Resolução 2/2022 da ANPD: o que muda na empresa de pequeno porte

A Resolução 2/2022 ANPD criou obrigações simplificadas para determinados pequenos agentes de tratamento, mas não retirou a responsabilidade de cumprir a LGPD. O ponto central é identificar corretamente o enquadramento, os riscos do tratamento e as exigências que continuam valendo.

O que é a Resolução 2/2022 ANPD

A Resolução 2/2022 ANPD regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte. Ela foi criada para permitir que negócios menores adotem medidas proporcionais à sua realidade, sem exigir a mesma estrutura operacional esperada de uma grande empresa.

Na prática, a norma simplifica algumas rotinas documentais e de atendimento. Ela não cria uma “dispensa de LGPD para pequena empresa”, nem elimina a necessidade de conhecer os dados tratados, definir finalidades e proteger informações pessoais.

Para aprofundar: LGPD na escola particular.

O termo agente de tratamento abrange controlador e operador. Uma clínica que decide como usará os dados de pacientes costuma atuar como controladora. Uma empresa de software, contabilidade ou TI que trata dados em nome da clínica pode atuar como operadora, conforme o contrato e a atividade efetivamente realizada.

Quem pode ser agente de tratamento de pequeno porte

A resolução considera, em regra, como agente de tratamento de pequeno porte:

• Microempresa e empresa de pequeno porte, nos termos da Lei Complementar 123/2006.
• Startup, nos termos da legislação aplicável.
• Pessoa jurídica de direito privado sem fins lucrativos.
• Pessoa natural e entidade privada sem personalidade jurídica que tratem dados pessoais para fins econômicos.

O enquadramento não depende apenas do nome empresarial ou do porte informado no cadastro. É necessário verificar atividade, faturamento, estrutura societária, grupo econômico e, principalmente, o risco do tratamento realizado.

Para microempresa e empresa de pequeno porte, a referência de receita bruta vem da Lei Complementar 123/2006. Uma empresa que ultrapassa o limite legal de empresa de pequeno porte não pode usar o regime simplificado apenas porque tem poucos funcionários ou uma operação enxuta.

Também é preciso avaliar se a empresa integra grupo econômico. Uma unidade pequena pertencente a um grupo com receita global acima do limite previsto na norma pode ficar fora das flexibilizações.

Quais obrigações são flexibilizadas

A LGPD para pequena empresa continua exigindo organização, mas a Resolução 2/2022 ANPD admite formatos mais simples para documentar e executar algumas obrigações.

Registro simplificado não é ausência de registro

A empresa pode usar uma estrutura mais simples para registrar as operações de tratamento. Ainda assim, deve conseguir responder perguntas básicas: quais dados coleta, de quem, para qual finalidade, onde armazena, com quem compartilha, por quanto tempo mantém e quais medidas de segurança utiliza.

Uma tabela pode atender uma operação simples, desde que reflita a prática real. O erro comum é preencher uma planilha genérica que não acompanha matrícula, atendimento, cobrança, contratação, entrega ou suporte.

Encarregado obrigatório pequena empresa: quando não indicar

A dúvida sobre encarregado obrigatório pequena empresa é frequente. A resolução permite que o agente de pequeno porte não indique formalmente um encarregado, desde que mantenha canal de comunicação com o titular de dados.

Esse canal precisa funcionar de verdade. Pode ser um e-mail específico, formulário no site ou canal de atendimento documentado. A empresa deve informar de forma clara como o titular pode pedir acesso, correção, eliminação, informação sobre compartilhamento ou revisão de decisões automatizadas, quando aplicável.

Não indicar encarregado não significa deixar a função sem dono. Uma pessoa ou área precisa receber as solicitações, acionar quem conhece o processo e registrar o atendimento. Para empresas que já contratam encarregado terceirizado, a resolução não impede a manutenção desse modelo, que pode ser adequado conforme o risco e a exigência contratual de clientes.

O que não muda com o regime simplificado

A resolução reduz formalidades, não reduz princípios. O art. 6º da LGPD continua aplicável, incluindo finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.

A empresa também continua precisando de base legal para cada tratamento. Consentimento não é uma autorização genérica para tudo, e não substitui outras bases legais adequadas, como execução de contrato, cumprimento de obrigação legal ou regulatória e exercício regular de direitos.

As obrigações que permanecem incluem:

• Atender os direitos dos titulares.
• Adotar medidas de segurança administrativas e técnicas compatíveis com os riscos.
• Controlar acessos a sistemas, e-mails, prontuários, cadastros e documentos.
• Formalizar minimamente a relação com fornecedores que tratam dados.
• Comunicar incidentes de segurança à ANPD e aos titulares quando houver risco ou dano relevante.
• Demonstrar as medidas adotadas caso a ANPD, um cliente ou um titular solicite informações.

