CD nº 10/2021

Página 1

PRESIDÊNCIA DA REPÚBLICA

PR/ANPD/DIR/AS/ANPD

VOTO Nº 13/2021/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

DIRETOR

ARTHUR PEREIRA SABBAT

1. ASSUNTO

1.1. Regulamentação relativa à aplicação da Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte.

2. EMENTA

2.1. VALIAÇÃO DA MINUTA DE RESOLUÇÃO QUE REGULAMENTA A APLICAÇÃO DA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD), PARA AGENTES DE TRATAMENTO DE PEQUENO PORTE.

2.1.1. Análise dos dispositivos da minuta apresentada e proposta de alteração ou supressão de alguns dispositivos;

2.1.2. Avaliação da Análise de Impacto Regulatório, elaborada nos termos do § 2º do Art. 55-J da LGPD e do Art. 62, §1º do Regimento Interno da ANPD;

2.1.3. Voto pela submissão da minuta de resolução, após sua aprovação pelo Conselho Diretor, à consulta pública pelo prazo de 30 (trinta) e realização de audiência pública, em atendimento ao comando extraído do Art. 62 do Regimento Interno da ANPD;

2.1.4. Votação por meio de circuito deliberativo, nos termos do § 1º do art. 40 do Regimento Interno da ANPD, observada a redução de prazo prevista no

artigo 41, em seu

§ 1º.

3. RELATÓRIO

3.1. Em janeiro de 2021 a Coordenação-Geral de Normatização (CGN) iniciou processo com o fim de regulamentar o art. 55, inciso XVIII, da Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), o qual dispõe sobre a competência da Autoridade Nacional de Proteção de Dados (ANPD) para editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se à referida lei.

3.2. Essa iniciativa baseou-se no cumprimento ao disposto no item nº 3 da

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 1

Página 2

Agenda Regulatória 2021-2022, publicada pela Portaria ANPD nº 11, de 27 de janeiro de 2021, a qual previa ter o mencionado tema iniciado seu processo de regulamentação no primeiro semestre de 2021, ato realizado pela supracitada Coordenação-Geral.

3.3. A primeira medida adotada pela CGN, com base na Nota Técnica nº 1/2021/CGN/ANPD (SEI nº 2361168), de 29 de janeiro de 2021, foi a realização da Tomada de Subsídios nº 1/2021, com prazo de 30 (trinta) dias, com o escopo de obter subsídios relevantes de agentes econômicos, consumidores e demais interessados da sociedade, de forma a identificar e aprimorar os aspectos relevantes ao tema em tela.

3.4. Para viabilizar a Tomada de Subsídios, foi concebido pela CGN modelo para envio de contribuições, que seguiu anexo a 22 (vinte e dois) ofícios, enviados a órgãos públicos, entidades privadas e outras representantes da sociedade civil, com atuação e interesse no assunto; por fim, foram realizadas 13 (treze) reuniões com representantes de empresas e de comunidades afetas ao tema.

3.5. Em razão da tomada de subsídios, foram recebidas e analisadas 65 (sessenta e cinco) contribuições, que subsidiaram a CGN na elaboração de minuta de ato normativo, que foi submetida à consulta interna aos demais servidores da ANPD, no período de 10 a 18 de junho de 2021 (SEI nº 2631292).

3.6. Concluída a consulta interna e realizados novos ajustes, foi encaminhada, em 05 de julho de 2021, nova minuta (SEI nº 2699933) à Assessoria Jurídica da ANPD, nos termos da Nota Técnica nº 18/2021/CGN/ANPD (SEI nº 2686233). Em 27 de julho de 2021, a CGN encaminhou nova versão da minuta (SEI nº 2757306) com pequenas alterações em relação ao primeiro texto enviado, nos termos da Nota Técnica nº 22/2021/CGN/ANPD (SEI nº 2757093).

3.7. Em 04 de agosto de 2021, a Assessoria Jurídica da ANPD se manifestou por meio do Parecer nº 00013/2021/GAB/ASJUR-ANPD/CGU/AGU (SEI nº 2779400), aprovado pelo Despacho nº 00001/2021/GAB/ASJUR-ANPD/CGU/AGU. No mencionado Parecer, aquela Assessoria Jurídica apresentou recomendações para prosseguimento do processo.

3.8. Uma vez de posse do Parecer nº 00013/2021/GAB/ASJUR- ANPD/CGU/AGU (SEI nº 2779400), exarado pela Assessoria Jurídica, a CGN elaborou a Nota Técnica nº 25/2021/CGN/ANPD (SEI nº 2810848). Nessa Nota, a CGN aborda o referido Parecer, o qual concluiu pela licitude do processo de normatização realizado até aquele momento e apresentou 15 (quinze) sugestões de adequação ao corpo da minuta, que acatadas ou justificadas pela CGN.

