CD nº 4/2022 — Regulamento para agentes de tratamento de pequeno porte

Página 1

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/MW/ANPD

VOTO Nº 21/2021/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37 INTERESSADO: Autoridade Nacional de Proteção de Dados - ANPD DIRETORA MIRIAM WIMMER

1. ASSUNTO

1.1. Minuta de Resolução que aprova oRegulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte.

1. EMENTA

RESOLUÇÃO. REGULAMENTO DE APLICAÇÃO DA LEI Nº 13.709, DE 14 DE AGOSTO DE 2018, LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD), PARA AGENTES DE TRATAMENTO DE PEQUENO PORTE. APROVAÇÃO DA MINUTA, COM SUGESTÕES DE ALTERAÇÃO.

1. RELATÓRIO

3.1. Trata-se de minuta de Resolução, que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte, encaminhada ao Conselho Diretor pela Coordenação-Geral de Normatização (CGN).

3.2. Ainda antes das etapas formais de consulta à sociedade, nos termos propostos pela Nota Técnica nº 1/2021/CGN/ANPD, de 29 de janeiro de 2021 (SEI nº 2361654), foi realizada a Tomada de Subsídios nº 1/2021, com prazo de 30 dias. Foram enviados ofícios aos principais interessados no tema para manifestação sobre a sua regulamentação. Nesse período, a Coordenação-Geral de Normatização recebeu 65 (sessenta e cinco) contribuições tempestivamente e 6 (seis) contribuições fora do prazo estipulado.

3.3. Após análise das contribuições recebidas durante a tomada de subsídios, a minuta foi submetida a consulta interna de 10 de junho de 2021 a 18 de junho de 2021, com subsequente consolidação de nova versão da minuta de resolução (SEI nº 2699933).

3.4. A versão preliminar do ato normativo foi submetida à análise da Assessoria Jurídica e do Conselho Diretor da ANPD, que deliberou, por meio do Circuito Deliberativo nº 10/2021/SG/ANPD, de 27 de agosto de 2021 (SEI nº 2840933), pela realização de Consulta Pública pelo prazo de 30 (trinta) dias. Este prazo foi posteriormente prorrogado por 15 (quinze) dias, nos termos do Despacho Decisório nº41/2021/SG/ANPD (SEI nº 2919964), findando no dia 14 de outubro de 2021.

3.5. Em cumprimento ao disposto na LGPD, também foi realizada audiência pública para discussão da matéria, nos termos do Despacho Decisório nº 35/2021/

Página 2

SG/ANPD (SEI nº 2841633), de 27 de agosto de 2021.

3.6. De acordo com o exposto na Nota Técnica nº 35/2021/CGN/ANPD (SEI nº 3050137), durante a consulta pública, foram recebidas 1.427 (mil quatrocentas e vinte sete) contribuições de 243 (duzentos e quarenta e três) participantes, devidamente analisadas pela área técnica. Ademais, durante a realização da audiência pública, que contou com 455 (quatrocentos e cinquenta e cinco) espectadores simultâneos, foram recebidas contribuições de 94 (noventa e quatro) manifestantes. As contribuições orais recebidas foram analisadas conjuntamente com aquelas recebidas durante a consulta pública.

3.7. Na sequência, a Assessoria Jurídica se manifestou pela legalidade do ato normativo, apresentando recomendações de alteração, conforme exposto no Parecer nº 00025/2021/GAB/ASJUR-ANPD/CGU/AGU (SEI nº 3081640).

3.8. A CGN analisou as recomendações da Assessoria Jurídica e efetuou novas alterações na minuta, conforme a justificativa apresentada na Nota Técnica nº 40/2021/CGN/ANPD (SEI nº 3087985).

3.9. Foram anexadas aos autos versões sem marcas (SEI nº 3089581) e com marcas (SEI nº 3089579) do regulamento.

3.10. O processo foi distribuído a este Gabinete após sorteio realizado no dia 23 de dezembro de 2021, conforme certificado nos autos (SEI nº 3090427), para que seja relatada a matéria perante o Conselho Diretor.

4, ANÁLISE I. Aspectos formais

4.1. Inicialmente, verifico que foram observados os procedimentos formais

aplicáveis à hipótese de modo que a instauração e a instrução do processo obedeceram às disposições regimentais, havendo a necessária motivação

para a edição do ato normativo.

4.2. Nesse sentido, a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de regulamento “expressa decisão quanto ao provimento normativo de competência da ANPD”, em conformidade com o art. 51 do Regimento Interno. De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte:

Art.

1. Os atos de caráter normativo da ANPD serão expedidos por meio de

Resoluções, de competência exclusiva do Conselho Diretor, observados os procedimentos relativos à Consulta Pública e à Audiência Pública.

8 1º A edição de atos normativos da ANPD será precedida de Análise de Impacto Regulatório, que será elaborado nos termos da legislação pertinente, contendo informações e dados sobre os prováveis efeitos do ato, a fim de verificar a razoabilidade do impacto e subsidiar a tomada de decisão.

