Nota técnica da Plataforma MROSC para consulta pública sobre proposta da ANPD de norma de aplicação da LGPD a agentes de tratamento de pequeno porte

NOTA TÉCNICA PARA CONSULTA PÚBLICA SOBRE PROPOSTA DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS DE NORMA DE APLICAÇÃO DA LGPD PARA AGENTES DE TRATAMENTO DE PEQUENO PORTE São Paulo, 14 de outubro de 2021 Por meio do presente documento, a Plataforma MROSC pretende contribuir com a formulação da minuta posta em consulta pública pela Autoridade Nacional de Proteção de Dados (ANPD) em se tratando da aplicação da LGPD a agentes de tratamento de pequeno porte. A Plataforma MROSC é uma articulação nacional representativa de diversas organizações da sociedade civil, por isso, nossa contribuição é voltada sobretudo à consideração da realidade e experiência dessas entidades na implementação da Lei Geral de Proteção de Dados (LGPD). Aproveitamos a oportunidade para ressaltar a boa prática da consulta prévia por parte da Autoridade, bem como a consideração do terceiro setor na regulamentação proposta. A permeabilidade da ANPD às contribuições da sociedade civil, bem como a disposição de adequar a aplicabilidade da norma às especificidades dos agentes de pequeno porte e das organizações da sociedade civil em específico, enriquecem o processo de construção da regulamentação e promove a cultura de proteção de dados no país pelos mais diversos setores da sociedade. Sobre a Plataforma MROSC A Plataforma por um Novo Marco Regulatório das Organizações da Sociedade Civil (Plataforma MROSC)1 é uma articulação nacional representativa de diversos movimentos sociais, entidades religiosas, OSCs, institutos, fundações privadas e cooperativas da economia solidária, composta por mais de 1.600 signatárias e 10 plataformas estaduais, criada em 2010 com a finalidade de definir uma agenda comum de incidência da sociedade civil brasileira em prol da melhoria de seu ambiente de atuação, por meio da regulação, produção e apropriação de conhecimentos, cuja rede indireta alcança mais de 50 mil entidades. A Plataforma destaca o papel das OSCs como patrimônio social brasileiro e pilar de nossa democracia. 1 Mais informações no site da Plataforma MROSC: www.plataformaosc.org.br. Os principais compromissos da Plataforma MROSC são com as causas de interesse público; a consolidação da democracia; a pluralidade na ampliação da participação democrática por meio da participação cidadã; o aprimoramento, melhoria e intensificação da qualidade da participação das OSCs nos processos de mobilização da cidadania para causas de interesse público; e com a adoção de práticas que permitam uma melhor gestão dos recursos manejados pelas OSCs, aperfeiçoando sua regulação e transparência. Tendo participado ativamente da construção da Lei nº 13.019/2014, que entrou em vigor em janeiro de 2016 para a União, o Distrito Federal e os Estados, e em janeiro de 2017 para os Municípios, a Plataforma MROSC está hoje muito envolvida no processo de regulamentação e implementação nos entes subnacionais para que o façam em acordo com os princípios e diretrizes de valorização, autonomia e participação das OSCs, trazidos pelo MROSC. A norma traz uma mudança de paradigma nas relações de parceria, que requer um novo olhar sobre essas relações entre a Administração Pública e a sociedade civil. A produção e divulgação de conhecimento sobre os temas da agenda e da implementação da Lei nº 13.019/2014, a partir de uma perspectiva mais ampla e de valorização das OSCs, com a construção de um ambiente mais favorável à sua atuação e à participação social, são características da atuação da Plataforma nesta trilha percorrida nos últimos dez anos. A experiência da Plataforma e a diversidade das OSCs traduzem e reafirmam o pressuposto de que participação significa ampliação da democracia e redução das desigualdades de gênero e raça existentes no país, relacionando-se diretamente à promoção do desenvolvimento sustentável e do acesso à justiça e à construção de instituições eficazes para todas e todos. OSCs fortes fortalecem a democracia e proporcionam maior pluralidade e melhores padrões de desenvolvimento, com manutenção das conquistas sociais, econômicas e políticas alcançadas pelo Brasil desde a democratização. I. Diferenciação entre agentes de pequeno porte Agentes de tratamento de pequeno porte requerem atenção do Estado na implementação de novas obrigações que impactam sua gestão. Isso porque, ainda que sejam negócios de pequeno porte, pessoas jurídicas com finalidade lucrativa podem vir, mais facilmente, a se valer de tecnologias avançadas para realizar inferências sensíveis sobre os titulares de dados e comercializar essas conclusões, causando impactos consideráveis nas vidas das pessoas que são afetadas por esse tipo de processamento de dados. Já as pessoas jurídicas sem finalidade lucrativa não acessam tão facilmente esse tipo de tecnologia ou tem a intenção de produção de inferências como ocorre na iniciativa privada. O tratamento de dados por parte das OSCs, no geral, apresenta fatores particulares como: (a) finalidades de interesse público previstos em seus estatutos; (b) uma cadeia menor de agentes de