disposto na LGDP, na forma do art. 18, inciso IV, da LGPD.”

4.37. A ideia é empregar, ao invés da preposição “por”, que empresta uma

ideia de adição, o que não se quer aqui, a proposição “entre”, que dá a ideia mais

objetiva de opção.

4.38. Desse modo, o §2º passa a ter a seguinte redação:

“§2º É facultado ao agente de tratamento de pequeno porte,

quando solicitado pelo titular de dados, optar entre anonimizar,

bloquear ou eliminar os dados desnecessários, excessivos ou

tratados em desconformidade com o disposto na LGDP, na forma

do art. 18, inciso IV, da LGPD.”

Artigo 7º

4.39. O art. 7º dispõe:

“Art. 7º Os agentes de tratamento de pequeno porte ficam dispensados do

envio da declaração a que se refere o art. 19, inciso II, da LGPD.”

4.40. Seria interessante adotar o mesmo verbo, nesse caso, que a LGPD, para

a ação do agente diante da requisição do titular, qual seja, “fornecer”, ao invés de

“enviar”.

4.41. Importante, ainda, seria tornar o objeto do artigo – a declaração – mais

explícito, para tornar a leitura ainda mais direta.

4.42. Assim, propõe-se que o art. 7º passe a ter a seguinte redação:

“Art. 7º Os agentes de tratamento de pequeno porte ficam

dispensados de fornecer a declaração clara e completa de que

trata o art. 19, inciso II, da LGPD.”

Artigo 8º, caput

4.43. O art. 8º dispõe:

“Art. 8º O acesso pelo titular às informações sobre o tratamento de seus

dados, disposto no art. 9º da LGPD, pode ocorrer por meio eletrônico ou por

qualquer outra forma que permita o acesso facilitado entre o agente de

tratamento de pequeno porte e o titular dos dados pessoais.”

4.44. Vê-se interessante inverter a assertiva inicial e a final, para evidenciar ser

o agente o que possui o dever de disponibilizar as informações.

4.45. Em virtude do exposto, o art. 8º passa a ser assim redigido:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 7

Página 8

“Art. 8º A disponibilização das informações sobre o tratamento de

dados pessoais, nos termos do art. 9º da LGPD, pode ocorrer por

meio eletrônico ou por qualquer outra forma que assegure o

acesso facilitado às informações pelo titular dos dados pessoais.”

Artigo 9º, caput

4.46. O art. 9º dispõe:

“Art. 9º As entidades de representação da atividade empresarial relacionadas

aos agentes de tratamento de pequeno porte, incluindo aqueles que realizam

tratamento de alto risco para os titulares, poderão prestar assessoria e

auxiliar na negociação, na mediação e na conciliação de reclamações

apresentadas por titulares de dados.”

4.47. Entendida a disposição, verifica-se ser mais apropriado dirigir a

possibilidade de auxílio e assessoria não às entidades, mas aos próprios agentes.

Verifica-se, ainda, a necessidade de excluir o trecho “para os titulares”, por

pleonasmo, e acrescentar ao critério de tratamento de alto risco, o realizado em larga

escala.

4.48. Nesse sentido, a redação do art. 9º passa a ser:

“Art. 9º Fica facultado aos agentes de tratamento de pequeno

porte, inclusive àqueles que realizam tratamento de alto risco e em

larga escala, fazerem-se representar por entidades de

representação da atividade empresarial, por pessoas jurídicas ou

por pessoas naturais para fins de negociação, mediação e

conciliação de reclamações apresentadas por titulares de dados.”

Artigo 10

4.49. O art. 10 dispõe:

“Art. 10. Os agentes de tratamento de pequeno porte ficam dispensados da

obrigação de manutenção de registros das operações de tratamento de

dados pessoais constante do art. 37 da LGPD.”