4.3. Em consonância com o Regimento Interno e com o art. 55-), 8 2º, da LGPD, o presente regulamento foi submetido à consulta e à audiência públicas (SEI nº 2844818 e SEI nº 2871704). As contribuições apresentadas pela sociedade foram devidamente apreciadas pela área técnica (SEI nº 3050137).

4.4, Por fim, registro que o Relatório de Análise de Impacto Regulatório (SEI nº 2811023) foi anexado aos autos e submetido à apreciação do Conselho Diretor.

II. Análise de mérito II.I. Aspectos gerais

4.5. A Lei Geral de Proteção de Dados Pessoais - LGPD (Lei nº 13.709, de 14 de agosto de 2018), dedica especial atenção aos agentes de pequeno porte,

Página 3

estabelecendo o seguinte: Art. 55-). Compete à ANPD:

XVIII - editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se a esta Lei;

Art.

1. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.

8 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

4.6. Em cumprimento ao disposto na LGPD, a Agenda Regulatória da ANPD para o biênio 2021-2022, aprovada pela Portaria nº 11, de 27 de janeiro de 2021, definiu, em seu item 3, que o tratamento do tema seria iniciado ainda no primeiro semestre do ano de 2021 (Fase 1), o que de fato ocorreu.

4.7. Assim, com base na LGPD e em conformidade com o previsto na Agenda Regulatória, a minuta de regulamento ora sob análise delineia regras que estabelecem um tratamento diferenciado para os agentes de tratamento de pequeno porte. Como exposto no Parecer nº 00025/2021/GAB/ASJUR-ANPD/CGU/AGU (SEI nº 3081640), o regulamento reconhece “a existência de um microssistema diferenciado dedicado à s microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação”.

4.8. O pressuposto central desse microssistema é o de que essas entidades demandam um tratamento regulamentar diferenciado, que seja compatível com as suas peculiaridades, a exemplo de sua natureza jurídica e o seu porte, bem como o tipo e o volume de suas operações de tratamento de dados pessoais. Nessa linha, como se extrai da LGPD, o propósito a ser alcançado é amplo e abrange duas estratégias principais, conforme o caso: (i) a flexibilização ou a dispensa do cumprimento de obrigações, quando juridicamente admissível e verificado que o ônus correspondente pode se demonstrar excessivo e desproporcional para o agente de tratamento de pequeno porte; e (ii) a edição de orientações e procedimentos simplificados e diferenciados, que faciltem e incentivem os agentes de tratamento de pequeno porte a atuar em conformidade com a legislação de proteção de dados pessoais.

4.9. A proposta de regulamento adota essas duas estratégias regulatórias de forma bem equilbrada, na medida em que apresenta uma relação de proporcionalidade entre, de um lado, as medidas de intervenção administrativa direcionadas aos agentes de tratamento de pequeno porte e, de outro, a promoção de uma cultura de proteção de dados pessoais e a garantia de direitos fundamentais.

4.10. Por tais razões, entendo válida e oportuna a aprovação do regulamento que estabelece regras para a aplicação da LGPD aos agentes de tratamento de pequeno porte.

4.11. Não obstante, vislumbro a necessidade de alguns ajustes, a fim de tornar mais claros os procedimentos e as regras previstas na minuta. Para facilitar a identificação das alterações efetuadas, anexei ao processo versão com marcas de revisão (3144482) e versão final consolidada (3144487).

4.12. A seguir, destaco os principais pontos da regulamentação, incluindo as

Página 4

alterações de mérito efetuadas, apresentando a análise e as justificativas correspondentes. Não serão apresentadas, no presente voto, correções de digitação e ajustes meramente formais, sem qualquer implicação substantiva. Tais modificações estão registradas na minuta com marcas de revisão anexada ao processo.

II.Il. Definição de agente de tratamento de pequeno porte e âmbito de incidência do regulamento

4.13. O âmbito de incidência do regulamento é delimitado pela definição, no art. 2º, de agente de tratamento de pequeno porte e pelas definições correlatas de microempresa, empresa de pequeno porte e startup. A redação é a seguinte:

Art. 2º Para efeitos deste regulamento são adotadas as seguintes definições:

- agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;

Il - microempresas e empresas de pequeno porte: sociedade empresária, sociedade simples, sociedade limitada unipessoal, nos termos do art. 41 da Lei nº 14,195, de 26 de agosto de 2021, e o empresário a que se refere o art. 966 da Lei nº 10.406, de 10 de janeiro de 2002 (Código Civil), incluído o microempreendedor individual, devidamente registrados no Registro de Empresas Mercantis ou no Registro Civil de Pessoas Jurídicas, que se enquadre nos termos do art. 32 e 18-A, 81º da Lei Complementar nº 123, de 14 de dezembro de 2006;

ll - startups: organizações empresariais ou societárias, nascentes ou em operação recente, cuja atuação caracteriza-se pela inovação aplicada a modelo de negócios ou a produtos ou serviços ofertados, que atendam aos critérios previstos no Capítulo Il da Lei Complementar nº 182, de 1º de junho de 2021; e

L…]

4.14. Portanto, são agentes de tratamento de pequeno porte, nos termos do art. 2º:

(i) microempresas e empresas de pequeno porte, incluindo o microempreendedor individual, conforme definidos na Lei Complementar nº 123/2006;

