- A Resolução CD/ANPD nº 2/2022 regulamenta um regime simplificado para microempresas, pequenas empresas, startups, MEI e entidades sem fins lucrativos
- O enquadramento é definido por faturamento anual: até R$360 mil para microempresas, até R$4,8 milhões para pequenas empresas e até R$16 milhões para startups inovadoras
- Os principais benefícios são a dispensa do encarregado formal, registro simplificado de tratamento e prazos em dobro para atender titulares e notificar incidentes
- Quem faz tratamento de alto risco perde o regime, qualquer que seja o faturamento. Alto risco exige ao menos um critério geral (larga escala ou impacto significativo em direitos) somado a ao menos um critério específico (por exemplo, dados sensíveis ou de crianças, adolescentes e idosos)
- O regime simplificado reduz a carga documental, mas não dispensa nenhuma das obrigações de fundo da LGPD
Quem se qualifica para o regime simplificado
A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, regulamenta a aplicação da LGPD a agentes de tratamento de pequeno porte. A norma reconhece que exigir a mesma estrutura de conformidade de uma multinacional e de um microempreendedor individual não faz sentido prático, e cria um regime com obrigações proporcionais ao porte do negócio.
O regime se aplica a quatro categorias de agentes de tratamento: microempresas e empresas de pequeno porte enquadradas na Lei Complementar nº 123/2006, startups caracterizadas pela Lei Complementar nº 182/2021, pessoas jurídicas de direito privado sem fins lucrativos, e pessoas naturais e entidades despersonalizadas que tratam dados pessoais. Microempreendedores individuais (MEI) entram na categoria de microempresas para efeitos da resolução.
Os limites de faturamento
O enquadramento no regime simplificado depende do faturamento bruto anual do agente de tratamento no exercício anterior:
Estar dentro do limite de faturamento é condição necessária, mas não suficiente. O regime simplificado só se aplica quando o tratamento de dados também respeita as restrições de escopo descritas mais adiante neste artigo. Uma pequena empresa que trata dados de saúde em larga escala, por exemplo, não se qualifica mesmo estando dentro do teto de faturamento.
Os benefícios do regime simplificado
Para os agentes de tratamento que se qualificam, a resolução flexibiliza quatro exigências que normalmente demandam estrutura dedicada:
O que fica de fora do regime simplificado
O art. 3º da Resolução CD/ANPD nº 2/2022 tira o tratamento diferenciado de três grupos, qualquer que seja o porte declarado: quem realiza tratamento de alto risco, quem ultrapassa os limites de receita bruta e quem pertence a um grupo econômico, de fato ou de direito, cuja receita global ultrapassa esses limites. A exclusão vale para a empresa como um todo, não para uma atividade isolada.
O tratamento é de alto risco quando atende, cumulativamente, a pelo menos um critério geral e a pelo menos um critério específico.
Critérios gerais: tratamento em larga escala; ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares.
Critérios específicos: uso de tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado, inclusive perfilamento; uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.
Um critério específico sozinho não basta. Uma pequena clínica que trata prontuários (dados sensíveis) só perde o regime se também tratar dados em larga escala ou de forma que possa afetar significativamente os direitos dos pacientes. Na prática, a avaliação pesa sobre laboratórios e clínicas com grande volume de pacientes, plataformas educacionais voltadas a menores, aplicativos com geolocalização contínua e negócios que usam scoring ou perfilamento automatizado. Documente essa análise: é ela que sustenta o enquadramento se a ANPD pedir comprovação.
Regime simplificado não é isenção
O erro mais comum entre pequenas empresas é interpretar o regime simplificado como uma isenção geral da LGPD. Não é. Todas as obrigações de fundo continuam valendo: base legal para cada tratamento, segurança da informação proporcional ao risco, aviso de privacidade claro, atendimento aos direitos dos titulares e responsabilidade em caso de incidente ou vazamento.
O que muda é a forma como a empresa demonstra conformidade, não o conteúdo das obrigações. Uma microempresa dispensada de indicar um encarregado formal ainda precisa ter um processo real para receber e responder solicitações de titulares. Uma EPP com registro simplificado de tratamento ainda precisa saber, documentadamente, quais dados coleta e por quê.
O regime simplificado reduz a burocracia de comprovar conformidade. Não reduz o padrão de proteção que os dados dos seus clientes recebem.
Como comprovar o enquadramento
A ANPD pode solicitar, a qualquer momento, a comprovação do enquadramento no regime simplificado, especialmente em resposta a uma denúncia ou durante uma fiscalização. Mantenha documentado o faturamento anual da empresa, o enquadramento tributário ou societário (ME, EPP, MEI ou startup elegível pela Lei Complementar nº 182/2021) e uma descrição das atividades de tratamento que demonstre que nenhuma delas se enquadra nas exclusões do regime.
Empresas que crescem e ultrapassam os limites de faturamento durante o ano devem reavaliar seu enquadramento no início do exercício seguinte. Da mesma forma, uma empresa que lança um produto ou serviço com dados sensíveis ou de crianças precisa refazer a análise de alto risco. Se o novo tratamento preencher um critério geral e um específico, a empresa inteira perde o tratamento diferenciado.
Nossa equipe avalia se sua empresa se qualifica para o regime simplificado, identifica quais atividades de tratamento ficam de fora e implementa a documentação proporcional que a ANPD espera ver em uma fiscalização. Entre em contato para uma avaliação inicial.