4.50. Seria interessante que, mesmo dispensados da obrigação de

manutenção de registros das operações de tratamento, fosse facultado a esses

agentes mantê-los, como manifestação de boa fé e demonstração de atenção ao

princípio da responsabilização e prestação de contas, o que permitirá a esses

agentes evidenciar sua boa imagem perante a sociedade e usufruir dessa confiança,

e tal ação serviria de atenuante para fins de aplicação de sanções administrativas pela

ANPD.

4.51. Com o fim de auxiliar esses agentes nesse quesito, a ANPD poderia

fornecer modelos que permitissem o registro voluntário e simplificado das operações

de tratamento por esses agentes. Para materializar essa ideia, sugere-se a inclusão

de parágrafo único, com a seguinte redação:

“Parágrafo único. A ANPD fornecerá modelos para o registro

voluntário e simplificado das atividades de tratamento por agentes

de tratamento de pequeno porte, e considerará a existência de

tais registros para fins do disposto no art. 6º, inciso X e no art. 52,

§1º, incisos VIII e IX da LGPD.”

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 8

Página 9

Artigo 13,

§ 1º

4.52. O § 1º do art. 13 dispõe:

“§ 1º Ao microempreendedor individual e à pessoa natural que trate dados

pessoais é dispensada a obrigação de indicar encarregado pelo tratamento

de dados pessoais, mesmo que realize tratamento de alto risco para os

titulares.”

4.53. Aqui surge uma exceção ao art. 3º, pelo qual a dispensa ou a

flexibilização das obrigações previstas na norma não se aplicam aos agentes que

realizam tratamento de dados pessoais de alto risco. Tem-se, portanto, a exceção da

exceção, o que pode trazer confusão ao entendimento e à aplicação da norma.

Acredita-se que esse parágrafo não traga efetivas contribuições frente ao risco que

representa a sua excepcionalidade.

4.54. Sugere-se, portanto, a exclusão do § 1º e a conversão do § 2º

em Parágrafo único.

Artigo 14, caput

O art. 14 dispõe:

“Art. 14. No processo de adequação à LGPD, os agentes de tratamento de

pequeno porte devem priorizar a adoção de medidas administrativas e

técnicas para proteção dos dados pessoais, considerando o nível de risco à

privacidade dos titulares de dados e a realidade do agente de tratamento.”

Neste artigo sugerem-se três alterações. A primeira consiste na substituição do verbo

“priorizar”, que dá uma ideia de priorização de uma atividade sobre outra, por “adotar”,

que melhor representa o propósito do artigo.

A segunda reside na inserção dos termos “essenciais e necessárias, com base

em requisitos mínimos de segurança da informação”, uma vez que se verifica a

necessidade de estabelecer a ligação entre o art. 14 e seu parágrafo único, que

menciona a segurança da informação.

Ademais, entende-se que o propósito do art. 14 é outorgar, aos agentes de tratamento

de pequeno porte, o devido tratamento diferenciado na adoção de medidas

administrativas e técnicas para proteção dos dados pessoais, o que somente pode ser

evidenciado caso haja referência a medidas essenciais e necessárias, baseadas em

requisitos mínimos de segurança da informação. Ressalta-se, ainda, que a inserção ora

proposta integra vernáculo amplamente conhecido na comunidade de especialistas em

segurança da informação, o que tornará o texto do art. 14 perfeitamente inteligível.

A terceira consiste em retirar o trecho inicial “No processo de adequação à LGPD”, uma

vez que tal assertiva pode sugerir que, findo o processo de adequação, os agentes de

tratamento de pequeno porte não precisariam mais adotar as medidas administrativas

e técnicas para proteção dos dados pessoais.

Desse modo, o art. 14 passa a ter a seguinte redação:

“Art. 14. Os agentes de tratamento de pequeno porte devem

adotar medidas administrativas e técnicas essenciais e

necessárias, com base em requisitos mínimos de segurança da

informação para proteção dos dados pessoais, considerando, ainda,

o nível de risco à privacidade dos titulares de dados e a realidade

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 9

Página 10

do agente de tratamento.”

