# Agente de tratamento de pequeno porte na LGPD: o que a ANPD flexibiliza e o que não Norma explicada · UNIFOKAL · 12 de setembro de 2026 · 8 min de leitura · LGPD e compliance A Resolução CD/ANPD 2/2022 cria prazo em dobro, registro simplificado e dispensa de encarregado. Quem se enquadra, o que continua obrigatório e o que faz perder o enquadramento. A Lei Geral de Proteção de Dados Pessoais, a Lei 13.709/2018, não tem um capítulo para empresa pequena. Ela se aplica igual a quem trata dados de dez pessoas e a quem trata de dez milhões. O ajuste veio por regulamento: a Resolução CD/ANPD 2, de 27 de janeiro de 2022, aprovou o Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. O regulamento costuma ser lido como uma LGPD reduzida. Não é isso. Ele altera prazo e forma de algumas obrigações, deixa outras intocadas e cria condições que, se deixarem de existir, derrubam o enquadramento inteiro. O texto abaixo separa os três grupos, artigo a artigo. ## Quem é agente de tratamento de pequeno porte O artigo 2º, inciso I, do regulamento define o enquadrado como microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais assumindo obrigações típicas de controlador ou de operador. Os limites de receita vêm de fora. Para microempresa e empresa de pequeno porte, o inciso II remete à Lei Complementar 123/2006, cujo artigo 3º, inciso II, na redação da Lei Complementar 155/2016, fixa receita bruta anual superior a R$ 360.000,00 e igual ou inferior a R$ 4.800.000,00. Para startups, o inciso III remete ao Capítulo II da Lei Complementar 182/2021, cujo artigo 4º, parágrafo 1º, prevê receita bruta de até R$ 16.000.000,00 no ano-calendário anterior, até dez anos de inscrição no CNPJ e um requisito de inovação. O enquadramento não é autodeclaração definitiva. O artigo 5º determina que, quando solicitado pela ANPD, o agente comprove em até quinze dias que se enquadra nas condições dos artigos 2º e 3º. ## O que o regulamento flexibiliza São seis frentes, e todas mudam forma ou prazo, nunca a substância da obrigação: - Canais de atendimento. O artigo 7º permite atender aos artigos 9º e 18 da LGPD por meio eletrônico, impresso ou qualquer outro que assegure os direitos e o acesso facilitado. - Registro de operações. O artigo 9º permite cumprir de forma simplificada o registro exigido pelo artigo 37 da LGPD, e prevê que a ANPD forneça modelo. - Encarregado. O artigo 11 dispensa a indicação do encarregado exigida pelo artigo 41 da LGPD. Quem não indicar precisa manter canal de comunicação com o titular para atender ao artigo 41, parágrafo 2º, inciso I. Indicar mesmo assim conta como política de boas práticas e governança para o artigo 52, parágrafo 1º, inciso IX. A comparação com o regime geral está em [quando o encarregado é obrigatório](https://unifokal.com/blog/encarregado-de-dados-dpo). - Segurança. O artigo 13 permite política simplificada de segurança da informação, levando em conta custos de implementação, estrutura, escala e volume das operações. - Prazo em dobro. O artigo 14 concede prazo dobrado em quatro situações: atendimento a solicitações de titulares nos termos do artigo 18, parágrafos 3º e 5º, da LGPD; comunicação de incidente de segurança à ANPD e ao titular; fornecimento da declaração clara e completa do artigo 19, inciso II; e prazos de normativos próprios para apresentação de informações, documentos, relatórios e registros pedidos pela ANPD. - Declaração simplificada. O artigo 15 permite fornecer a declaração do artigo 19, inciso I, em até quinze dias. Note o tamanho dessa mudança: a LGPD manda fornecer o formato simplificado imediatamente. Vale conferir a redação vigente do artigo 14, inciso II, porque ela mudou. O texto original trazia exceção para casos de potencial comprometimento da integridade física ou moral dos titulares ou da segurança nacional. A Resolução CD/ANPD 15, de 24 de abril de 2024, deu nova redação ao inciso e passou a remeter ao Regulamento de Comunicação de Incidente de Segurança, onde a duplicação está operacionalizada: o artigo 6º manda comunicar à ANPD em três dias úteis, e o parágrafo 8º conta esse prazo em dobro para o pequeno porte; o artigo 9º manda comunicar ao titular em três dias úteis, e o parágrafo 6º faz o mesmo. ## O que ele não flexibiliza O artigo 6º é o dispositivo que impede a leitura preguiçosa. A dispensa ou flexibilização das obrigações não isenta o agente do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como dos direitos dos titulares. Continuam inteiros: a necessidade de base legal para cada tratamento, os princípios do artigo 6º da LGPD, os direitos do