3.9. No corpo da mencionada Nota, além de explicitar as razões pelas quais acatou ou justificou as alterações sugeridas pela Assessoria Jurídica, a CGN, em virtude de revisão técnica, realizou 4 (quatro) modificações no texto, a fim de proporcionar coerência redacional e doutrinária, explanando-as.

3.10. Por fim, concluiu a CGN, na referida Nota Técnica, que o processo fosse encaminhado à Secretaria-Geral do Conselho Diretor da ANPD, para análise e medidas cabíveis, acompanhado da minuta de resolução (SEI nº 2810956) e do Relatório da

Análise de Impacto Regulatório referente ao tema (SEI nº 2811023), sugerindo a realização de consulta pública pelo prazo de 30 (trinta) dias exclusivamente pela Plataforma Participa +Brasil, e de audiência pública na última semana dessa consulta pública.

3.11. É o que importa relatar. Passo à análise da matéria para a apreciação pelo

Conselho Diretor.

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 2

Página 3

4. ANÁLISE

AAVALIAÇÃO DA MINUTA DE RESOLUÇÃO

4.1. A minuta de resolução que regulamenta a aplicação da Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte (SEI nº 2810956), está estruturada em 5 (cinco) Títulos, que compreendem 4 (quatro) Capítulos e 6 (seis) Seções, onde são abordados os aspectos referentes ao tratamento diferenciado voltado às microempresas e empresas de pequeno porte, e às iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação.

4.2. Passa-se à análise dos pontos da minuta que ensejam alteração e à exposição das consequentes propostas de modificações. Artigo 2º, III

4.3. O inciso III do art. 2º trata da definição de pessoas jurídicas sem fins lucrativos:

“III – pessoas jurídicas sem fins lucrativos: associações, fundações, organizações religiosas e partidos políticos e demais entidades equiparadas sem personalidade jurídica, incluídas as pessoas formais.”

4.4. Aqui se propõe retirar o trecho “e demais entidades equiparadas sem personalidade jurídica, incluídas as pessoas formais”, para permitir a utilização do termo “entes despersonalizados”, mais usual e que guarda simetria com a linguagem utilizada no “Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado”, publicado em maio de 2021 pela ANPD.

4.5. Dessa forma, propõe-se a nova redação para o mencionado inciso:

“III – pessoas jurídicas sem fins lucrativos: associações, fundações, organizações religiosas e partidos políticos;”

Artigo 2º, IV

4.6. O inciso IV do art. 2º estabelece a definição de pessoas naturais que tratam dados pessoais:

“IV – pessoas naturais que tratam dados pessoais: pessoa natural nos termos da Lei nº 10.406, de 10 de janeiro de 2002 (Código Civil), que realizam tratamento de dados pessoais, nos termos da Lei nº 13.709, de 14 de agosto de 2018;”

4.7. Creio não haver necessidade dessa definição, uma vez que o Código Civil e a LGPD abordam-na com propriedade.

4.8. Propõe-se, assim, a exclusão do referido inciso. Artigo 2º, V

4.9. O inciso V do art. 2º estabelece a definição de agentes de tratamento de pequeno porte:

“V – agentes de tratamento de pequeno porte: são as pessoas naturais, jurídicas, equivalentes ou formais, referidas nos incisos I a IV do art. 2º que

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 3

Página 4

satisfaçam os requisitos desta Resolução;”

4.10. Quanto ao referido dispositivo, entendo ser mais adequada sua apresentação de forma direta, com o objetivo de facilitar o entendimento e a sua aplicação, por meio da adoção de termos mais conhecidos e abordando especificamente as pessoas naturais e os entes despersonalizados que assumam obrigações típicas de controlador ou de operador. Como proposto originalmente, esses últimos não se configurariam pessoas jurídicas e, assim, ficariam excluídos da redação original do inciso.

4.11. Desse modo, propõem-se nova redação para o mencionado inciso, renumerado em função da exclusão do inciso anterior: “IV – agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos, que tratam dados pessoais, e pessoas naturais e entes despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador;” Artigo 2º, Parágrafo único

4.12. O Parágrafo único do art. 2º dispõe:

“Parágrafo único. Para fins desta resolução, os agentes de tratamento de pequeno porte devem ter a receita bruta máxima estabelecida no art. 4º, §1º, inciso I, da Lei Complementar nº 182, de 1º de junho de 2021.”

4.13. Quanto a esse dispositivo, para não dar a entender que a norma cita o que poderiam parecer categorias intermediárias ou inovadoras com base na receita estabelecida na mencionada Lei Complementar, e para ressaltar que o presente parágrafo intenta, tão somente, evidenciar um critério de incidência da norma para reforçar seu entendimento, sugere-se manter o dispositivo, mas alterar sua redação para proporcionar o referido entendimento.