Título III

O Título III – Da Política de Segurança da Informação trata de modo específico dessa

política aos agentes de tratamento de pequeno porte. A abordagem desse tema

poderia seguir os moldes da LGPD, que o aborda de modo geral no capítulo VII da lei,

sob os termos “Da Segurança e das Boas Práticas”, mesma construção da Seção VI da

norma em análise.

Nesse sentido, propõe-se a exclusão do Título III, e a consequente inclusão

do art. 15, dantes nele compreendido, à mencionada Seção VI.

Art. 15

4.55. O art. 15 dispõe:

“Art. 15. Os agentes de tratamento de pequeno porte podem estabelecer

uma política simplificada de segurança da informação, que contemple o

tratamento de dados pessoais com o objetivo de protegê-los de acessos não

autorizados e de situações acidentais ou ilícitas de destruição, perda,

alteração, comunicação ou qualquer forma de tratamento inadequado ou

ilícito.”

4.56. Ao contrário da LGPD, que em seu Capítulo VII não aborda

especificamente políticas de segurança da informação, mas sim, de modo geral,

“medidas de segurança, técnicas e administrativas”, a norma menciona diretamente

uma “política simplificada de segurança da informação”.

4.57. Uma vez que o objetivo da norma é clarificar as ações a serem adotadas

por parte dos agentes de tratamento de pequeno porte, e explanar de modo

indubitável as dispensas e as flexibilizações à Lei a que tais agentes estarão sujeitos,

não se vê, nessa abordagem, quaisquer impropriedades.

4.58. Entretanto, percebe-se que o termo “política simplificada” carece de

maior especificação, inclusive para guardar coerência com os conceitos da área da

Segurança da Informação. Dessa forma, propõe-se acrescentar, no art. 15, breve

explicação à mencionada “política simplificada”, com a expressão “que contemple

requisitos essenciais”.

4.59. Desse modo, o art. 15 passa a ter a seguinte redação:

“Art. 15. Os agentes de tratamento de pequeno porte podem

estabelecer uma política simplificada de segurança da informação,

que contemple requisitos essenciais para o tratamento de dados

pessoais, com o objetivo de protegê-los de acessos não

autorizados e de situações acidentais ou ilícitas de destruição,

perda, alteração, comunicação ou qualquer forma de tratamento

inadequado ou ilícito.”

Art. 15,

Parágrafo único

4.60. O Parágrafo único do art. 15 dispõe:

“Parágrafo único. A política simplificada de segurança da informação deve

levar em consideração o nível de risco do tratamento de dados para os

direitos e liberdades do titular, bem como os custos de implementação, a

realidade financeira e a disponibilidade de recursos dos agentes.”

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 10

Página 11

4.61. Aqui se verificam requisitos que podem ser otimizados com vistas a

abranger todos os aspectos que devem ser considerados na formulação de política

simplificada de segurança da informação. Propõe-se, em primeiro, a retirada dos

termos “realidade financeira” e “disponibilidade de recursos dos agentes”, por se

entender que estão inclusos na concepção abrangente de “custos de

implementação”.

4.62. Em segundo, propõe-se acrescentar os termos “estrutura”, “escala” e

“volume” relativos às operações de tratamento. Em terceiro, sugere-se a inclusão do

termo “criticidade”, por ser item de planejamento na concepção de medidas de

segurança da informação, e amplamente reconhecido por especialistas nessa área

temática. Uma vez que “criticidade” se constitui em parâmetro, faz-se mister

endereçá-la ao aspecto “direitos e liberdades do titular”.

4.63. Importante ressaltar que, não obstante não se caracterize uma

obrigação dos agentes de tratamento de pequeno porte a elaboração da mencionada

política simplificada de segurança da informação, tal medida deve ser incentivada, em

nome da adequada governança de dados pessoais em todos os níveis. Desse modo,

sugere-se abordagem similar à realizada no que tange à manutenção de registro das

operações de tratamento, em nome da transparência e da atenção ao princípio da

responsabilização e prestação de contas.