tratamento de dados; e (c) menos acesso a mecanismos de big data para a combinação de bases de dados e formulação de inferências sobre os titulares de dados. Neste sentido, a equiparação das organizações da sociedade civil aos agentes de tratamento de pequeno porte, nos termos colocados pela norma técnica hoje, precisa ser adaptada para ser efetiva e condizer com o que acontece na realidade do campo da sociedade civil organizada. II. Ponderações iniciais sobre o Tratamento de Dados Pessoais pelas Organizações da Sociedade Civil (OSC) Ressaltamos a importância da calibragem na aplicação da LGPD considerando a capacidade real dos agentes da sociedade civil de fazer frente às obrigações impostas pela lei. A título de exemplo, 83% das OSCs no Brasil não apresentam trabalhadores com vínculos formais; outros 7% delas têm até dois vínculos, totalizando 90% de OSCs com no máximo dois empregos formais. Trata-se, portanto, de um universo massivamente formado por micro-organizações2. Ademais, por não possuírem finalidade lucrativa, as organizações dependem predominantemente de doações e contribuições associativas. Na maior parte das vezes esses recursos são transferidos para custear as atividades de interesse público, sendo rara a possibilidade de atração de recursos para custeio de atividades institucionais, como seria o caso de criação de sistemas robustos de proteção de dados. Assim, diante da nossa atuação, voltada notadamente para regulação das Organizações da Sociedade Civil, expomos no item seguinte alguns pontos de atenção para que sejam levados em consideração para a melhor aplicação da LGPD. De acordo com o relatório elaborado pela Open Society Foundation, muitas organizações realizam um esforço desproporcional para se adequar à General Data Protection Regulation em razão do medo de serem multadas ou terem sofrido algum tipo de sanção administrativa. Assim, essas organizações direcionam recursos e esforços e, muitas vezes, recebem recomendações desproporcionais em relação à sua finalidade institucional, bem como suas ações e projetos. Em contraposição, empresas que se valem de tecnologias invasivas e de inteligência artificial com finalidade de perfilização, costumam buscar formas de excepcionar a aplicação das legislações de proteção, uma vez que os seus negócios estão ancorados na produção de inferências e direcionamento de publicidade que dependem da coleta massiva de dados pessoais. Ressaltamos que, a carga burocrática da implementação das disposições da LGPD, para organizações da sociedade civil dedicadas a causas de relevância pública e social precisa contar com apoio e indução positiva do próprio Estado. No Brasil, essa necessidade de apoio é revestida de maior importância diante de uma conjuntura que já impõe um ônus de transparência e accountability, absorvido em larga medida pela gestão das organizações e que agora é potencializado pela necessidade de adequação à LGPD.3 É importante ressaltar que há interesse público nas muitas atividades realizadas pelas organizações da sociedade civil. Neste sentido, é 2 Disponível em https://www.ipea.gov.br/portal/images/stories/PDFs/livros/livros/180607_livro_perfil_das_organizac oes_da_sociedade_civil_no_brasil.pdf Acesso em: set. 2021 3 Disponível em: https://www.nexojornal.com.br/ensaio/2019/Os-mitos-e-mentiras-sobre-otrabalho-essencial-das-ONGs Acesso em: set. 2021. preciso proteger, em especial, aquelas menores e as que possuem projetos realizados em parceria com o Poder Público para a implementação de políticas públicas e que não encontram hoje, respostas para endereçar temas importantes da lei. Não há hoje a possibilidade clara de utilização por parte das organizações da base legal de tratamento de dados para execução de políticas públicas quando se está a realizar atividades que contribuem para a efetivação destas políticas em complementação às ações do Estado. Na implementação de políticas públicas, que se realizam por meio de parcerias, as organizações são mandatárias e acordam seus Planos de Trabalho correspondentes previamente com os órgãos públicos a que estão vinculadas e a quem prestam contas. Além desse tema, alguns outros foram considerados como apontamentos importantes à norma técnica colocada em consulta pública pela ANPD, como, por exemplo, o rol de pessoas jurídicas contempladas pela Norma Técnica, a existência de conceitos demasiadamente abertas em uma regulação que se propõe a dar mais concretude à Lei Geral de Proteção de Dados, os critérios de avaliação de risco para o tratamento de dados colocada pela Norma Técnica e a possibilidade de não indicar um Encarregado de Proteção de Dados III. Sugestões de aprimoramento ao texto original proposto Considerando o contexto exposto acima, sugerimos: a) Utilização do conceito da Lei nº 13.019/2016 para definição de pessoas jurídicas sem fins lucrativos (art. 2º) A proposta de regulamentação, em seu artigo 2º, inciso III, que trata dos tipos de pessoas jurídicas, trata de associações, fundações e organizações religiosas sem um critério distintivo, como o das organizações ligadas a atividades de cunho social e de interesse público. Além disso, a norma em consulta deixa de