(ii) startups, conforme definição da Lei Complementar nº 182, de 1º de junho de 2021;

(iii) pessoas jurídicas de direito privado sem fins lucrativos, a exemplo de associações, fundações e organizações religiosas, observado o limite de faturamento previsto para as empresas de pequeno porte, conforme será abordado mais adiante;

(iv) outras pessoas jurídicas de direito privado não incluídas nas definições acima, a exemplo de sociedades de advogados, inscritas na Ordem dos

Advogados do Brasil. Neste caso, também é necessário observar o limite de faturamento previsto para as empresas de pequeno porte;

(v) pessoas naturais que atuam como controlador ou operador. É o caso, por exemplo, de empresários individuais ou de profissionais liberais autônomos que não se incluem na definição de microempreendedor individual. Neste caso, também é necessário observar o limite de faturamento previsto para as empresas de pequeno porte; e

(vi) entes privados despersonalizados, a exemplo de condomínios residenciais, observado o limite de faturamento previsto para as empresas de

Página 5

pequeno porte.

4.15. Importante registrar que a Assessoria Jurídica se manifestou pela legalidade dessa definição de agente de tratamento de pequeno porte, nos seguintes termos:

1. Assim, pelo que se depreende da extensão proposta no artigo 2º, inciso

   , da minuta, busca-se aplicar o mesmo regime diferenciado às pessoas naturais que tratem dados com finalidade econômica, às pessoas jurídicas não registradas no Registro de Empresas Mercantis ou no Cartório de Registro de Imóveis, inclusive as sem fins lucrativos, mas que possuam determinado patamar de receita semelhante às micro e pequenas empresas, já que também supõe-se a elas se aplicar as mesmas premissas que embasaram a previsão de uma norma de flexibilização (quais sejam: limitados recursos para fazer frente à adequação à LGPD, assimetria informacional ante sociedades com mais poder econômico, estímulo à adequação com a redução do custo regulatório a quem trate dados com baixo impacto).

1. Entende-se, quanto ao ponto, que a Autoridade, munida da competência que lhe foi outorgada pelo 82º e 84º do artigo 55-) da LGPD, e com fundamento no inciso XVII do mesmo dispositivo, pode normatizar o tema, a partir do sopesamento dos princípios envolvidos […]. (Parecer nº 00025/2021/GAB/ASJUR- ANPD/CGU/AGU, SEI nº 3081640).

Z

4.16. Assim, a definição é juridicamente adequada, uma vez que confere tratamento regulatório isonômico aos agentes que se encontram em posição similar, considerando a natureza e o porte da entidade, bem como o volume e o tipo de operações de tratamento realizados. De fato, não seria coerente dispensar, por exemplo, um pequeno comércio de cumprir uma determinada obrigação e, ao mesmo tempo, exigir esta mesma obrigação de um associação de bairro ou de um condomínio residencial.

4.17. Outro ponto que merece destaque é a utilização apenas do conceito de “startups”, sem a inclusão do conceito de “empresas de inovação”, que também é referido no art. 55-), XVIII, da LGPD. A área técnica apresentou a seguinte justificativa para esta opção conceitual: Relativamente à possibilidade de inclusão de definição específica para as empresas de inovação, em que pese a LGPD tratar do tema em seu art. 55-), XVIII, e fazer menção expressa a estas, entende-se que a definição trazida pelo art. 4º da LC nº 182/2021, ao determinar que “São enquadradas como startups as organizações empresariais ou societárias, nascentes ou em operação recente, cuja atuação caracteriza-se pela inovação aplicada a modelo de negócios ou a produtos ou serviços ofertados.”, abrangeria o conceito de empresas de inovação. Nesse sentido, entende-se pela desnecessidade de inclusão de inciso

para definição específica de empresas de inovação. (Nota Técnica nº 35/2021/CGN/ANPD, SEI 3050283).

4.18. Acrescente-se que o art. 4º, 8 1º, Ill,b, da Lei Complementar nº 182/2021 estabelece o enquadramento no regime especial Inova Simples como um dos requisitos que pode caracterizar uma startup. Por sua vez, o art. 65-A da Lei Complementar nº 123/2006 determina que o regime especial do Inova Simples é aplicável às “empresas de inovação”. Dessa forma, constata-se que a própria legislação de regência adotou um conceito amplo de startup, no qual se incluem as empresas de inovação, justificando-se, por tal motivo, a adoção apenas do primeiro conceito no regulamento da ANPD.

4.19. Além do conceito de agentes de tratamento de pequeno porte, o âmbito de incidência do regulamento é delimitado por critérios adicionais relativos ao faturamento da entidade e à realização de tratamento de alto risco, conforme previstos nos 88 1º e 2º do art. 2º e no art. 3º. Para simplificar a compreensão da norma, proponho reunir esses critérios em um único dispositivo, isto é em um novo art. 3º, Reproduzo no quadro abaixo o comparativo entre a atual redação e a alteração proposta:

Página 6

Minuta de regulamento (3089581)

””””’Propostadealteração

Art. 2º […]

81º Para fins deste regulamento, aplicam-se aos agentes de pequeno porte, quando não houver disposição legal específica, a receita bruta máxima estabelecida no art. 3º, inciso Il, da Lei Complementar nº 123, de 14 de dezembro de 2006.