4.64. Nesse sentido, no cômputo do art. 15, propõe-se a inclusão de novo

parágrafo, com o seguinte teor:

“A ANPD considerará a existência das políticas simplificadas de segurança da

informação para fins do disposto no art. 6º, inciso X e no art. 52, §1º, incisos

VIII e IX da LGPD.”

4.65. Diante do exposto, passam a ser considerados os seguintes parágrafos,

consequentes ao art. 15:

“§1º A política simplificada de segurança da informação deve levar

em consideração os custos de implementação, bem como a

estrutura, a escala e o volume das operações do agente de

tratamento de pequeno porte, bem como a sensibilidade e a

criticidade dos dados tratados diante dos direitos e liberdades do

titular.”

“§2º A ANPD considerará a existência das políticas simplificadas de

segurança da informação para fins do disposto no art. 6º, inciso X

e no art. 52, §1º, incisos VIII e IX da LGPD.”

Art. 16, inciso I

4.66. O inciso I do art. 16 dispõe:

“I - no atendimento das solicitações dos titulares referentes ao tratamento

de seus dados pessoais, conforme previsto no art. 18, parágrafos 3º e 5º, e

art. 19 da LGPD, nos termos da resolução específica;”

4.67. Verifica-se, no inciso, a menção ao art. 19 da LGPD. Entretanto, o art. 7º

da norma dispensa os agentes de tratamento de pequeno porte de enviar a

declaração prevista no referido artigo. Em consequência, sugere-se a retirada do

trecho “e art. 19 da LGPD” do apontado dispositivo.

4.68. Portanto, o inciso I passa a ter a seguinte redação:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 11

Página 12

“I - no atendimento das solicitações dos titulares referentes ao

tratamento de seus dados pessoais, conforme previsto no art. 18,

parágrafos 3º e 5º, nos termos da resolução específica;”

Art. 16, inciso II

4.69. O inciso II do art. 16 dispõe:

“II – na comunicação à ANPD e ao titular da ocorrência de incidente de

segurança que possa acarretar risco ou dano relevante aos titulares, nos

termos da resolução específica;”

4.70. Aqui se considera importante não atribuir prazo em dobro para

quaisquer situações, uma vez que pode haver casos em que um incidente de

segurança, por parte de agente de tratamento de pequeno porte, pode gerar risco

muito elevado à integridade dos titulares ou à segurança nacional. Nesses casos,

acredita-se que os prazos não podem contar em dobro, mas a comunicação deve

seguir resolução específica, aos moldes do realizado aos demais agentes de

tratamento.

4.71. Nesse sentido, a redação do inciso II passa a ser:

“II – na comunicação à ANPD e ao titular da ocorrência de incidente

de segurança que possa acarretar risco ou dano relevante aos

titulares, nos termos da resolução específica, exceto quando

houver potencial comprometimento à integridade dos titulares ou à

segurança nacional, devendo, nesses casos, a comunicação

atender aos prazos conferidos aos demais agentes de tratamento,

conforme os termos da mencionada resolução.”

Art. 16,

Parágrafo único

4.72. O Parágrafo único do Art. 16 dispõe:

“Parágrafo único. Os prazos em dobro não especificados nesta resolução

para agentes de tratamento de pequeno porte serão determinados por

resoluções específicas.”

4.73. Aqui sugere-se não estabelecer a flexibilização sempre em dobro, visto

que nas resoluções específicas a ANPD poderá prever flexibilização ainda mais

extensa ou, eventualmente, menos extensa, em caso de maior risco.

4.74. Desse modo, propõe-se nova redação ao Parágrafo único, que passa a

dispor:

“Parágrafo único. Os prazos não especificados nesta resolução

para agentes de tratamento de pequeno porte serão determinados

por resoluções específicas.”