4.14. Desse modo, propõe-se que esse Parágrafo único tenha a seguinte redação:

“Parágrafo único. Para fins desta resolução, consideram-se, ainda, agentes de tratamento de pequeno porte, os que possuem receita bruta máxima estabelecida no art. 4º, §1º, inciso I, da Lei Complementar nº 182, de 1º de junho de 2021.”

Artigo 3º - caput

4.15. O art. 3º dispõe:

“Art. 3º Conforme orientação a ser divulgada pela ANPD, a dispensa e a flexibilização das obrigações previstas nesta resolução não são aplicáveis a agentes de tratamento de pequeno porte que realizem tratamento de alto risco para os titulares”.

4.16. Aqui se propõem três alterações. a primeira, retirar o trecho “Conforme orientação a ser divulgada pela ANPD”, tendo em vista já constar essa previsão no § 4º do art. 3º.

4.17. A segunda, consiste em acrescentar algo que parece, pela abordagem no decorrer da norma, um segundo critério, além do tratamento de alto risco, e

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 4

Página 5

cumulativo a esse, capaz de excluir, da dispensa e da flexibilização previstas na norma, os agentes de pequeno porte; trata-se do tratamento de dados em larga escala.

4.18. A terceira reside em acrescentar, ao final do artigo, o trecho “ressalvada a hipótese prevista no art. 13, Parágrafo único”. Justifica-se o acréscimo uma vez que, como a redação original do art. 3º especifica que a norma não se aplica aos agentes que realizem tratamento de alto risco e o art. 13 da mesma resolução trata de uma dispensa que vale inclusive para os que realizam esse tipo de tratamento, julga-se que o trecho em adição torna a ideia mais clara.

4.19. Desse modo, propõe-se a seguinte redação para o mencionado artigo:

“Art. 3º A dispensa e a flexibilização das obrigações previstas nesta resolução não são aplicáveis a agentes de tratamento de pequeno porte que realizem tratamento de alto risco e em larga escala para os titulares, ressalvada a hipótese prevista no art. 13,

Parágrafo único”.

Artigo 3º,

§ 1º

4.20. O § 1º do art. 3º dispõe:

“§ 1º Para fins desta resolução, será considerado tratamento de alto risco para os titulares, entre outras hipóteses, conforme orientação divulgada pela ANPD, o tratamento em larga escala que envolva: …”.

4.21. Aqui se propõem duas alterações. A primeira consiste em retirar o trecho “conforme orientação divulgada pela ANPD”, tendo em vista já constar essa previsão no § 4º do art. 3º.

4.22. A segunda refere-se a tornar o parágrafo específico ao que se propõe, ou seja, elencar, dentre outras, as hipóteses de tratamento de alto risco. Em consequência, faz-se mister retirar, do referido parágrafo, a menção ao tratamento de dados em larga escala, o que será abordado em seguida, no § 2º.

4.23. Desse modo, propõe-se a nova redação para o mencionado parágrafo:

“§ 1º Para fins desta resolução, será considerado tratamento de alto risco para os titulares, entre outras hipóteses, o tratamento que envolva:”

Artigo 3º,

§ 3º

4.24. O § 3º do art. 3º dispõe:

“§ 3º Para fins deste artigo não será considerado tratamento de larga escala, entre outras hipóteses conforme orientação a ser divulgada pela ANPD, o tratamento de dados de funcionários ou para fins exclusivos de gestão administrativa do agente de tratamento de pequeno porte”.

4.25. Aqui se propõe retirar o trecho “conforme orientação a ser divulgada pela ANPD”, tendo em vista já constar essa previsão no § 4º do art. 3º.

4.26. Desse modo, propõe-se a nova redação para o mencionado parágrafo:

“§ 3º Para fins deste artigo não será considerado tratamento de larga escala o tratamento de dados de funcionários ou para fins exclusivos de gestão administrativa do agente de tratamento de

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 5

Página 6

pequeno porte”.

Artigo 3º,

§ 4º

4.27. O § 4º do art. 3º dispõe:

“§ 4º A ANPD disponibilizará guias e orientações que auxiliem os agentes de tratamento de pequeno porte a avaliar se realizam tratamento com alto risco”.

4.28. Com o fim de manter a coerência doutrinária e redacional com a assertiva disposta no § 3º, e considerando o tratamento de alto risco e o em larga escala como critérios, propõe-se acrescentar a ideia de outras hipóteses de tratamento de dados pessoais em larga escala, extraordinárias ao referido parágrafo, na disposição abrangente do § 4º.

4.29. Em virtude do acréscimo da ideia proposta, o referido parágrafo passa à seguinte redação:

“§ 4º A ANPD disponibilizará guias e orientações que auxiliem os agentes de tratamento de pequeno porte a avaliar se realizam tratamento com alto risco e em larga escala.”

