LGPD para pequena empresa: o que a ANPD simplificou

Muita empresa pequena acredita que a LGPD "não é para ela". A Resolução CD/ANPD 2/2022 mostra o contrário: a lei vale para todos, mas a ANPD criou um regime simplificado para agentes de tratamento de pequeno porte. Este texto resume o que muda, o que continua igual e quem fica de fora.

Quem é agente de tratamento de pequeno porte

A resolução define o grupo: microempresas e empresas de pequeno porte nos termos da Lei Complementar 123, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos), pessoas naturais e entes privados despersonalizados que tratam dados pessoais e assumem obrigações de controlador ou de operador. O microempreendedor individual está incluído.

Enquadrar-se no porte, porém, não basta. A ANPD também pode pedir, em até quinze dias, a comprovação de que a empresa se enquadra (art. 5º). O benefício existe só para quem cumpre as condições da própria norma, que o texto trata logo em seguida.

Quem fica de fora

O art. 3º diz que não se beneficiam do tratamento diferenciado os agentes que fazem tratamento de alto risco para os titulares, os que têm receita bruta acima do limite da Lei Complementar 123 (ou, para startups, da Lei Complementar 182) e os que pertencem a grupo econômico cuja receita global ultrapassa esses limites.

O art. 4º define alto risco como o tratamento que atende a pelo menos um critério geral (larga escala, ou possibilidade de afetar significativamente direitos fundamentais) e um critério específico, como o uso de tecnologias emergentes, a vigilância de zonas acessíveis ao público ou decisões tomadas só por tratamento automatizado. Uma clínica, por exemplo, deve avaliar com cuidado, porque dado de saúde é sensível.

O que é simplificado

A resolução prevê quatro flexibilizações principais. O registro das operações (art. 37 da LGPD) pode ser feito de forma simplificada, com modelo fornecido pela ANPD. A política de segurança da informação pode ser simplificada, com requisitos essenciais, levando em conta custo, estrutura, escala e volume das operações.

A terceira é a dispensa de indicar encarregado, desde que a empresa mantenha um canal de comunicação com o titular; indicar um encarregado conta como boa prática. A quarta é o prazo em dobro (art. 14) para atender solicitações dos titulares, para fornecer a declaração clara e completa do art. 19, II da LGPD e, nos termos do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD 15/2024), para comunicar incidentes à ANPD e ao titular. A declaração simplificada do art. 19, I pode ser entregue em até quinze dias (art. 15).

A redação do art. 14, II foi alterada pela Resolução 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança. Nesse regulamento, o prazo geral é de três dias úteis para comunicar a ANPD (art. 6º) e o titular (art. 9º), contados do conhecimento de que o incidente afetou dados pessoais, e o agente de pequeno porte conta esses prazos em dobro: seis dias úteis, e quarenta dias úteis para complementar as informações à ANPD (art. 6º, § 8º, e art. 9º, § 6º). A exceção que existia no texto original de 2022 para incidentes com risco à integridade física ou moral dos titulares ou à segurança nacional foi substituída e não consta mais no art. 14.

O que não muda

A flexibilização não retira a obrigação de ter uma base legal para tratar dados, respeitar os princípios e atender aos direitos dos titulares, nem a de adotar medidas de segurança adequadas. O art. 12 exige medidas administrativas e técnicas essenciais, com requisitos mínimos de segurança, e diz que seguir as recomendações e guias da ANPD é considerado observância do art. 52, § 1º, VIII da LGPD, que trata de critérios para sanções.

O art. 16 acrescenta que a ANPD pode determinar que o agente cumpra o que foi dispensado, considerando a natureza e o volume das operações e os riscos aos titulares. Ou seja: a simplificação é uma concessão, não um direito absoluto.

Segurança na prática

O guia de segurança da ANPD para agentes de pequeno porte é o documento que a resolução cita como referência. Entre as medidas que ele recomenda está o uso de antivírus nos computadores, que o artigo LGPD e antivírus corporativo detalha.

Na prática, uma empresa pequena começa pelo inventário de dados, pela proteção das estações e servidores, por senhas e MFA e por um plano simples para incidentes. A página de segurança para pequenas empresas organiza esse caminho.

Quando a simplificação acaba

As sanções da LGPD valem para todos. O art. 52 prevê advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação de dados e até a suspensão de atividades.

Para uma empresa pequena, o risco real costuma ser a combinação de um incidente com a falta de qualquer registro ou medida de segurança. O diagnóstico gratuito da Codlinx mostra onde a empresa está, sem compromisso.