A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) não estabelece porte mínimo, faturamento mínimo ou número mínimo de empregados para a sua aplicação. Ela alcança toda pessoa natural ou jurídica que realize tratamento de dados pessoais, e uma empresa que mantém empregados, clientes e fornecedores realiza esse tratamento como parte da sua atividade ordinária. O que existe para a empresa de pequeno porte é um regime de cumprimento diferenciado, e a compreensão exata dos seus limites evita dois erros simétricos: supor que a lei não se aplica, e supor que a simplificação dispensa o essencial.
A origem do equívoco
Em janeiro de 2022, a Agência Nacional de Proteção de Dados (ANPD) editou a Resolução CD/ANPD nº 2/2022, que regulamenta a aplicação da lei aos chamados agentes de tratamento de pequeno porte. A divulgação da norma enfatizou a "flexibilização", e essa palavra consolidou a percepção de que a empresa pequena estaria, na prática, fora do alcance da lei.
O texto da resolução diz o contrário. O artigo 6º estabelece que a dispensa ou a flexibilização de obrigações não isenta o agente de pequeno porte do cumprimento dos demais dispositivos da LGPD, incluídas as hipóteses legais de tratamento, os princípios e os direitos dos titulares. A resolução adapta a forma de cumprir; não altera o dever de cumprir.
Quem está abrangido
A resolução considera agentes de tratamento de pequeno porte as microempresas e as empresas de pequeno porte, incluído expressamente o microempreendedor individual; as startups, na definição da Lei Complementar nº 182/2021; as pessoas jurídicas de direito privado, inclusive as sem fins lucrativos; e as pessoas naturais e os entes despersonalizados que tratem dados pessoais na condição de controlador ou de operador.
O enquadramento como microempresa ou empresa de pequeno porte observa o artigo 3º da Lei Complementar nº 123/2006, tanto nos limites de receita bruta anual quanto nas demais condições ali previstas, e independe do regime tributário adotado. A ANPD pode exigir a comprovação do enquadramento, a ser apresentada em quinze dias.
As simplificações previstas
A resolução concentra o tratamento diferenciado em quatro pontos.
O registro das operações de tratamento, exigido pelo artigo 37 da lei, pode ser mantido em formato simplificado, para o qual a ANPD disponibiliza modelo. Trata-se de uma relação das atividades que envolvem dados pessoais, com a finalidade, a hipótese legal, o prazo de guarda e os terceiros com quem há compartilhamento.
A indicação do encarregado pelo tratamento de dados, prevista no artigo 41, é dispensada, desde que a empresa mantenha um canal de comunicação com os titulares. A própria resolução registra que a indicação, ainda quando dispensada, é considerada boa prática para efeito de eventual aplicação de sanção.
As medidas de segurança devem ser proporcionais ao risco e à realidade da empresa, e podem ser organizadas em uma política simplificada de segurança da informação. Controle individual de acesso, autenticação em duas etapas e cópias de segurança são exemplos de medidas compatíveis com uma estrutura reduzida.
Os prazos para atender solicitações de titulares, comunicar incidentes de segurança e responder à ANPD são contados em dobro. Na comunicação de incidente, o prazo de três dias úteis previsto na Resolução CD/ANPD nº 15/2024 passa a seis.
O que permanece exigível
Nenhuma obrigação de conteúdo foi afastada. A empresa de pequeno porte continua obrigada a fundamentar cada tratamento em uma das hipóteses do artigo 7º; a informar os titulares, de forma clara e acessível, sobre o tratamento realizado (artigo 9º); a atender aos pedidos de acesso, correção, eliminação e demais direitos do artigo 18; a adotar medidas de segurança aptas a proteger os dados (artigo 46); e a comunicar incidentes que possam acarretar risco ou dano relevante (artigo 48). A guarda de currículos por tempo indeterminado após o encerramento de uma seleção, para citar uma situação frequente, não encontra fundamento legal em nenhum porte de empresa.
Quem não se beneficia do regime
O artigo 3º da resolução exclui do tratamento diferenciado três situações: a empresa cuja receita ultrapasse o limite legal; a que integre grupo econômico cuja receita global o ultrapasse; e a que realize tratamento de alto risco.
O alto risco é definido no artigo 4º por critérios cumulativos, exigindo-se a presença simultânea de um critério geral e de um critério específico. São critérios gerais o tratamento em larga escala e o tratamento capaz de afetar significativamente interesses e direitos fundamentais dos titulares. São critérios específicos o uso de tecnologias emergentes ou inovadoras, a vigilância ou o controle de zonas acessíveis ao público, as decisões tomadas unicamente com base em tratamento automatizado e a utilização de dados sensíveis ou de dados de crianças, adolescentes e idosos.
Considere-se uma clínica de pequeno porte. Ela trata dados de saúde, o que preenche um critério específico, mas somente realizará tratamento de alto risco se também preencher um critério geral, seja pela escala, seja pela capacidade de afetar direitos dos pacientes. Uma plataforma de pequeno porte que decida sobre concessão de crédito por meio automatizado, para número significativo de pessoas, tende a preencher ambos. A conclusão depende da análise de cada caso, e é nessa etapa que a avaliação jurídica se torna determinante, porque dela decorre a possibilidade de a empresa se apoiar nas simplificações. A resolução ainda reserva à ANPD, no artigo 16, a faculdade de exigir do agente de pequeno porte o cumprimento de obrigações dispensadas, em razão do volume das operações ou dos riscos envolvidos.
Considerações finais
A empresa de pequeno porte tem menos a documentar e mais tempo para responder. Mantém, contudo, o mesmo dever de tratar dados pessoais com finalidade definida, fundamento legal, informação ao titular e segurança proporcional ao risco. O ponto de partida é o levantamento dos dados tratados, que a própria empresa tem condições de conduzir. A verificação do enquadramento no regime, a definição da hipótese legal de cada tratamento e a avaliação de eventual alto risco são as etapas que, em regra, exigem análise jurídica. Antes de decidir com base neste artigo, recomenda-se a consulta a um advogado de sua confiança.
Benick Santana, advogado, OAB/PE 55.309. Sobre o advogado
Conteúdo informativo, que não substitui a análise do caso concreto.
https://www.benicksantana.com/artigos/lgpd-empresa-pequena