titular do artigo 18, o dever de segurança do artigo 46 e as sanções do artigo 52. O artigo 12 do regulamento reforça o ponto ao exigir medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação. Simplificar a política não é dispensar a medida. Duas obrigações são confundidas com dispensa. A comunicação de incidente não foi dispensada: o artigo 10 remeteu o tema à regulamentação específica, que chegou com a Resolução 15/2024 e concedeu prazo dobrado, não isenção. E a guarda do registro do incidente, no artigo 10 daquele regulamento, é de no mínimo cinco anos, sem prazo diferenciado para o pequeno porte. Quem trata dado sensível deve ler isso junto com o [plano de resposta a incidente com dado biométrico](https://unifokal.com/blog/incidente-com-dado-biometrico). Por fim, o artigo 16 guarda uma chave para a ANPD: a autoridade pode determinar ao agente de pequeno porte o cumprimento das obrigações dispensadas ou flexibilizadas, considerando as circunstâncias relevantes da situação, como a natureza ou o volume das operações e os riscos para os titulares. ## O que faz perder o enquadramento O artigo 3º lista três situações em que o agente não pode se beneficiar do tratamento jurídico diferenciado: - realizar tratamento de alto risco para os titulares, ressalvada a hipótese do artigo 8º, que trata de organização coletiva para negociação, mediação e conciliação de reclamações. - auferir receita bruta superior ao limite da Lei Complementar 123/2006 ou, no caso de startups, ao da Lei Complementar 182/2021. - pertencer a grupo econômico de fato ou de direito cuja receita global ultrapasse esses limites. O terceiro item é o que mais surpreende: uma empresa pequena controlada por um grupo grande não é agente de pequeno porte para a ANPD. O primeiro item exige um teste próprio. Pelo artigo 4º, o tratamento é de alto risco quando atende, cumulativamente, a pelo menos um critério geral e um critério específico. Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares. Os específicos são uso de tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, decisões tomadas unicamente com base em tratamento automatizado, inclusive as destinadas a definir perfil pessoal, profissional, de saúde, de consumo e de crédito, e utilização de dados pessoais sensíveis ou de dados de crianças, adolescentes e idosos. A leitura cumulativa importa. Tratar dado sensível, sozinho, não torna o tratamento de alto risco: é preciso também um critério geral. Mas a combinação é fácil de alcançar em verificação de identidade, porque dado biométrico é dado pessoal sensível pelo artigo 5º, inciso II, da LGPD, e o parágrafo 2º do artigo 4º dá como exemplo de afetação significativa justamente a fraude financeira e o roubo de identidade. Quem opera esse tratamento faz bem em tratar o enquadramento como provisório e desenhar [segurança e conformidade](https://unifokal.com/seguranca) para o regime cheio, no mesmo espírito da [governança mínima para startups](https://unifokal.com/blog/lgpd-para-startups). ## Perguntas frequentes ### Agente de pequeno porte precisa nomear encarregado? Não é obrigado. O artigo 11 da Resolução CD/ANPD 2/2022 dispensa a indicação exigida pelo artigo 41 da LGPD, mas exige um canal de comunicação com o titular. Indicar encarregado mesmo assim é considerado política de boas práticas e governança. ### Qual é o prazo para comunicar incidente de segurança? O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD 15/2024, fixa três dias úteis para comunicar à ANPD e três dias úteis para comunicar ao titular. Para agentes de pequeno porte, esses prazos são contados em dobro. ### Ser microempresa garante o enquadramento? Não. O artigo 3º afasta o tratamento diferenciado quando há tratamento de alto risco, quando a receita ultrapassa o limite legal ou quando o agente pertence a grupo econômico, de fato ou de direito, cuja receita global ultrapasse esses limites. ## Fontes citadas - Resolução CD/ANPD 2, de 27 de janeiro de 2022, e seu Anexo I: https://www.in.gov.br/web/dou/-/resolucao-cd/anpd-n-2-de-27-de-janeiro-de-2022-376562019 - Resolução CD/ANPD 15, de 24 de abril de 2024, Regulamento de Comunicação de Incidente de Segurança: https://www.in.gov.br/web/dou/-/resolucao-cd/anpd-n-15-de-24-de-abril-de-2024-556243024 - Lei 13.709/2018 (LGPD), artigos 5º, 18, 19, 37, 41, 46 e 52: https://www.planalto.gov.br/ccivil_03/\_ato2015-2018/2018/lei/l13709.htm - Lei Complementar 123/2006, artigo 3º: https://www.planalto.gov.br/ccivil_03/leis/lcp/lcp123.htm - Lei Complementar 182/2021, artigo 4º: https://www.planalto.gov.br/ccivil_03/leis/lcp/lcp182.htm