82º Aos agentes de tratamento de pequeno porte que pertençam a grupo econômico de fato ou de direito, conforme legislação em vigor, não serão aplicadas as disposições contidas neste regulamento.

Art. 3º A dispensa e a flexibilização das obrigações previstas neste regulamento não são aplicáveis a agentes de tratamento de pequeno porte que realizem tratamento de alto risco para os titulares, ressalvadas as hipóteses previstas nos arts. 82 e 11 deste regulamento.

Art. 3º Não poderão se beneficiar do tratamento jurídico diferenciado previsto neste Regulamento os agentes de tratamento de pequeno porte que:

- realizem tratamento de alto risco para os titulares,

ressalvada a hipótese prevista no art. 8º;

- aufiram receita bruta superior ao limite estabelecido no art. 3º, inciso II, da Lei Complementar nº 123, de 2006 ou, no caso de startups, no art. 4º, 8 1º,

, da Lei Complementar nº 182, de 2021: ou

III - pertençam a grupo econômico de fato ou de direito, cuja receita global

ultrapasse os limites referidos no inciso Il, conforme o caso.

4.20. A proposta apresentada simplífica a norma ao reunir em um único dispositivo os critérios adicionais para a delimitação do âmbito de incidência do regulamento, mantendo-se inalterado o conteúdo das disposições sugeridas pela área técnica.

4.21. Assim, ainda que se enquadre na definição prevista no art. 2º,

, o agente de pequeno porte estará excluído do tratamento diferenciado previsto no regulamento se (i) realiza tratamento de alto risco; ou (ii) aufere receita bruta superior ao limite previsto para as empresas de pequeno porte ou, se for o caso, para as startups, seja diretamente ou ao se considerar a receita global do grupo econômico do qual faz parte. 4 contrario sensu, insere-se no âmbito de incidência do regulamento: (i) o agente de tratamento de pequeno porte (art. 2º,

); (ii) que não realiza tratamento de alto risco; e (ii) não aufere receita bruta superior ao limite previsto para as empresas de pequeno porte ou, se for o caso, para as startups.

4.22. Em relação ao critério da receita bruta, deve-se considerar que, exclusivamente no caso de startups, há limite específico de faturamento, de até R$ 16 milhões, conforme art. 4º, 8 1º,

, da Lei Complementar nº 182/2021. Este limite é superior ao previsto para as empresas de pequeno porte, a ser observado por todos os demais agentes de tratamento de pequeno porte, que é de até R$ 4,8 milhões (art. 3º, II, Lei Complementar nº 123/2006).

4.23. Ressalte-se que a utilização do limite de R$ 4,8 milhões se justifica por uma questão de isonomia, de modo que se busca aplicar o mesmo regime jurídico a todos os agentes de tratamento de pequeno porte, com base em um critério objetivo e transparente. Nesse sentido, a norma confere tratamento igualitário a todos os agentes de pequeno porte que possuam um patamar de receita semelhante às micro e pequenas empresas, ainda que não sejam beneficiários diretos do regime do

Página 7

Simples Nacional, como no caso de entes despersonalizados, pessoas jurídicas sem fins lucrativos ou pessoas naturais que tratem dados com finalidade econômica. O pressuposto adotado é o de que a estes agentes se aplicam as mesmas premissas que embasaram a dispensa e a flexibilização de obrigações legais, em particular a limitação de recursos para a sua adequação à LGPD.

4.24. Em relação aos grupos econômicos, foi incluída expressa referência ao limite de receita bruta (art. 3º, Ill). O critério é similar ao previsto na Lei Complementar nº 123/2006 (art. 3º, 8 4º, III) e busca conferir maior coerência e isonomia ao tratamento dispensado às organizações em questão.

4.25. Importante destacar que, mesmo que realize tratamento de alto risco, O agente de tratamento de pequeno porte poderá se beneficiar da possibilidade de se organizar por meio de entidades de representação da atividade empresarial para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados (art. 8º), conforme ressalva feita na parte final do art. 3º,

. Neste caso, todas as demais obrigações deverão ser cumpridas pelo agente de tratamento, incluindo a indicação de encarregado, o que se justifica tendo em vista a necessidade de assegurar um maior e efetivo grau de proteção aos titulares nas situações em que são maiores os riscos aos seus direitos e interesses.

4.26. Por fim, ainda quanto ao âmbito de incidência do regulamento, foi incluído o seguinte parágrafo único no art. 1º: Art. 1º Este regulamento tem por objetivo regulamentar a aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais

(LGPD), para agentes de tratamento de pequeno porte, com base nas competências previstas no art. 55-), inciso XVIII, da referida Lei.

Parágrafo único. Este regulamento não se aplica ao tratamento de dados pessoais realizado por pessoa natural para fins exclusivamente particulares e não econômicos, bem como nas demais hipóteses previstas no art, 4º da LGPD.

