Flexibilizações da LGPD para micro e pequenas empresas

Desde que começou a valer as penalidades e sanções da Lei Geral de Proteção de Dados - LGPD, muito se debateu com a autoridade nacional reguladora sobre a aplicação dos termos da Lei para micro e pequenas empresas. Principalmente no que diz respeito a entraves burocráticos e adequação de processos administrativos para atender demandas dos titulares de dados dentro dos prazos estipulados. 

Dentre as consultas realizadas pela Autoridade Nacional de Proteção de Dados - ANPD, criaram-se casos especiais e exceções nas responsabilidades de diferentes tipos de organizações. Micro e pequenas empresas, startups e pessoas jurídicas sem fins lucrativos, como entidades com fins religiosos, associações, partidos políticos e fundações são enquadrados por essas novas resoluções. 

Salienta-se que as responsabilidades seguem em aplicação, bem como penalidades, porém foram facilitados seus processos. Por exemplo, as empresas enquadradas não são obrigadas a declarar um encarregado de proteção de dados e possuem o dobro do tempo estipulado pela LGPD para atender requisições de titulares de dados, bem como na notificação da ANPD no caso de violações. Apenas em caso de grave risco referente a vazamento de dados, a notificação deve ser feita dentro do prazo estipulado de 2 dias úteis após a identificação de vazamento.

Também ficam dispensados de conferir portabilidade de dados a terceiros; a prestação de informações pode ser feita de modo simplificado em meios eletrônicos ou impressos; em casos de solicitação pelo titular dos dados, a empresa pode optar entre anonimizar, eliminar, ou bloquear os dados pessoais; não se faz necessário fazer parte de entidades empresariais de negociação, mediação e conciliação de reclamações de titulares; e não é necessário registrar as operações de tratamento de dados. 

Como já mencionado, as obrigações com relação a necessidade de proteção dos dados pessoais de cidadãos seguem válidas mesmo com as flexibilizações, podendo, entretanto, a autoridade requerer destas entidades que cumpram as estipulações rigorosamente a depender da necessidade ou contexto de momentos específicos. Também deve-se notar que organizações que fazem tratamento de alto risco ou que envolvam o trabalho com grande volume de dados de vários titulares não estão incluídas nessa minuta. 

As operações de alto risco envolvem dados pessoais sensíveis (como etnia, dados médicos, socioeconômicos ou biométricos); dados de grupos considerados vulneráveis, como idosos, crianças e adolescentes; vigilância e controle de locais de acesso público; uso de tecnologias com risco de danos materiais ou morais; e processos automatizados de tratamento de dados de qualquer espécie. 

Mesmo com a possibilidade de simplificações e dispensas, as empresas beneficiadas ainda devem ter condições de apresentar as eventuais solicitações feitas pela ANPD e titulares de dados. Por isso, ainda se faz necessário o emprego de medidas de segurança e proteção, tanto pela preservação de clientes ou usuários, quanto pela implementação de condições organizacionais e know-how para a sua efetiva implementação conforme a empresa expandir. 

Dessa forma, as empresas podem fazer controles facilitados, tendo menos custos de implementação das medidas administrativas de controle e não precisando criar setores e processos especializados. Mas, pode-se considerar isso como uma oportunidade para o desenvolvimento gradual de políticas de proteção de dados e de desenvolver de modo organizado os sistemas tecnológicos e humanos para uma prestação de serviços ética e alinhada ao respeito da privacidade de clientes e usuários.