Artigo 4º, caput

4.30. O art. 4º dispõe:

“Art. 4º Caberá ao agente de tratamento de pequeno porte avaliar e, quando solicitado pela ANPD, comprovar o seu enquadramento nas disposições do

art. 2º ou do

art. 3º.”

4.31. Aqui se verifica a necessidade de alterar a conjunção alternativa “ou”, que dá a ideia de faculdade do agente em comprovar o enquadramento do tratamento tanto no art. 2º quanto no art. 3º; pela conjunção aditiva “e”, obrigando-o, dessa forma, a considerar ambos os artigos.

4.32. Assim procedendo, o art. 4º passa a ter a seguinte estrutura:

“Art. 4º Caberá ao agente de tratamento de pequeno porte avaliar e, quando solicitado pela ANPD, comprovar o seu enquadramento nas disposições do art. 2º e do art. 3º.”

Artigo 6º, caput

4.33. O caput do art. 6º dispõe:

“Art. 6º Os agentes de tratamento de pequeno porte podem atender às requisições dos titulares de dados pessoais, descritas no art. 18 da LGPD, por meio eletrônico, telefônico ou impresso.”

4.34. A LGPD, estabeleceu, de maneira taxativa, em seu art. 19, § 2º, que as informações e os dados poderão ser fornecidos, a critério do titular: I - por meio eletrônico, seguro e idôneo para esse fim; ou II - sob forma impressa. Não há previsão de atendimento a requisições de titular por telefone, o que é compreensível, visto que a ausência de informações por escrito pode comprometer a possibilidade de exercício de direitos do titular em juizo ou perante a ANPD.

4.35. Em consequência, propõe-se retirar o termo “telefônico”, passando a o referido artigo a ter a seguinte redação:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 6

Página 7

“Art. 6º Os agentes de tratamento de pequeno porte podem atender às requisições dos titulares de dados pessoais, descritas no art. 18 da LGPD, por meio eletrônico ou impresso.”

Artigo 6º,

§2º

4.36. O §2º do art. 6º dispõe:

“§2º É facultado ao agente de tratamento de pequeno porte, quando solicitado pelo titular de dados, optar por anonimizar, bloquear ou eliminar os dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGDP, na forma do art. 18, inciso IV, da LGPD.”

4.37. A ideia é empregar, ao invés da preposição “por”, que empresta uma ideia de adição, o que não se quer aqui, a proposição “entre”, que dá a ideia mais objetiva de opção.

4.38. Desse modo, o §2º passa a ter a seguinte redação:

“§2º É facultado ao agente de tratamento de pequeno porte, quando solicitado pelo titular de dados, optar entre anonimizar, bloquear ou eliminar os dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGDP, na forma do art. 18, inciso IV, da LGPD.”

Artigo 7º

4.39. O art. 7º dispõe:

“Art. 7º Os agentes de tratamento de pequeno porte ficam dispensados do envio da declaração a que se refere o art. 19, inciso II, da LGPD.”

4.40. Seria interessante adotar o mesmo verbo, nesse caso, que a LGPD, para a ação do agente diante da requisição do titular, qual seja, “fornecer”, ao invés de “enviar”.

4.41. Importante, ainda, seria tornar o objeto do artigo – a declaração – mais explícito, para tornar a leitura ainda mais direta.

4.42. Assim, propõe-se que o art. 7º passe a ter a seguinte redação:

“Art. 7º Os agentes de tratamento de pequeno porte ficam dispensados de fornecer a declaração clara e completa de que trata o art. 19, inciso II, da LGPD.”

Artigo 8º, caput

4.43. O art. 8º dispõe:

“Art. 8º O acesso pelo titular às informações sobre o tratamento de seus dados, disposto no art. 9º da LGPD, pode ocorrer por meio eletrônico ou por qualquer outra forma que permita o acesso facilitado entre o agente de tratamento de pequeno porte e o titular dos dados pessoais.”

4.44. Vê-se interessante inverter a assertiva inicial e a final, para evidenciar ser o agente o que possui o dever de disponibilizar as informações.

4.45. Em virtude do exposto, o art. 8º passa a ser assim redigido:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 7

Página 8

“Art. 8º A disponibilização das informações sobre o tratamento de dados pessoais, nos termos do art. 9º da LGPD, pode ocorrer por meio eletrônico ou por qualquer outra forma que assegure o acesso facilitado às informações pelo titular dos dados pessoais.”

Artigo 9º, caput

4.46. O art. 9º dispõe:

“Art. 9º As entidades de representação da atividade empresarial relacionadas aos agentes de tratamento de pequeno porte, incluindo aqueles que realizam tratamento de alto risco para os titulares, poderão prestar assessoria e auxiliar na negociação, na mediação e na conciliação de reclamações apresentadas por titulares de dados.”