4.27. A norma traz referência às disposições do art. 4º da LGPD e enfatiza o disposto em seu inciso I, ao mencionar que o regulamento não é aplicável quando a pessoa natural realiza tratamento para fins exclusivamente particulares e não econômicos. Ao reproduzir o disposto na LGPD, a norma visa auxiliar a interpretação do conceito de agente de tratamento de pequeno porte, o qual inclui referência a pessoas naturais “que realzam tratamento de dados pessoais”, conforme mencionado anteriormente.

H.III. Tratamento de alto risco

Z

4.28. A definição de “tratamento de alto risco” é relevante, pois constitui um dos critérios para a delimitação do âmbito de incidência do regulamento. Da mesma forma, deve-se considerar que o conceito de risco é incorporado na LGPD e na prática internacional como um elemento central da atuação de autoridades de proteção de dados. Nesse sentido, de forma simples e direta, pode-se dizer que o pressuposto adotado é o de que, quanto maior o risco aos titulares de dados pessoais, maior a cautela a ser observada no tratamento e maiores as exigências estabelecidas pela legislação e pela ANPD.

4.29. O art. 4º estabelece os critérios a serem utilizados pelo agente de tratamento de pequeno porte para verificar se realiza tratamento de alto risco. Já o art. 5º complementa o anterior, apontando que caberá ao agente de tratamento de pequeno porte verificar o seu enquadramento na definição regulamentar e, quando solicitado, comprová-lo perante a ANPD,. A redação, incluindo alguns ajustes, é a

Página 8

seguinte:

Art. 4º Para fins deste regulamento, e sem prejuízo do disposto no art. 16, será considerado de alto risco o tratamento de dados pessoais que atender cumulativamente a pelo menos um critério geral e um critério específico, dentre os a seguir indicados:

- critérios gerais: a) tratamento de dados pessoais em larga escala; ou

b) tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais dos titulares;

- critérios específicos: a) uso de tecnologias emergentes ou inovadoras; b) vigilância ou controle de zonas acessíveis ao público;

c) decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, inclusive aquelas destinadas a definir o perfil pessoal, profissional, de saúde, de consumo e de crédito ou os aspectos da personalidade do titular; ou

d) utilização de dados pessoais sensíveis, ou de dados pessoais de crianças, de adolescentes e de idosos.

8 1º O tratamento de dados pessoais em larga escala será caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado.

8 2º O tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade.

8 3º A ANPD poderá disponibilizar quias e orientações re-rtuito com o objetivo de auxiliar os agentes de tratamento de pequeno porte na avaliação do

tratamento de alto risco,pederá-dispenibilizarguias e -enentações.

Art, 5º Caberá ao agente de tratamento de pequeno porte, quando solicitado pela ANPD, comprovar que se enquadra nas disposições do art. 22 e do art. 42 3º deste regulamento em até 15-Lquinze dias).

4.30. Em relação às alterações efetuadas no art. 4º, na alínea “d” do inciso Il foi incluída a frase “ou de dados pessoais”, com objetivo de afastar eventual interpretação, que poderia decorrer da redação anterior, de que a alínea estaria se referindo apenas a dados sensíveis de crianças, de adolescentes e de idosos. Já no 8 2º, proponho incluir expressa referência à “integridade física” do titular dos dados, complementando as menções exemplificativas ao direito à imagem e à reputação, direitos que compõem a integridade moral dos titulares. Por fim, no 8 3º foi efetuada apenas ajuste de ordem formal, com o fim de adotar a ordem direta da frase, seguindo a melhor técnica legislativa.

4.31. No art. 5º foi mantida apenas a referência ao art. 2º e incluída a referência ao art. 3º em razão da incorporação nestes dispositivos das principais questões afetas à definição de agente de tratamento de pequeno porte e ao âmbito de incidência do regulamento, conforme análise efetuada na seção anterior deste voto.

4.32. No que concerne ao conceito de tratamento de alto risco, adoto a fundamentação apresentada pela área técnica. Conforme o exposto na Nota Técnica nº 35/2021/CGN/ANPD (SEI 3050283), o conceito foi inspirado em experiências internacionais e na própria LGPD, além de considerar as diversas contribuições recebidas na consulta à sociedade. Confira-se:

O outro artigo dispõe sobre o que se considera como tratamento de alto risco,

Página 9

Ele foi alterado de forma a conter duas categorias de critérios: gerais e específicos, de forma que é considerado de alto risco o tratamento de dados pessoais que atender cumulativamente a pelo menos um critério geral e um critério específico.

Os critérios gerais são larga escala e afetar significativamente direitos dos titulares. Os critérios específicos são tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, tratamento automatizado de dados pessoais e dados pessoais sensíveis, de crianças e adolescentes e de idosos, conforme pode ser observado na tabela a seguir

Critérios gerais

Larga escala Afetar significativamente direitos dos titulares

Critérios específicos

tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público;

tratamento automatizado de dados pessoais; ou dados pessoais sensíveis, de crianças e adolescentes e de idosos

Destaca-se que o tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras ou roubo de identidade.

