Tratamento De Dados Pessoais Em Larga Escala

Definição Simples (O que é?)

É qualquer operação de Tratamento de dados pessoais que, pelo seu volume (número de titulares), duração, frequência ou abrangência geográfica, impacta um número significativo de pessoas.

Não se trata do tamanho da empresa (Controlador ou Operador), mas sim do tamanho e do alcance da operação de tratamento que ela realiza.

Definição Formal (O que diz a Lei?)

A LGPD não estabelece um número exato para definir “larga escala”. No entanto, a ANPD, na Resolução que trata dos Agentes de Tratamento de Pequeno Porte (Resolução CD/ANPD nº 2/2022), define como o tratamento que “abrange número significativo de titulares, considerando-se o volume de dados tratados, bem como a duração, a frequência e a extensão geográfica do tratamento realizado”.

É um dos principais critérios para classificar um tratamento como de Alto Risco.

Exemplos Práticos

• Uma rede de farmácias que armazena o histórico de compras (incluindo receitas) de milhões de clientes em todo o país.

• Um aplicativo de transporte ou delivery que monitora a geolocalização de milhares de usuários e motoristas em tempo real.

• Uma plataforma de e-mail marketing que processa e dispara milhões de e-mails para listas de contactos de diversas empresas.

• Contra-exemplo: Uma padaria de bairro que usa uma planilha para gerir os seus 15 funcionários (não é larga escala).

Ponto de Atenção (Erro Comum)

O erro mais comum é a Microempresa ou Startup assumir que, por ser pequena, nunca realiza tratamento em larga escala. Uma startup de tecnologia com apenas 5 funcionários que lança um aplicativo gratuito e atinge 100.000 usuários está, sim, realizando tratamento em larga escala e, por isso, provavelmente será classificada como de Alto Risco.

Você Sabia? (Curiosidade)

O tratamento em larga escala (ou de Alto Risco) é um dos critérios que impede uma empresa de se beneficiar das regras flexibilizadas para Agentes de Tratamento de Pequeno Porte. Mesmo que a empresa se enquadre como ME/EPP, se o seu tratamento for de larga escala, ela deverá cumprir as obrigações da LGPD como uma grande empresa, incluindo a nomeação obrigatória de um Encarregado (DPO).

Termos Relacionados

• Tratamento de Dados Pessoais de Alto Risco

• Agentes de Tratamento de Pequeno Porte

• Microempresas e Empresas de Pequeno Porte

• Relatório de Impacto à Proteção de Dados Pessoais (RIPD)

• Tratamento