Análises · Corporate & LGPD

Tratamento de alto risco na LGPD: quando a empresa de pequeno porte perde o regime simplificado

Por Isadora Schaucoski
·  31 de agosto de 2026
·  Leitura de 4 minutos

Por meio da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, a Autoridade Nacional de Proteção de Dados reconheceu que exigir de uma empresa de vinte funcionários a mesma estrutura de conformidade de uma companhia de capital aberto seria desproporcional e, no limite, inviabilizante. Trata-se de flexibilização deliberada, que deve ser conhecida e utilizada por quem a ela faz jus.

A resolução instituiu regime jurídico diferenciado para agentes de tratamento de pequeno porte, alcançando microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que tratam dados com finalidade econômica. O regime existe porque a Autoridade entendeu que proporcionalidade é condição de efetividade da lei, e não concessão.

O ponto que costuma passar despercebido é que o enquadramento não decorre apenas do porte, e pode ser perdido mesmo que a empresa atenda o critério de tamanho.

O que a resolução efetivamente entrega

As flexibilizações são concretas e reduzem custo de verdade. O agente enquadrado pode manter o registro das operações de tratamento em formato simplificado, adotar política simplificada de segurança da informação, contar com prazos em dobro tanto no atendimento a solicitações de titulares quanto na comunicação de incidentes e, nos termos do artigo 11, deixar de indicar formalmente o encarregado exigido pelo artigo 41 da LGPD, desde que disponibilize canal de comunicação com o titular apto a receber reclamações, prestar esclarecimentos e adotar providências.

São dispensas e flexibilizações autênticas, de modo que a empresa que se enquadra e não as aproveita está gastando mais do que precisa. O que a resolução mantém intacto é o núcleo da lei, ou seja, as bases legais, os princípios de finalidade, necessidade e transparência, todos viabilizados pela manutenção de ROPA atualizado, os direitos dos titulares e o dever, expresso no artigo 12, de adotar medidas administrativas e técnicas mínimas de segurança calibradas pelo risco e pela realidade do agente. A economia está no aparato exigido para comprovar conformidade, não na obrigação de tratar dados de forma legítima.

O tratamento de alto risco afasta o regime

O artigo 3º da resolução enumera as hipóteses em que o tratamento jurídico diferenciado deixa de se aplicar, e a primeira delas é a realização de tratamento de alto risco para os titulares. A consequência é categórica, porque a empresa que se enquadra em todos os demais critérios, que é microempresa, que fatura pouco e que tem quadro reduzido, deixa de ser considerada agente de tratamento de pequeno porte para efeitos da norma se as operações que realiza forem qualificadas como de alto risco. O porte permanece o mesmo, o regime não.

Essa é uma variável dinâmica, e não uma definição fixada na constituição da sociedade. A empresa que implanta um novo fluxo ou processo, passa a usar um sistema novo, passa a coletar uma categoria de dado que antes não coletava ou que automatiza uma decisão que antes era humana pode cruzar a linha em um trimestre, sem alteração alguma no contrato social, no faturamento ou na folha de pagamento. Não haverá notificação da Autoridade avisando que isso ocorreu, e o dever de avaliar e comprovar o enquadramento, quando solicitado, é do próprio agente.

O que é, então, tratamento de alto risco

O artigo 4º do mesmo Regulamento responde com um teste objetivo e cumulativo, exigindo a presença de ao menos um critério geral somado a ao menos um critério específico. Os critérios gerais dizem respeito ao tratamento de dados pessoais em larga escala ou ao tratamento capaz de afetar significativamente interesses e direitos fundamentais dos titulares. Os critérios específicos alcançam, entre outras hipóteses, o tratamento de dados sensíveis, o tratamento de dados de grupos vulneráveis, incluindo crianças e adolescentes, o uso de tecnologias emergentes e as decisões automatizadas destinadas a definir perfil pessoal, profissional, de saúde, de consumo ou de crédito.

A leitura correta é que nenhum dos dois blocos, isoladamente, desqualifica a empresa, e que a combinação de um com o outro basta. Traduzindo para operações que existem de fato em negócios de médio porte, a indústria que substitui o cartão de ponto por leitura biométrica passa a tratar dado sensível de todo o seu quadro funcional, em escala, e provavelmente cruzou a linha. A empresa de educação, esporte ou entretenimento voltada a público infantojuvenil trata dados de grupo vulnerável como parte ordinária do modelo de negócio. A companhia que adota ferramenta de triagem automatizada de currículos passa a produzir decisões com efeito direto sobre o perfil profissional de candidatos. Nenhuma dessas organizações se descreveria espontaneamente como agente de alto risco, e todas devem fazer o teste do artigo 4º antes de assumir que o regime simplificado lhes cabe.

Convém registrar, ainda, que mesmo o enquadramento regular não é definitivo, porque o artigo 16 autoriza a ANPD a determinar o cumprimento das obrigações dispensadas ou flexibilizadas quando as circunstâncias, especialmente a natureza ou o volume das operações e os riscos aos titulares, assim justificarem.

Por que essa verificação vale mais do que parece

Não se trata de risco hipotético, e o melhor indício disso está na própria atuação sancionatória da Autoridade. A primeira sanção pecuniária aplicada pela ANPD não recaiu sobre grande plataforma digital nem sobre instituição financeira, e sim sobre uma microempresa, penalizada por tratar dados pessoais sem base legal e por não colaborar com a fiscalização. Se pode extrair da leitura que o porte não afasta a fiscalização, e a Autoridade escolheu inaugurar sua atuação punitiva exatamente sobre o segmento que o mercado presumia estar fora do radar. Flexibilizar exigências não é deixar de olhar, e a ANPD sinalizou desde o primeiro caso que sua atenção não diminui na proporção do faturamento.

O padrão se confirmou nos anos seguintes. O monitoramento divulgado pela Autoridade em julho de 2026, que avaliou cinquenta e seis agentes de tratamento quanto à indicação de encarregado e à existência de canal de comunicação com titulares, registrou vinte e um que sequer responderam aos pedidos de adequação, com encaminhamento para avaliação das medidas cabíveis. O que a fiscalização tem alcançado não é sofisticação técnica insuficiente, e sim ausência do básico, que é precisamente o terreno em que a empresa de pequeno porte consegue se organizar com pouco esforço e onde, ainda assim, costuma nada fazer.