Art. 19. Caput

4.75. O art. 19 dispõe:

“Art. 19. A ANPD poderá determinar ao agente de tratamento de pequeno

porte o cumprimento de obrigações flexibilizadas nesta Resolução,

considerando as circunstâncias relevantes da situação, tais como a natureza

e o volume das operações, os riscos para os titulares e a sensibilidade dos

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 12

Página 13

dados tratados.”

4.76. Verifica-se, nesse artigo, a necessidade de acrescentar a opção de

dispensa, além da mencionada flexibilização. Ressalta-se, ainda, a necessidade de

acrescentar o termo “criticidade” ao da sensibilidade, já grafado.

4.77. Diante dessa consideração, o art. 19 passa a ter a seguinte redação:

“Art. 19. A ANPD poderá determinar ao agente de tratamento de

pequeno porte o cumprimento de obrigações dispensadas ou

flexibilizadas nesta Resolução, considerando as circunstâncias

relevantes da situação, tais como a natureza e o volume das

operações, os riscos para os titulares e a sensibilidade e a

criticidade dos dados tratados.”

Art. 20. Caput

O art. 20 dispõe:

“Art. 20. Esta resolução entra em vigor na data de sua publicação”.

4.78. Em virtude do que preconiza o Decreto nº 10.139, de 28 de novembro

de 2019, em seu art. 4º, “os atos normativos estabelecerão data certa para a sua

entrada em vigor e para a sua produção de efeitos: (I) de, no mínimo, uma semana

após a data de sua publicação; e (II) sempre no primeiro dia do mês ou em seu

primeiro dia útil.

4.79. Em consequência, propõe-se que o art. 20 passe a ter a seguinte

redação:

“Art. 20. Esta resolução entra em vigor no dia 1º de XXXXX de

XXXX.”

ANÁLISE DO RELATÓRIO DE ANÁLISE IMPACTO REGULATÓRIO

4.80. A Coordenação-Geral de Normatização, e cumprimento à determinação

contida no § 2º do art. 55-J da LGPD, elaborou o Relatório de Análise de Impacto

Regulatório – AIR (SEI nº 2811023), com o fim de analisar a construção do modelo

regulatório para aplicação da mencionada Lei a microempresas e empresas de

pequeno porte, startups e pessoas físicas que tratam dados pessoais.

4.81. O Relatório de AIR possui três temas ao longo de 74 (setenta e quatro)

páginas, sendo o Tema 1 - Definição de microempresa, empresa de pequeno porte e

startup; o Tema 2 - Conformidade das obrigações da LGPD pelas microempresas,

empresas de pequeno porte e startups e pessoas físicas que tratam dados pessoais;

e o Tema 3 - Segurança da informação para proteção de dados pessoais e boas

práticas. Os temas foram devidamente analisados e considerados, o que levou às

conclusões a seguir explanadas.

4.82. Com relação ao tema 1, visualizou-se que a melhor opção para se definir

os destinatários da norma a ser editada deve considerar os critérios adequados que

permitam a simplificação e a flexibilização de certa obrigação sem o considerável

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 13

Página 14

aumento dos riscos envolvidos, tanto para os titulares de dados quanto para esse o

grupo de agentes escopo da norma. Concluiu-se, portanto, que a melhor forma de

atingir esses critérios é por meio da criação de um conceito-base que inclua as

microempresas, empresas de pequeno porte e startups, como os trazidos pela Lei

Complementar nº 123/2006 para as microempresas, empresas de pequeno porte e

startups, e pela Lei Complementar nº 182/2021.

4.83. Quanto ao tema 2, concluiu-se que a opção mais adequada consiste na

edição de um normativo único para dispor sobre o tratamento diferenciado das

obrigações dispostas na LGPD para que microempresas, empresas de pequeno

porte, startups e pessoas físicas que tratam dados pessoais possam se adequar à

lei.