4.47. Entendida a disposição, verifica-se ser mais apropriado dirigir a possibilidade de auxílio e assessoria não às entidades, mas aos próprios agentes. Verifica-se, ainda, a necessidade de excluir o trecho “para os titulares”, por pleonasmo, e acrescentar ao critério de tratamento de alto risco, o realizado em larga escala.

4.48. Nesse sentido, a redação do art. 9º passa a ser:

“Art. 9º Fica facultado aos agentes de tratamento de pequeno porte, inclusive àqueles que realizam tratamento de alto risco e em larga escala, fazerem-se representar por entidades de representação da atividade empresarial, por pessoas jurídicas ou por pessoas naturais para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados.”

Artigo 10

4.49. O art. 10 dispõe:

“Art. 10. Os agentes de tratamento de pequeno porte ficam dispensados da obrigação de manutenção de registros das operações de tratamento de dados pessoais constante do art. 37 da LGPD.”

4.50. Seria interessante que, mesmo dispensados da obrigação de manutenção de registros das operações de tratamento, fosse facultado a esses agentes mantê-los, como manifestação de boa fé e demonstração de atenção ao princípio da responsabilização e prestação de contas, o que permitirá a esses agentes evidenciar sua boa imagem perante a sociedade e usufruir dessa confiança, e tal ação serviria de atenuante para fins de aplicação de sanções administrativas pela ANPD.

4.51. Com o fim de auxiliar esses agentes nesse quesito, a ANPD poderia fornecer modelos que permitissem o registro voluntário e simplificado das operações de tratamento por esses agentes. Para materializar essa ideia, sugere-se a inclusão de parágrafo único, com a seguinte redação:

“Parágrafo único. A ANPD fornecerá modelos para o registro voluntário e simplificado das atividades de tratamento por agentes de tratamento de pequeno porte, e considerará a existência de tais registros para fins do disposto no art. 6º, inciso X e no art. 52,

§1º, incisos VIII e IX da LGPD.”

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 8

Página 9

Artigo 13,

§ 1º

4.52. O § 1º do art. 13 dispõe:

“§ 1º Ao microempreendedor individual e à pessoa natural que trate dados pessoais é dispensada a obrigação de indicar encarregado pelo tratamento de dados pessoais, mesmo que realize tratamento de alto risco para os titulares.”

4.53. Aqui surge uma exceção ao art. 3º, pelo qual a dispensa ou a flexibilização das obrigações previstas na norma não se aplicam aos agentes que realizam tratamento de dados pessoais de alto risco. Tem-se, portanto, a exceção da exceção, o que pode trazer confusão ao entendimento e à aplicação da norma. Acredita-se que esse parágrafo não traga efetivas contribuições frente ao risco que representa a sua excepcionalidade.

4.54. Sugere-se, portanto, a exclusão do § 1º e a conversão do § 2º em Parágrafo único.

Artigo 14, caput

O art. 14 dispõe:

“Art. 14. No processo de adequação à LGPD, os agentes de tratamento de pequeno porte devem priorizar a adoção de medidas administrativas e técnicas para proteção dos dados pessoais, considerando o nível de risco à privacidade dos titulares de dados e a realidade do agente de tratamento.”

Neste artigo sugerem-se três alterações. A primeira consiste na substituição do verbo “priorizar”, que dá uma ideia de priorização de uma atividade sobre outra, por “adotar”, que melhor representa o propósito do artigo.

A segunda reside na inserção dos termos “essenciais e necessárias, com base em requisitos mínimos de segurança da informação”, uma vez que se verifica a necessidade de estabelecer a ligação entre o art. 14 e seu parágrafo único, que menciona a segurança da informação.

Ademais, entende-se que o propósito do art. 14 é outorgar, aos agentes de tratamento de pequeno porte, o devido tratamento diferenciado na adoção de medidas administrativas e técnicas para proteção dos dados pessoais, o que somente pode ser evidenciado caso haja referência a medidas essenciais e necessárias, baseadas em requisitos mínimos de segurança da informação. Ressalta-se, ainda, que a inserção ora proposta integra vernáculo amplamente conhecido na comunidade de especialistas em segurança da informação, o que tornará o texto do art. 14 perfeitamente inteligível.

A terceira consiste em retirar o trecho inicial “No processo de adequação à LGPD”, uma vez que tal assertiva pode sugerir que, findo o processo de adequação, os agentes de tratamento de pequeno porte não precisariam mais adotar as medidas administrativas e técnicas para proteção dos dados pessoais.

Desse modo, o art. 14 passa a ter a seguinte redação:

“Art. 14. Os agentes de tratamento de pequeno porte devem adotar medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação para proteção dos dados pessoais, considerando, ainda, o nível de risco à privacidade dos titulares de dados e a realidade

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 9

Página 10

do agente de tratamento.”