Ademais, o tratamento em larga escala será caracterizado quando abranger um número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado.

O objetivo é trazer maior objetividade e organização aos critérios para identificar o tratamento de alto risco, bem como endereçar de forma clara os tratamentos considerados de alto risco no caso concreto. A título de exemplo, o agente que trata dados sensíveis somente será considerado que realiza o tratamento de alto risco caso trate dados em larga escala ou caso possa afetar significativamente interesses e direitos fundamentais.

Sobre o art. 4º, entende-se importante manter a responsabilidade ao próprio agente de verificar o enquadramento como agente de tratamento de pequeno porte. Considera-se que a disposição a este grupo de agente de se autoavaliar está aderente ao princípio da LGPD de responsabilização e prestação de conta pelo agente. Ademais, a ANPD, atualmente, não possui capacidade operacional de assumir a competência de avaliar todo enquadramento de agentes como de pequeno porte.

4.33. Os critérios adotados são válidos e oportunos, além de adequados para lidar com a grande variedade de casos e situações reguladas pela norma. Nesse sentido, a proposta apresenta uma solução de equilíbrio, que indica critérios gerais e objetivos, porém ao mesmo tempo flexíveis e de simples compreensão pelos agentes de tratamento de pequeno porte, os quais terão a responsabilidade de verificar se realizam esse tipo de tratamento.

4.34. De fato, para muitas situações, os critérios serão de fácil aplicação. Pequenos negócios locais e associações sem fins lucrativos, por exemplo, poderão verificar, com alto grau de certeza, que não realizam tratamento de alto risco, seja por não atenderem aos critérios gerais (tratamento em larga escala ou com impacto significativo sobre os titulares), seja diante dos critérios específicos, que se referem a

Página 10

operações muito peculiares, que não são comumente realizadas por esses agentes. No outro extremo, agentes de tratamento de pequeno porte cujo modelo de negócio pressupõe a coleta de quantidades massivas de dados pessoais também poderão identificar, com relativa objetividade, o enquadramento de suas atividades nos critérios indicados, como, por exemplo, ao verificar que realizam tratamento automatizado de dados pessoais sensíveis em larga escala.

4.35. É certo que podem surgir dúvidas em inúmeras outras situações. Por isso, o 8 3º do art. 4º prevê que a ANPD poderá disponibilizar guias e orientações para auxiliar os agentes de tratamento de pequeno porte a compreender e aplicar os critérios que definem tratamento de alto risco.

4.36. De outro lado, a fim de evitar a aplicação indevida da norma, o art. 5º prevê que a ANPD poderá solicitar que a organização demonstre o seu enquadramento na definição de agentes de tratamento de pequeno porte e nos demais critérios relativos ao âmbito de incidência do regulamento, conforme estabelecidos em seus arts. 2º e 3º. Em sentido similar, o art. 16 estabelece que a ANPD poderá determinar o cumprimento de obrigações dispensadas ou flexibilizadas no regulamento, tendo em vista as circunstâncias relevantes do caso concreto, tais como a natureza ou o volume das operações ou, ainda, os riscos para os titulares.

4.37. Em síntese, o conceito de tratamento de alto risco adotado no regulamento apresenta critérios objetivos e flexíveis, compatíveis com a LGPD e com a experiência internacional, além de serem de fácil compreensão e aplicação para a maioria dos casos. Futuros guias e orientações da ANPD poderão detalhar os critérios e auxiliar os agentes de tratamento de pequeno porte a realizar essa avaliação, sem prejuízo de eventual determinação do cumprimento de obrigações dispensadas ou flexibilzadas no regulamento sempre que necessário para a proteção de direitos dos titulares em situações concretas específicas.

I.IV, Orientações, procedimentos simplificados e obrigações dispensadas e flexibilizadas

4.38. Os Títulos Il (“Do tratamento de dados pessoais pelos agentes de tratamento de pequeno porte”) e III (“Dos prazos diferenciados”) estabelecem as obrigações flexibilzadas e dispensadas aos agentes que se enquadram no âmbito de incidência do regulamento. Por outras palavras, estabelecem o conteúdo propriamente dito do tratamento diferenciado concedido a esses agentes.

4.39. Em relação a este ponto, acolho a proposta de redação e a fundamentação apresentadas pela área técnica, destacando aqui apenas os principais aspectos da regulamentação.

4.40. O art. 6º afasta a possibilidade de ampliação das obrigações dispensadas ou flexibilizadas no regulamento, ao circunscrever estas ao estritamente previsto na norma e indicar que as demais disposições da LGPD devem ser cumpridas regularmente. A redação é a seguinte: Art. 6º A dispensa ou flexibilização das obrigações dispostas neste regulamento não isenta os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de

outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como direitos dos titulares.