Os prazos podem ser flexibilizados em hipóteses previstas pela resolução, mas isso não autoriza demora injustificada. Em incidente, por exemplo, a prioridade é conter o problema, preservar evidências, entender os dados afetados e avaliar rapidamente a necessidade de comunicação.

Quando a empresa perde as flexibilizações

Nem toda empresa pequena pode usar o regime simplificado. A resolução afasta esse tratamento quando houver tratamento de alto risco para os titulares.

Para manter esse mínimo em dia sem planilha paralela, use o registro de operações automático do Mapadados.

A avaliação considera critérios gerais e específicos. Entre os fatores relevantes estão tratamento em larga escala, impacto significativo sobre direitos fundamentais, uso de dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, decisões exclusivamente automatizadas e monitoramento de áreas acessíveis ao público.

Dados sensíveis incluem, entre outros, informações sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, biometria e vida sexual. O simples fato de a empresa tratar um dado sensível não resolve sozinho a análise, mas o uso em larga escala ou em contexto de impacto relevante pode afastar o regime.

A empresa também perde a condição de agente de tratamento de pequeno porte se tiver receita bruta acima do limite legal para empresa de pequeno porte ou integrar grupo econômico cuja receita global ultrapasse esse parâmetro.

Como avaliar o risco sem complicar

Faça a análise por processo, não por departamento ou sistema. Comece pelos processos que efetivamente colocam dados em circulação.

1. Liste processos como admissão, consulta, matrícula, venda, cobrança, entrega e suporte.
2. Identifique titulares, dados coletados, sistemas usados e terceiros envolvidos.
3. Marque os dados sensíveis, dados de menores, biometria, geolocalização e decisões automatizadas.
4. Avalie volume, frequência, alcance e consequência de um vazamento ou uso indevido.
5. Registre a conclusão sobre enquadramento e revise-a quando a operação mudar.

Esse trabalho exige esforço inicial de responsáveis por atendimento, financeiro, RH, comercial e TI. Não há taxa pública para usar a resolução. O custo real está em levantar a operação, corrigir controles e manter o registro atualizado quando entra um novo sistema, fornecedor ou serviço.

Dois exemplos práticos: clínica e comércio eletrônico

Uma clínica de pequeno porte trata dados de saúde, que são dados pessoais sensíveis. Se atende poucos pacientes e tem processos bem delimitados, ainda precisa analisar cuidadosamente o porte e o risco, mas não deve presumir que está automaticamente dispensada de indicar encarregado ou de manter controles mais robustos.

Se a clínica atende grande volume de pacientes, integra rede maior, compartilha prontuários com diversos parceiros ou usa sistemas para decisões relevantes sobre atendimento, o tratamento pode ser considerado de alto risco. Nesse caso, as flexibilizações da Resolução 2/2022 ANPD podem não se aplicar. O mínimo operacional inclui controle de acesso aos prontuários, perfis de usuários, contrato com sistema de gestão, rotina de backup e canal para pacientes.

Um comércio eletrônico pequeno normalmente trata cadastro, endereço, pagamento, pedidos e atendimento. Se usa dados apenas para venda, entrega, suporte e obrigações fiscais, com volume compatível com seu porte, pode ter condições de usar registros simplificados e manter um canal de atendimento sem encarregado formal.

O problema surge quando o comércio eletrônico compra listas, usa perfilamento intenso, compartilha dados sem controle com parceiros ou deixa credenciais expostas. A empresa pode até manter o enquadramento formal, mas continuará em desconformidade com princípios, segurança e transparência da LGPD.

Leitura complementar: Primeiras 24 horas de um vazamento.

Erros frequentes e como corrigir

O primeiro erro é tratar a resolução como dispensa total. Corrija começando por uma lista dos processos reais e vinculando cada um a finalidade, base legal, dados, responsáveis e fornecedores.

O segundo é publicar um e-mail de privacidade e nunca monitorá-lo. Defina responsável, prazo interno, modelo de resposta e registro das solicitações recebidas.

O terceiro é usar documentos padronizados que não correspondem à operação. Uma política diz que a empresa não compartilha dados, mas o time usa plataforma de pagamento, entrega, CRM e contabilidade. Corrija o documento e os contratos com base nos fluxos efetivos.

O quarto é esperar um incidente para descobrir quem acessa o quê. Revise contas de ex-funcionários, permissões administrativas, senhas compartilhadas, backups e aparelhos pessoais usados para trabalhar.

Conclusão

A Resolução 2/2022 ANPD torna a conformidade mais proporcional para pequenos negócios, mas não reduz a LGPD a um documento ou a um aviso de privacidade. Antes de usar qualquer flexibilização, a empresa deve confirmar seu porte, analisar o risco dos processos e manter evidências mínimas de suas decisões.

O Mapadados ajuda consultorias, escritórios e empresas a partir dos processos reais, como atendimento, matrícula, admissão ou checkout, para organizar o inventário e transformar achados em plano de ação acompanhável. Para avaliar a aplicação na sua operação ou nos clientes atendidos, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Mapadados.