Título III

O Título III – Da Política de Segurança da Informação trata de modo específico dessa política aos agentes de tratamento de pequeno porte. A abordagem desse tema poderia seguir os moldes da LGPD, que o aborda de modo geral no capítulo VII da lei, sob os termos “Da Segurança e das Boas Práticas”, mesma construção da Seção VI da norma em análise.

Nesse sentido, propõe-se a exclusão do Título III, e a consequente inclusão do art. 15, dantes nele compreendido, à mencionada Seção VI.

Art. 15

4.55. O art. 15 dispõe:

“Art. 15. Os agentes de tratamento de pequeno porte podem estabelecer uma política simplificada de segurança da informação, que contemple o tratamento de dados pessoais com o objetivo de protegê-los de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”

4.56. Ao contrário da LGPD, que em seu Capítulo VII não aborda especificamente políticas de segurança da informação, mas sim, de modo geral, “medidas de segurança, técnicas e administrativas”, a norma menciona diretamente uma “política simplificada de segurança da informação”.

4.57. Uma vez que o objetivo da norma é clarificar as ações a serem adotadas por parte dos agentes de tratamento de pequeno porte, e explanar de modo indubitável as dispensas e as flexibilizações à Lei a que tais agentes estarão sujeitos, não se vê, nessa abordagem, quaisquer impropriedades.

4.58. Entretanto, percebe-se que o termo “política simplificada” carece de maior especificação, inclusive para guardar coerência com os conceitos da área da Segurança da Informação. Dessa forma, propõe-se acrescentar, no art. 15, breve explicação à mencionada “política simplificada”, com a expressão “que contemple requisitos essenciais”.

4.59. Desse modo, o art. 15 passa a ter a seguinte redação:

“Art. 15. Os agentes de tratamento de pequeno porte podem estabelecer uma política simplificada de segurança da informação, que contemple requisitos essenciais para o tratamento de dados pessoais, com o objetivo de protegê-los de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”

Art. 15,

Parágrafo único

4.60. O Parágrafo único do art. 15 dispõe:

“Parágrafo único. A política simplificada de segurança da informação deve levar em consideração o nível de risco do tratamento de dados para os direitos e liberdades do titular, bem como os custos de implementação, a realidade financeira e a disponibilidade de recursos dos agentes.”

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 10

Página 11

4.61. Aqui se verificam requisitos que podem ser otimizados com vistas a abranger todos os aspectos que devem ser considerados na formulação de política simplificada de segurança da informação. Propõe-se, em primeiro, a retirada dos termos “realidade financeira” e “disponibilidade de recursos dos agentes”, por se entender que estão inclusos na concepção abrangente de “custos de implementação”.

4.62. Em segundo, propõe-se acrescentar os termos “estrutura”, “escala” e “volume” relativos às operações de tratamento. Em terceiro, sugere-se a inclusão do termo “criticidade”, por ser item de planejamento na concepção de medidas de segurança da informação, e amplamente reconhecido por especialistas nessa área temática. Uma vez que “criticidade” se constitui em parâmetro, faz-se mister endereçá-la ao aspecto “direitos e liberdades do titular”.

4.63. Importante ressaltar que, não obstante não se caracterize uma obrigação dos agentes de tratamento de pequeno porte a elaboração da mencionada política simplificada de segurança da informação, tal medida deve ser incentivada, em nome da adequada governança de dados pessoais em todos os níveis. Desse modo, sugere-se abordagem similar à realizada no que tange à manutenção de registro das operações de tratamento, em nome da transparência e da atenção ao princípio da responsabilização e prestação de contas.

4.64. Nesse sentido, no cômputo do art. 15, propõe-se a inclusão de novo parágrafo, com o seguinte teor:

“A ANPD considerará a existência das políticas simplificadas de segurança da informação para fins do disposto no art. 6º, inciso X e no art. 52, §1º, incisos VIII e IX da LGPD.”

4.65. Diante do exposto, passam a ser considerados os seguintes parágrafos, consequentes ao art. 15:

“§1º A política simplificada de segurança da informação deve levar em consideração os custos de implementação, bem como a estrutura, a escala e o volume das operações do agente de tratamento de pequeno porte, bem como a sensibilidade e a criticidade dos dados tratados diante dos direitos e liberdades do titular.”

“§2º A ANPD considerará a existência das políticas simplificadas de segurança da informação para fins do disposto no art. 6º, inciso X e no art. 52, §1º, incisos VIII e IX da LGPD.”

