Resposta rápida: A LGPD vale também para o MEI que guarda dados de clientes. A Resolução CD/ANPD nº 2/2022 alivia as regras para os agentes de pequeno porte, MEI incluído: dispensa a indicação do encarregado, desde que haja um canal de contato com o titular, permite registro simplificado das operações e política simplificada de segurança e dá prazo em dobro para atender pedidos dos titulares e comunicar incidentes.
Pequenos negócios também estão sujeitos à legislação de dados
Existe um mito comum no ambiente de pequenas empresas digitais de que as exigências da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) atingiriam apenas grandes multinacionais, bancos ou conglomerados de tecnologia. Na prática, qualquer pessoa física ou jurídica que colete dados de clientes para fins comerciais deve respeitar a privacidade dos titulares.
O Sebrae Santa Catarina, no artigo sobre LGPD nos pequenos negócios, é direto: “Se você coleta qualquer dado dos seus clientes, seja na sua rede de computadores, no seu telefone, em planilhas, formulários (impressos ou digitais), sistemas, contratos ou na nuvem, você precisa se adequar à Lei Geral de Proteção aos Dados.” Nome, número de celular, e-mail e chave de pagamento de quem contrata a assinatura são dados pessoais, porque identificam uma pessoa.
Ao coletar cadastros para efetivar vendas, a revenda assume o papel de agente de tratamento e passa a responder, perante a lei, pela custódia, pelo sigilo e pelo descarte correto dessas informações, evitando vazamentos e compartilhamentos não autorizados com terceiros.
Essa responsabilidade não precisa assustar. É uma chance de organizar os controles da revenda e passar confiança a quem paga a assinatura: cliente que vê cuidado com os dados dele tem menos motivo para desconfiar do resto do serviço.
A LGPD separa os dados pessoais comuns dos sensíveis, como os biométricos e os de saúde, e põe entre os seus princípios a necessidade: “limitação do tratamento ao mínimo necessário para a realização de suas finalidades”. Na revenda, isso quer dizer pedir só o que identifica o assinante e permite cobrar: quanto menos dado, menos coisa para proteger.
As flexibilizações da Resolução 2 da ANPD para o MEI
Reconhecendo que a estrutura de um microempreendimento individual ou microempresa é enxuta, a Autoridade Nacional de Proteção de Dados editou a Resolução CD/ANPD nº 2/2022, regulamentando a aplicação diferenciada da lei para agentes de tratamento de pequeno porte.
O art. 2º, inciso II, define microempresas e empresas de pequeno porte e diz, com todas as letras, “incluído o microempreendedor individual”. Há uma ressalva no art. 3º: o tratamento diferenciado não vale para quem realiza tratamento de alto risco para os titulares, nem para quem passa do limite de receita da Lei Complementar nº 123/2006 ou pertence a grupo econômico acima desse limite. Fora dessas exceções, as simplificações são estas:
- Dispensa de indicar o encarregado pelo tratamento de dados, o DPO, pelo art. 11: “Os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD.”
- Registro simplificado das operações de tratamento de dados, pelo art. 9º
- Política simplificada de segurança da informação, pelo art. 13, que deve levar em conta o custo, a estrutura, a escala e o volume das operações
- Prazo em dobro, pelo art. 14, para atender às solicitações dos titulares e para comunicar à ANPD e ao titular um incidente de segurança que possa causar risco ou dano relevante (exceto quando o incidente puder comprometer a integridade física ou moral dos titulares, caso em que vale o prazo comum); e, pelo art. 15, até 15 dias para entregar a declaração simplificada de confirmação de existência ou acesso aos dados
Simplificar não é dispensar a segurança: o art. 12 continua pedindo “medidas administrativas e técnicas essenciais e necessárias” para proteger os dados.
Passos essenciais para estar em conformidade sem burocracia
Para quem toca uma revenda independente, o primeiro passo é saber o que o negócio guarda, e o roteiro está no inventário de dados de clientes. Esse levantamento ajuda a montar o registro simplificado que o art. 9º permite.
Em segundo lugar, aplique o princípio da necessidade: não solicite documentos ou dados irrelevantes para a assinatura do plano. Em terceiro lugar, siga as diretrizes de segurança sobre como guardar senhas e acessos de clientes com segurança, que já mostra onde e como guardar os acessos.
Com equipe, escreva a política simplificada de segurança que o art. 13 permite: quem acessa o cadastro, onde ele fica e o que fazer quando alguém sai, como mostra o guia colaborador saiu: como revisar os acessos. Ela pode ser curta, porque o § 1º do art. 13 manda considerar o custo, a estrutura, a escala e o volume da operação.
Se um incidente acontecer mesmo assim, o caminho da comunicação e o prazo estão no FAQ do mesmo guia de senhas e acessos; para o pequeno porte, o prazo conta em dobro.
O canal de contato que substitui o encarregado
A dispensa do encarregado tem uma condição. O § 1º do art. 11 diz: “O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados para atender o disposto no art. 41, § 2º, I da LGPD.” Esse inciso da lei é o de “aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências”. Na revenda, pode ser o mesmo canal de atendimento, desde que o cliente saiba que pode usá-lo para falar dos dados dele.
Os pedidos que chegam por esse canal, como o de apagar os dados depois do cancelamento, têm roteiro próprio no guia cliente pediu exclusão dos dados, inclusive sobre o que pode precisar ser guardado. O prazo em dobro do art. 14 vale para responder a esses pedidos, não para deixá-los sem resposta.
O MEI precisa de encarregado e de prazo especial?
O MEI é obrigado a contratar um encarregado de dados (DPO)?
Não. O art. 11 da Resolução CD/ANPD nº 2/2022 diz que os agentes de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais, desde que mantenham um canal de comunicação com o titular.
Qual norma da ANPD trata dos pequenos negócios?
É a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, publicada no Diário Oficial da União em 28 de janeiro de 2022. Ela traz regras diferenciadas e prazos em dobro para os agentes de tratamento de pequeno porte, MEI incluído.
Sem encarregado, por onde o cliente fala com a revenda sobre os dados dele?
Por um canal de comunicação com o titular, que o art. 11, § 1º, exige de quem não indicar encarregado. Pode ser o canal de atendimento que você já usa, desde que o cliente saiba que pode tratar dos dados dele por ali.
Em quanto tempo preciso responder quando o cliente quer saber que dados tenho dele?
A declaração simplificada pode ser entregue em até 15 dias, pelo art. 15 da Resolução 2. Os demais prazos de atendimento ao titular contam em dobro para o pequeno porte, pelo art. 14.
Próximo passo
Hoje, abra o cadastro de clientes e marque, campo por campo, o que serve para identificar o assinante e para cobrar. O que não serve para nenhuma das duas coisas sai do formulário. Depois, avise no próprio canal de atendimento que ele também recebe pedidos sobre dados pessoais e anote onde esses pedidos ficam registrados.