O que esperar das novas regras de proteção de dados para PMES?

Por Camila Kojima, sócia do escritório Filhorini Advogados Associados

Os empresários aguardam ansiosamente as novas regras da Autoridade Nacional de Proteção de Dados (ANPD) aplicáveis às pequenas e médias empresas sobre o tratamento de dados pessoais, que devem simplificar diversas questões que atualmente são válidas para todas as empresas, independentemente do seu porte.

• A pandemia mostrou que a inovação será cada dia mais decisiva para seu negócio. Encurte caminhos, e vá direto ao ponto com o curso Inovação na Prática

Numa empresa menor, em que há limitação de recursos humanos e de capital, o foco está voltado para a sua atividade principal, de modo que a administração do tratamento dos dados pessoais se torna altamente onerosa, uma vez que demanda gerenciamento e pessoal especializado.

Como funciona em outros países

Nos países da União Europeia, em que a lei de proteção de dados pessoais correspondente (General Data Protection Regulation - GDPR) está em vigor há mais tempo e num patamar mais avançado de discussões, existe previsão específica na legislação para as micro e pequenas empresas.

Nesses países, as empresas com menos de 250 empregados não são obrigadas a manter registro das operações de tratamento de dados pessoais, exceto se: a própria atividade da empresa consistir no tratamento de dados; ou se houver um risco de dano aos titulares dos dados; ou ainda, se houver tratamento de “dados pessoais sensíveis” — que revelem a origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, biométricos, relativos à saúde ou à vida sexual ou orientação sexual — ou relativos a condenações penais e infrações.

Além disso, a obrigatoriedade em nomear um Encarregado de Proteção de Dados (Data Protection Officer - DPO) é aplicável para autoridade/organismo públicos, exceto os tribunais no exercício da sua função jurisdicional, e empresas cujas atividades principais envolvam o tratamento de dados pessoais que demandam um controle regular e sistemático em grande escala ou, que envolvam o tratamento em grande escala de dados pessoais sensíveis ou relativos a condenações penais e infrações.

Como é atualmente no Brasil

No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD) deixou para a Autoridade Nacional de Proteção de Dados (ANPD) editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, aplicáveis às microempresas, empresas de pequeno porte e startups (art. 55-J, XVIII).

Na mesma linha adotada pela União Europeia, uma das medidas que se aguarda no Brasil é a regulamentação pela ANPD sobre as hipóteses de dispensa de nomeação do encarregado (DPO).

A própria LGPD traz essa possibilidade (art. 41, 3º parágrafo) ao conferir liberdade à ANPD para estabelecer normas sobre a definição e atribuições do encarregado, inclusive a liberação de manter o encarregado, levando em consideração a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

Dessa forma, ao menos dois critérios importantes devem ser considerados para a inexigibilidade de nomeação de um DPO:

• O tamanho da empresa — e aqui será necessário definir qual o critério aplicável, se será o mesmo da Lei Complementar 123/2006, ou seja, baseado na receita bruta e
• O volume de operações de tratamento de dados.

É importante existir esses dois critérios, pois mesmo uma pequena empresa, a depender de sua atividade, pode lidar com diversos dados pessoais, inclusive dados pessoais sensíveis (a exemplo de uma clínica). Nesses casos, em que o risco de incidentes de segurança e o potencial de danos aos titulares é maior, é razoável que seja exigida a nomeação de um encarregado.

Uma segunda expectativa, no sentido de regulamentação específica para PMEs, diz respeito aos relatórios de impacto, que são os documentos que contêm a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, assim como os mecanismos para mitigação de risco.

Existe espaço para modular a obrigatoriedade na elaboração dos relatórios de impacto, uma vez que a LGPD prevê a faculdade de a ANPD determinar à empresa a elaboração do relatório (art. 38) e estabelece que esses relatórios poderão ser exigidos pela ANPD quando o tratamento dos dados pessoais tiver como fundamento o legítimo interesse.

Assim, espera-se que a ANPD apresente critérios claros quanto à obrigatoriedade da elaboração desses documentos, bem como uma simplificação na metodologia do relatório, para que possa ser acessível para todas as empresas.

Portanto, é importante as PMEs permanecerem bem-informadas sobre o assunto, ao qual voltaremos em um próximo artigo. Além dessas duas expectativas que mencionamos agora, existem diversas outras que deverão ser analisadas cuidadosamente pela ANPD, com o intuito de adequar a legislação à realidade das mais diversas empresas, sem perder de vista a proteção aos direitos dos titulares dos dados pessoais.

Tem dúvidas sobre como administrar a sua pequena empresa? Assine a EXAME e tenha acesso a conteúdos semanais sobre o assunto.