4.84. No que tange ao tema 3, concluiu-se que a sugestão mais adequada

baseia-se na edição de um guia orientativo sobre segurança da informação voltado

às microempresas, empresas de pequeno porte, startups e pessoas físicas que

tratam dados pessoais, considerando o potencial desse instrumento em disseminar

conhecimento de forma abrangente e com linguagem acessível; o fato de não criar

obrigações específicas para esse grupo de agentes, sem defini-las em normas gerais

para outros grupos; e a proteção que proporciona aos direitos dos titulares de

dados, pelo aumento de confiança quanto à segurança no tratamento de seus

dados.

4.85. Portanto, o Relatório de AIR elaborado pela CGN atende integralmente

ao preconizado pela LGPD e embasa com propriedade a minuta de resolução de

proteção de dados pessoais para agentes de tratamento de pequeno porte.

5. VOTO

5.1. Diante de todo o exposto, voto pela submissão da minuta da Resolução

de Tratamento de Dados Pessoais por Agentes de Tratamento de Pequeno Porte à

Consulta Pública, nos termos do art. 53 da LGPD, pelo prazo de, pelo menos, 30

(trinta) dias, e pela realização de audiência pública, em data a ser fixada pela

Coordenação-Geral de Normatização, e em atendimento ao comando extraído do Art.

62 do Regimento Interno da ANPD, conforme proposto pela mencionada

Coordenação-Geral (SEI nº 2810848).

5.2. Destaco que as alterações aqui propostas restam consolidadas na

minuta de Resolução de Tratamento de Dados Pessoais por Agentes de Tratamento

de Pequeno Porte que segue anexa ao presente voto.

5.3. Por fim, considerando a urgência na aprovação da matéria para

cumprimento dos prazos propostos, em especial o impacto dos processos de

adequação à LGPD por parte dos agentes de tratamento de pequeno porte, objeto da

presente norma, proponho a votação por meio de circuito deliberativo, nos termos

do § 1º do art. 40, do Regimento Interno da ANPD. Proponho, ainda, que seja

observada a possibilidade de redução de prazo mínimo para deliberação, prevista no

§ 1º do

art. 41 do Regimento Interno da ANPD.

5.4. É como voto.

ARTHUR PEREIRA SABBAT

Diretor Relator

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 14

Página 15

ANEXO - Minuta de Resolução de Tratamento de Dados Pessoais por Agentes de

Tratamento de Pequeno Porte

Documento assinado eletronicamente por Arthur Pereira Sabbat,

Diretor(a), em 25/08/2021, às 12:42, conforme horário oficial de Brasília,

com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de

novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2833113 e o código CRC 19E4B6EB no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2833113

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 15

Página 16

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD

para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 10/2021 -

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em

26/08/2021, às 15:56, conforme horário oficial de Brasília, com fundamento

no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2837223 e o código CRC B6989E6E no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2837223

Voto 12 (2837223) SEI 00261.000054/2021-37 / pg. 16

Página 17

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 11/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD

para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 11/2021 -

DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em

26/08/2021, às 17:53, conforme horário oficial de Brasília, com fundamento

no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2837963 e o código CRC 35BFB00F no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2837963

Voto 11 (2837963) SEI 00261.000054/2021-37 / pg. 17

Página 18

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD

para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 10/2021

DIRETORA NAIRANE RABELO FARIAS LEITÃO

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão,

Diretor(a), em 27/08/2021, às 09:04, conforme horário oficial de Brasília,

com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de

novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2838047 e o código CRC 7C6A2A63 no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2838047

Voto 12 (2838047) SEI 00261.000054/2021-37 / pg. 18

Página 19

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 8/2021/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD

para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 11/2021 -

DIRETOR PRESIDENTE WALDEMAR GONÇALVES

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho

Junior, Diretor-Presidente, em 27/08/2021, às 15:25, conforme horário

oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543,

de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2839425 e o código CRC B3FDD9B4 no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2839425

Voto 8 (2839425) SEI 00261.000054/2021-37 / pg. 19