Art. 16, inciso I

4.66. O inciso I do art. 16 dispõe:

“I - no atendimento das solicitações dos titulares referentes ao tratamento de seus dados pessoais, conforme previsto no art. 18, parágrafos 3º e 5º, e

art. 19 da LGPD, nos termos da resolução específica;”

4.67. Verifica-se, no inciso, a menção ao art. 19 da LGPD. Entretanto, o art. 7º da norma dispensa os agentes de tratamento de pequeno porte de enviar a declaração prevista no referido artigo. Em consequência, sugere-se a retirada do trecho “e art. 19 da LGPD” do apontado dispositivo.

4.68. Portanto, o inciso I passa a ter a seguinte redação:

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 11

Página 12

“I - no atendimento das solicitações dos titulares referentes ao tratamento de seus dados pessoais, conforme previsto no art. 18, parágrafos 3º e 5º, nos termos da resolução específica;”

Art. 16, inciso II

4.69. O inciso II do art. 16 dispõe:

“II – na comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da resolução específica;”

4.70. Aqui se considera importante não atribuir prazo em dobro para quaisquer situações, uma vez que pode haver casos em que um incidente de segurança, por parte de agente de tratamento de pequeno porte, pode gerar risco muito elevado à integridade dos titulares ou à segurança nacional. Nesses casos, acredita-se que os prazos não podem contar em dobro, mas a comunicação deve seguir resolução específica, aos moldes do realizado aos demais agentes de tratamento.

4.71. Nesse sentido, a redação do inciso II passa a ser:

“II – na comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da resolução específica, exceto quando houver potencial comprometimento à integridade dos titulares ou à segurança nacional, devendo, nesses casos, a comunicação atender aos prazos conferidos aos demais agentes de tratamento, conforme os termos da mencionada resolução.”

Art. 16,

Parágrafo único

4.72. O Parágrafo único do Art. 16 dispõe:

“Parágrafo único. Os prazos em dobro não especificados nesta resolução para agentes de tratamento de pequeno porte serão determinados por resoluções específicas.”

4.73. Aqui sugere-se não estabelecer a flexibilização sempre em dobro, visto que nas resoluções específicas a ANPD poderá prever flexibilização ainda mais extensa ou, eventualmente, menos extensa, em caso de maior risco.

4.74. Desse modo, propõe-se nova redação ao Parágrafo único, que passa a dispor:

“Parágrafo único. Os prazos não especificados nesta resolução para agentes de tratamento de pequeno porte serão determinados por resoluções específicas.”

Art. 19. Caput

4.75. O art. 19 dispõe:

“Art. 19. A ANPD poderá determinar ao agente de tratamento de pequeno porte o cumprimento de obrigações flexibilizadas nesta Resolução, considerando as circunstâncias relevantes da situação, tais como a natureza e o volume das operações, os riscos para os titulares e a sensibilidade dos

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 12

Página 13

dados tratados.”

4.76. Verifica-se, nesse artigo, a necessidade de acrescentar a opção de dispensa, além da mencionada flexibilização. Ressalta-se, ainda, a necessidade de acrescentar o termo “criticidade” ao da sensibilidade, já grafado.

4.77. Diante dessa consideração, o art. 19 passa a ter a seguinte redação:

“Art. 19. A ANPD poderá determinar ao agente de tratamento de pequeno porte o cumprimento de obrigações dispensadas ou flexibilizadas nesta Resolução, considerando as circunstâncias relevantes da situação, tais como a natureza e o volume das operações, os riscos para os titulares e a sensibilidade e a criticidade dos dados tratados.”

Art. 20. Caput

O art. 20 dispõe:

“Art. 20. Esta resolução entra em vigor na data de sua publicação”.

4.78. Em virtude do que preconiza o Decreto nº 10.139, de 28 de novembro de 2019, em seu art. 4º, “os atos normativos estabelecerão data certa para a sua entrada em vigor e para a sua produção de efeitos: (I) de, no mínimo, uma semana após a data de sua publicação; e (II) sempre no primeiro dia do mês ou em seu primeiro dia útil.

4.79. Em consequência, propõe-se que o art. 20 passe a ter a seguinte redação:

“Art. 20. Esta resolução entra em vigor no dia 1º de XXXXX de XXXX.”

ANÁLISE DO RELATÓRIO DE ANÁLISE IMPACTO REGULATÓRIO

4.80. A Coordenação-Geral de Normatização, e cumprimento à determinação contida no § 2º do art. 55-J da LGPD, elaborou o Relatório de Análise de Impacto Regulatório – AIR (SEI nº 2811023), com o fim de analisar a construção do modelo regulatório para aplicação da mencionada Lei a microempresas e empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais.

4.81. O Relatório de AIR possui três temas ao longo de 74 (setenta e quatro) páginas, sendo o Tema 1 - Definição de microempresa, empresa de pequeno porte e startup; o Tema 2 - Conformidade das obrigações da LGPD pelas microempresas, empresas de pequeno porte e startups e pessoas físicas que tratam dados pessoais; e o Tema 3 - Segurança da informação para proteção de dados pessoais e boas práticas. Os temas foram devidamente analisados e considerados, o que levou às conclusões a seguir explanadas.