4.41. Entre as obrigações flexibilzadas, vale mencionar as seguintes: (i) atendimento às requisições dos titulares de dados pessoais por meio eletrônico, impresso ou qualquer outro que assegure os direitos previstos na LGPD e o acesso faciltado às informações pelos titulares (art. 7º); (ii) registro das operações de

Página 11

tratamento de forma simplificada, com a previsão de disponibilização de modelo pela ANPD (art. 9º); (iii) procedimento simplificado ou flexível para a comunicação de incidente de segurança, a ser definido em regulamentação específica (art. 10); (iv) prazos em dobro para o atendimento de solicitações de titulares e para a comunicação à ANPD e ao titular nos casos de incidentes de segurança, entre outras situações e observadas algumas ressalvas, conforme disposto no art. 14; e (v) prazo de até quinze dias para fornecer a declaração simplificada de que trata o art. 19, I, da LGPD, contados da data do requerimento do titular (art. 15).

4.42. O art. 11 do regulamento dispensa os agentes de tratamento de pequeno porte de indicar o encarregado, conforme autoriza o art. 41, 8 32, da LGPD. Nestas hipóteses, será necessário disponibilizar um canal de comunicação com o titular, na forma prevista no 8 1º do art.

1. Já o 8 22º do mesmo artigo incentiva os agentes de pequeno porte a efetuar a indicação de encarregado ao considerá-la como “política de boa prática e governança”, critério que poderá ser considerado, em benefício do agente, em eventual processo sancionador, conforme previsto no art. 52, 8 1º, IX, da LGPD.

4.43. O incentivo à adoção de boas práticas pelos agentes de tratamento de pequeno porte também está previsto no parágrafo único do art. 12 eno 8 2º do art.

1. Estes dispositivos enfatizam, respectivamente, que o atendimento às recomendações e às boas práticas de prevenção e segurança divulgadas pela ANPD e a existência de política simplificada de segurança da informação poderão ser considerados, em benefício do agente, em eventual processo sancionador, nos termos do art. 52, 8 1º, VIll e IX, da LGPD. Importante registrar que, antecipando-se a essa determinação, a ANPD já disponibilizou o “Guia Orientativo - Segurança da Informação para Agentes de Tratamento de Pequeno Porte” (disponível em

https://www.gov.br/anpd/pt-br/documentos-e-publicacoes).

4

1. Por fim, o art. 8º autoriza os agentes de tratamento de pequeno porte, inclusive aqueles que realizam tratamento de alto risco, a se organizarem por meio de entidades de representação da atividade empresarial para fins de negociação, mediação e concilação de reclamações apresentadas por titulares de dados pessoais.

II.V. Disposições finais

4.45. Em relação ao art. 16, proponho retomar a redação do então art. 19, que constava da minuta submetida à consulta pública (SEI 2833149), com alguns ajustes. A redação proposta é a seguinte:

Art.

1. A ANPD poderá determinar ao agente de tratamento de pequeno porte o cumprimento das obrigações dispensadas ou flexibilzadas previstas neste regulamento, considerando as circunstâncias relevantes da situação, tais como a natureza ou o volume das operações, bem como os riscos para os titulares.

4.46. Sobre este dispositivo, a Assessoria Jurídica fez a seguinte ponderação:

Nesse sentido, é prudente mencionar que a redação anteriormente adotada parece mais clara em comunicar ao agente de tratamento de pequeno porte a possibilidade de a ANPD reconstituir certas obrigações então flexibilizadas, mesmo mantendo seu enquadramento no regime diferenciado (por exemplo, a obrigação de determinado agente de tratamento de pequeno porte eleger um encarregado, embora permaneça sujeito aos demais procedimentos do regime diferenciado), o que se recomenda avaliar, inclusive quanto à pertinência de a Autoridade se atrelar aos critérios estabelecidos nos incisos I a Ill, condicionando

Página 12

sua atuação regulatória e diminuindo sua margem de discricionariedade técnica. (Parecer nº 00025/2021/GAB/ASJUR-ANPD/CGU/AGU, SEI nº 3081640).

4.47. Assim, ao mencionar os critérios que deverão ser observados para eventual determinação de cumprimento de obrigações dispensadas ou flexibilizadas, o trecho incluído condiciona a atuação regulatória da ANPD e confere maior segurança jurídica aos agentes regulados. Nesse sentido, a proposta de alteração confere algum grau de discricionariedade à atuação da ANPD e, ao mesmo tempo, sinaliza aos agentes de tratamento que a determinação do cumprimento de obrigações é uma medida excepcional, que será efetuada considerando as circunstâncias relevantes da situação, em particular quando for identificado maior risco para os titulares. Diante disso, entendo que é pertinente e justificada a adoção dos critérios decisórios mencionados na nova redação do art. 16.

III. Vigência da Resolução

4.48. No que concerne ao início da vigência da Resolução, deve-se considerar o disposto no art. 4º do Decreto nº 10.139, de 28 de novembro de 2019: Art. 4º Os atos normativos estabelecerão data certa para a sua entrada em vigor e para a sua produção de efeitos:

- de, no mínimo, uma semana após a data de sua publicação; No que concerne ao início da vigência da Resolução, deve-se considerar o disposto no art. 4º do Decreto nº 10.139, de 28 de novembro de 2019:e

I- sempre no primeiro dia do mês ou em seu primeiro dia útil. Parágrafo único. O disposto neste artigo não se aplica às hipóteses de urgência justificada no expediente administrativo.

