- A Resolução CD/ANPD nº 2/2022 regulamenta um regime simplificado para microempresas, pequenas empresas, startups, MEI e entidades sem fins lucrativos
- O enquadramento é definido por faturamento anual: até R$360 mil para microempresas, até R$4,8 milhões para pequenas empresas e até R$16 milhões para startups inovadoras
- Os principais benefícios são a dispensa do encarregado formal, registro simplificado de tratamento e prazos em dobro para atender titulares e notificar incidentes
- Tratamento de dados sensíveis, dados de crianças e adolescentes, decisões automatizadas ou operações em larga escala excluem a empresa do regime, independentemente do faturamento
- O regime simplificado reduz a carga documental, mas não dispensa nenhuma das obrigações de fundo da LGPD
Quem se qualifica para o regime simplificado
A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, regulamenta a aplicação da LGPD a agentes de tratamento de pequeno porte. A norma reconhece que exigir a mesma estrutura de conformidade de uma multinacional e de um microempreendedor individual não faz sentido prático, e cria um regime com obrigações proporcionais ao porte do negócio.
O regime se aplica a quatro categorias de agentes de tratamento: microempresas e empresas de pequeno porte enquadradas na Lei Complementar nº 123/2006, startups caracterizadas pela Lei Complementar nº 182/2021, pessoas jurídicas de direito privado sem fins lucrativos, e pessoas naturais e entidades despersonalizadas que tratam dados pessoais. Microempreendedores individuais (MEI) entram na categoria de microempresas para efeitos da resolução.
Os limites de faturamento
O enquadramento no regime simplificado depende do faturamento bruto anual do agente de tratamento no exercício anterior:
Estar dentro do limite de faturamento é condição necessária, mas não suficiente. O regime simplificado só se aplica quando o tratamento de dados também respeita as restrições de escopo descritas mais adiante neste artigo. Uma pequena empresa que trata dados de saúde em larga escala, por exemplo, não se qualifica mesmo estando dentro do teto de faturamento.
Os benefícios do regime simplificado
Para os agentes de tratamento que se qualificam, a resolução flexibiliza quatro exigências que normalmente demandam estrutura dedicada:
O que fica de fora do regime simplificado
A resolução exclui expressamente determinados tipos de tratamento do regime simplificado, independentemente do faturamento da empresa. Isso significa que uma microempresa pode perder o benefício assim que sua operação entra em uma dessas categorias.
Tratamento de dados pessoais sensíveis nos termos do Art. 5, II da LGPD, tratamento de dados de crianças e adolescentes, tratamento em larga escala, tratamento que gere alto risco para os titulares, decisões automatizadas que afetem os interesses dos titulares, e o uso de novas tecnologias que possam ampliar o risco a direitos fundamentais afastam a empresa do regime simplificado para aquela atividade específica.
Na prática, isso atinge diretamente clínicas, laboratórios, plataformas educacionais voltadas a menores de idade, aplicativos com geolocalização contínua e qualquer negócio que use scoring ou perfilamento automatizado de clientes. Uma pequena empresa de saúde, por exemplo, não se qualifica para o regime simplificado nas atividades que envolvem prontuários de pacientes, mesmo estando dentro do teto de faturamento de uma EPP.
Regime simplificado não é isenção
O erro mais comum entre pequenas empresas é interpretar o regime simplificado como uma isenção geral da LGPD. Não é. Todas as obrigações de fundo continuam valendo: base legal para cada tratamento, segurança da informação proporcional ao risco, aviso de privacidade claro, atendimento aos direitos dos titulares e responsabilidade em caso de incidente ou vazamento.
O que muda é a forma como a empresa demonstra conformidade, não o conteúdo das obrigações. Uma microempresa dispensada de indicar um encarregado formal ainda precisa ter um processo real para receber e responder solicitações de titulares. Uma EPP com registro simplificado de tratamento ainda precisa saber, documentadamente, quais dados coleta e por quê.
O regime simplificado reduz a burocracia de comprovar conformidade. Não reduz o padrão de proteção que os dados dos seus clientes recebem.
Como comprovar o enquadramento
A ANPD pode solicitar, a qualquer momento, a comprovação do enquadramento no regime simplificado, especialmente em resposta a uma denúncia ou durante uma fiscalização. Mantenha documentado o faturamento anual da empresa, o enquadramento tributário ou societário (ME, EPP, MEI ou startup elegível pela Lei Complementar nº 182/2021) e uma descrição das atividades de tratamento que demonstre que nenhuma delas se enquadra nas exclusões do regime.
Empresas que crescem e ultrapassam os limites de faturamento durante o ano devem reavaliar seu enquadramento no início do exercício seguinte. Da mesma forma, uma empresa que passa a oferecer um novo produto ou serviço que envolve dados sensíveis ou de crianças precisa reavaliar o enquadramento daquela atividade específica, mesmo mantendo o regime simplificado para o restante do negócio.
Nossa equipe avalia se sua empresa se qualifica para o regime simplificado, identifica quais atividades de tratamento ficam de fora e implementa a documentação proporcional que a ANPD espera ver em uma fiscalização. Entre em contato para uma avaliação inicial.