4.82. Com relação ao tema 1, visualizou-se que a melhor opção para se definir os destinatários da norma a ser editada deve considerar os critérios adequados que permitam a simplificação e a flexibilização de certa obrigação sem o considerável

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 13

Página 14

aumento dos riscos envolvidos, tanto para os titulares de dados quanto para esse o grupo de agentes escopo da norma. Concluiu-se, portanto, que a melhor forma de atingir esses critérios é por meio da criação de um conceito-base que inclua as microempresas, empresas de pequeno porte e startups, como os trazidos pela Lei Complementar nº 123/2006 para as microempresas, empresas de pequeno porte e startups, e pela Lei Complementar nº 182/2021.

4.83. Quanto ao tema 2, concluiu-se que a opção mais adequada consiste na edição de um normativo único para dispor sobre o tratamento diferenciado das obrigações dispostas na LGPD para que microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais possam se adequar à lei.

4.84. No que tange ao tema 3, concluiu-se que a sugestão mais adequada baseia-se na edição de um guia orientativo sobre segurança da informação voltado às microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais, considerando o potencial desse instrumento em disseminar conhecimento de forma abrangente e com linguagem acessível; o fato de não criar obrigações específicas para esse grupo de agentes, sem defini-las em normas gerais para outros grupos; e a proteção que proporciona aos direitos dos titulares de dados, pelo aumento de confiança quanto à segurança no tratamento de seus dados.

4.85. Portanto, o Relatório de AIR elaborado pela CGN atende integralmente ao preconizado pela LGPD e embasa com propriedade a minuta de resolução de proteção de dados pessoais para agentes de tratamento de pequeno porte.

5. VOTO

5.1. Diante de todo o exposto, voto pela submissão da minuta da Resolução de Tratamento de Dados Pessoais por Agentes de Tratamento de Pequeno Porte à Consulta Pública, nos termos do art. 53 da LGPD, pelo prazo de, pelo menos, 30 (trinta) dias, e pela realização de audiência pública, em data a ser fixada pela Coordenação-Geral de Normatização, e em atendimento ao comando extraído do Art. 62 do Regimento Interno da ANPD, conforme proposto pela mencionada Coordenação-Geral (SEI nº 2810848).

5.2. Destaco que as alterações aqui propostas restam consolidadas na minuta de Resolução de Tratamento de Dados Pessoais por Agentes de Tratamento de Pequeno Porte que segue anexa ao presente voto.

5.3. Por fim, considerando a urgência na aprovação da matéria para cumprimento dos prazos propostos, em especial o impacto dos processos de adequação à LGPD por parte dos agentes de tratamento de pequeno porte, objeto da presente norma, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno da ANPD. Proponho, ainda, que seja observada a possibilidade de redução de prazo mínimo para deliberação, prevista no

§ 1º do

art. 41 do Regimento Interno da ANPD.

5.4. É como voto.

ARTHUR PEREIRA SABBAT

Diretor Relator

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 14

Página 15

ANEXO - Minuta de Resolução de Tratamento de Dados Pessoais por Agentes de Tratamento de Pequeno Porte

Documento assinado eletronicamente por Arthur Pereira Sabbat,

Diretor(a), em 25/08/2021, às 12:42, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2833113 e o código CRC 19E4B6EB no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2833113

Voto 13 (2833113) SEI 00261.000054/2021-37 / pg. 15

Página 16

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 10/2021 -

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 26/08/2021, às 15:56, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2837223 e o código CRC B6989E6E no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2837223

Voto 12 (2837223) SEI 00261.000054/2021-37 / pg. 16

Página 17

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 11/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 11/2021 -

DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 26/08/2021, às 17:53, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2837963 e o código CRC 35BFB00F no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2837963

Voto 11 (2837963) SEI 00261.000054/2021-37 / pg. 17

Página 18

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 10/2021

DIRETORA NAIRANE RABELO FARIAS LEITÃO

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão,

Diretor(a), em 27/08/2021, às 09:04, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2838047 e o código CRC 7C6A2A63 no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2838047

Voto 12 (2838047) SEI 00261.000054/2021-37 / pg. 18

Página 19

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 8/2021/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000054/2021-37

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de resolução do regulamento para a aplicação da LGPD para agentes de tratamento de pequeno porte

VOTO EM CIRCUITO DELIBERATIVO N. 11/2021 -

DIRETOR PRESIDENTE WALDEMAR GONÇALVES

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 27/08/2021, às 15:25, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2839425 e o código CRC B3FDD9B4 no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000054/2021-37 SEI nº 2839425

Voto 8 (2839425) SEI 00261.000054/2021-37 / pg. 19