4.49. Na hipótese, considero que há urgência a justificar a imediata entrada em vigor do regulamento, conforme autoriza o parágrafo único acima transcrito.

4.50. Com efeito, a regulamentação do tema é passo essencial para conferir segurança jurídica aos agentes de tratamento de pequeno porte no processo de adequação à legislação de proteção de dados pessoais. Daí que a postergação da entrada em vigor da norma poderia trazer impactos negativos a esses agentes, mantendo uma situação de reconhecida instabilidade jurídica, notadamente no atual contexto em que já estão em vigor os dispositivos da LGPD que dispõem sobre as sanções administrativas e o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021. Considere-se, ademais, que os principais termos do regulamento foram amplamente divulgados e discutidos com a sociedade civil durante os procedimentos de consulta e audiência públicas, o que também fortalece a previsibilidade da norma a ser publicada.

4.51. Dessa forma, caracterizada a urgência, nos termos do parágrafo único do art. 4º do Decreto nº 10.139/2019, proponho a imediata entrada em vigor do regulamento, tal como previsto no caput do art. 2º da Resolução.

4.52. Sendo essas as principais alterações a serem incorporadas à minuta de ato normativo, acompanhadas das correspondentes justificativas técnicas e jurídicas, entendo pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revista e consolidada do regulamento à apreciação dos demais membros do colegiado.

1. VOTO

Página 13

5.1. Diante de todo o exposto, voto pela aprovação da minuta de Resolução, que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte, conforme a minuta revista e consolidada anexada aos autos (SEI 3144487).

5.2. Por fim, considerando a relevância da matéria e a premente necessidade de regulamentação do tema, proponho a votação por meio de circuito deliberativo, nos termos do 8 1º do art. 40, do Regimento Interno.

5.3. É como voto.

MIRIAM WIMMER Diretora Relatora

• Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em /24/01/2022, às 17:41, conforme horário oficial de Brasília, com fundamento / no 8 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020…

“ A autenticidade do documento pode ser conferida informando o código ; Verificador 3092041 eo código CRC C99DDFFF no site: à https :

Referência: Processo nº 00261.000054/2021-37 SEInº 3092041

Página 14

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/AS/ANPD

VOTO Nº 4/2022/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37 INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

VOTO EM CIRCUITO DELIBERATIVO Nº 04/2021 DIRETOR ARTHUR PEREIRA SABBAT

ASSUNTO: Minuta de Resolução que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte.

Voto em Circuito Deliberativo nº 04/2022

X Acompanho a Relatora (Voto nº 21/2022/DIR/MW/ANPD/PROTOCOLO/PR, SEI nº 3092041)

Não acompanho a Relatora, nos termos do Voto indicado a seguir:

1 Documento assinado eletronicamente por Arthur Pereira Sabbat,

Diretorta), em 25/01/2022, às 11:06, conforme horário oficial de Brasília, , !com fundamento no 8 3º do art. 4º, do Decreto nº 10.543, de 13 de “ondas” novembro de 2020.

Referência: Processo nº 00261.000054/2021-37 SEInº 3145775

Página 15

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/NR/ANPD

VOTO Nº 4/2022/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37 INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

VOTO EM CIRCUITO DELIBERATIVO Nº 04/2021 DIRETORA NAIRANE FARIAS RABELO LEITAO

ASSUNTO: Minuta de Resolução que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte.

Voto em Circuito Deliberativo nº 04/2022

X Acompanho a Relatora (Voto nº 21/2022/DIR/MW/ANPD/PROTOCOLO/PR, SEI nº 3092041)

Não acompanho a Relatora, nos termos do Voto indicado a seguir:

1 Documento assinado eletronicamente por Nairane Farias Rabelo Leitão,

Diretorta), em 25/01/2022, às 21:11, conforme horário oficial de Brasília, :

com fundamento no 8 3º do art. 4º, do Decreto nº 10.543, de 13 de “ondas” novembro de 2020.

ar fesapi=: A autenticidade do documento pode ser conferida informando o código Es ds verificador 3146343 e o código CRC D92B83B8 no site:

Referência: Processo nº 00261.000054/2021-37 SEI nº 3146343

Página 16

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/AS/ANPD

VOTO Nº 2/2022/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37 INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

VOTO EM CIRCUITO DELIBERATIVO Nº 02/2022 DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

ASSUNTO: Minuta de Resolução que aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte.

Voto em Circuito Deliberativo nº 02/2022

X Acompanho a Relatora (Voto nº 21/2022/DIR/MW/ANPD/PROTOCOLO/PR, SEI nº 3092041)

Não acompanho a Relatora, nos termos do Voto indicado a seguir:

% Documento assinado eletronicamente por Waldemar Gonçalves Ortunho

jJunior, Diretor-Presidente, em 26/01/2022, às 10:53, conforme horário

Oficial de Brasília, com fundamento no 8 3º do art. 4º, do Decreto nº 10.543 *” de 13 de novembro de 2020…

pts A o A autenticidade do documento pode ser conferida informando o código RE SE * verificador 3148229 e o código CRC A6271F65 no site:

Referência: Processo nº 00261.000054/2021-37 SEInº 3148229