*Por: Giulio Franchi e Maria Beatriz Torquato
Desde o surgimento da Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), muito se tem discutido sobre a importância e necessidade de se tratar dados pessoais em conformidade com o disposto na referida lei. Para quem busca se adequar, é importante saber que processo de adequação à LGPD engloba várias etapas e uma das principais é a do registro das operações de tratamento, já que é a partir dele que é possível ter uma visão mais detalhada sobre o que a empresa realmente faz com os dados das pessoas.
Mas afinal, o que é o registro das operações de tratamento? Também conhecido como mapeamento de dados, o registro é um documento com informações detalhadas de como ocorre o fluxo de dados pessoais em cada processo que a empresa realiza. O mapeamento usualmente contém informações como: uma breve descrição do processo tratado, a finalidade para qual aquele tratamento de dados existe, a base legal que legitima e justifica o tratamento, o titular dos dados, os tipos de dados tratados, a origem, meio de coleta, informações sobre armazenamento e sobre os terceiros envolvidos na operação, e a definição dos agentes de tratamento envolvidos.
Além de ser fundamental, pois serve como um “norte” para elaboração de outros documentos, como o Aviso de Privacidade, trata-se de documento obrigatório, na medida em que a LGPD dispõe no art. 37 que “o controlador e operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse”.
Contudo, apesar da indiscutível importância, a elaboração desse documento envolve alguns obstáculos e costuma ser um procedimento complexo, em virtude do tempo que demanda e do investimento necessário para realizá-lo. Para empresas menores, esta complexidade pode atrapalhar o seu processo de adequação à Lei.
Diante dessa circunstância e de alguns outros aspectos que envolvem a necessidade de equilíbrio entre o disposto na LGPD e o porte do agente de tratamento de dados, a Autoridade Nacional de Proteção de Dados Pessoais (ANPD), publicou em janeiro deste ano a Resolução CD/ANPD nº 02, que aprova o regulamento específico da LGPD para agentes de pequeno porte e traz, em síntese, um tratamento jurídico diferenciado para este grupo de empresas. Dentre os temas incluídos, que podem ser vistos como benefícios para as empresas se adequarem a lei, há a definição de que o registro de tratamento pode ocorrer maneira simplificada.
O art. 9º da resolução acima mencionada, dispõe que “Os agentes de tratamento de pequeno porte podem cumprir a obrigação de elaboração e manutenção de registro das operações de tratamento de dados pessoais, constante do art. 37 da LGPD, de forma simplificada”. O parágrafo único a complementa afirmando que “a ANPD fornecerá modelo para o registro simplificado de que trata o caput”.
Sobre o modelo simplificado, recentemente a ANPD abriu tomada de subsídios de registro simplificado das operações de tratamento de dados pessoais para que a sociedade possa contribuir para elaboração deste modelo até o dia 04/12/2022. Espera-se que o modelo contenha as informações essenciais e seja o mais objetivo possível, para que, com isso, a elaboração dele demande menos tempo e investimento de forma a contribuir e incentivar os agentes de pequeno porte a elaborarem o documento e seguirem com outras etapas de conformidade com a LGPD.
Advogado. Pós-graduado em Direito Empresarial pela FGV São Paulo. Alumni do Data Privacy. Associado ao International Association of Privacy Professionals (IAPP). Membro da Comissão do Novo Advogado do Instituto dos Advogados de São Paulo (IASP).