abordar o tipo específico das sociedades cooperativas, que está previsto no conceito de organizações da sociedade civil trazido pela Lei nº 13.019/2014 – Marco Regulatório das Organizações da Sociedade Civil (MROSC). Dispõe o artigo 3º da Lei das Cooperativas (Lei nº 5.764/1971) que “celebram contrato de sociedade cooperativa as pessoas que reciprocamente se obrigam a contribuir com bens ou serviços para o exercício de uma atividade econômica, de proveito comum, sem objetivo de lucro”. Assim, entendemos que a melhor forma de endereçar a questão seja utilizar o conceito de organizações da Lei nº 13.019/2014 em substituição definição genérica de pessoas jurídicas sem fins lucrativos da norma em consulta. Dessa maneira, também ficam excluídos os partidos políticos que, ao nosso ver, devem e podem cumprir com as obrigações da LGPD em sua totalidade, ainda mais se considerada a sensibilidade do campo eleitoral e dos riscos do mau uso de dados pessoais para o regime democrático. b) Definição da atividade de alto risco (art. 3º) A norma traz como exceção à sua aplicabilidade aos agentes de pequeno porte o tratamento de “alto risco” e “larga escala”. Ocorre que é possível ter um tratamento de dados de larga escala que não traga danos aos titulares. Assim sendo, mais adequado seria que não houvesse a combinação dos dois fatores, alocando “larga escala” como um critério para mensuração do risco. Nesse sentido, sugerimos que o critério de “larga escala” seja posicionado em um dos incisos do artigo, e não no seu caput. No que se refere ao tratamento de dados sensíveis como um critério de alto risco também há que se fazer uma ressalva. É que para as atividades implementadas pelas OSCs é muito comum que haja a captação de dados pessoais sensíveis e elas não deixam de ser agentes de pequeno porte por isso. Nesta esteira, sugere-se a manutenção do critério dos dados sensíveis para a mensuração do alto risco, mas com a adição de outra característica como baliza para definição desse risco: a utilização dos dados para finalidade de interesse público, em se tratando de organizações da sociedade civil, garantindo a efetivação dos princípios da legislação de proteção de dados. É importante notar que a GDPR prevê expressamente, em seu Artigo 9 (2) (g) da GDPR, a possibilidade de utilização dos dados pessoais sensíveis com base no interesse público, o que seria muito proveitoso como critério para a mensuração do risco considerando a realidade das atividades de tratamento das OSCs. No caso da adoção desse critério de mensuração do risco de uso de dados sensíveis, as exceções previstas pela norma técnica continuariam se aplicando às OSCs que utilizam os dados sensíveis para uma finalidade pública. Essa necessidade de melhor mensuração do risco está ligada ao apontamento de visualização de forma diferenciada entre agentes de tratamento com e sem fins lucrativos, que agem em nome do interesse público. Isso quer dizer que as atividades das OSCs, orientadas pela lógica do bem comum, não são regidas pela mesma lógica das empresas, que encontram muito valor na mineração e produção de inferências sobre os titulares de dados, o que pode levar ao desvio de finalidade de uso dos dados com maior facilidade, vulnerando a integridade do contexto de tratamento, diferentemente do que ocorre com as organizações da sociedade civil. A adoção deste critério deve estar em consonância com o Marco Regulatório das Organizações da Sociedade Civil (Lei 13.019/2014), que prevê um rol de objetivos sociais que poderiam ser considerados como critérios para identificação do interesse público no caso concreto: “Art. 84-C. Os benefícios previstos no art. 84-B serão conferidos às organizações da sociedade civil que apresentem entre seus objetivos sociais pelo menos uma das seguintes finalidades: I – promoção da assistência social; II – promoção da cultura, defesa e conservação do patrimônio histórico e artístico; III – promoção da educação; IV – promoção da saúde; V – promoção da segurança alimentar e nutricional; VI – defesa, preservação e conservação do meio ambiente e promoção do desenvolvimento sustentável; VII – promoção do voluntariado; VIII – promoção do desenvolvimento econômico e social e combate à pobreza; IX – experimentação, não lucrativa, de novos modelos socioprodutivos e de sistemas alternativos de produção, comércio, emprego e crédito; X – promoção de direitos estabelecidos, construção de novos direitos e assessoria jurídica gratuita de interesse suplementar; XI – promoção da ética, da paz, da cidadania, dos direitos humanos, da democracia e de outros valores universais; XII – organizações religiosas que se dediquem a atividades de interesse público e de cunho social distintas das destinadas a fins exclusivamente religiosos; XIII – estudos e pesquisas, desenvolvimento de tecnologias alternativas, produção e divulgação de informações e conhecimentos técnicos e científicos que digam respeito às atividades mencionadas neste artigo. Parágrafo único. É vedada às entidades beneficiadas na forma do art. 84-B a participação em campanhas de interesse políticopartidário ou eleitorais, sob quaisquer meios ou formas.” Assim, a sugestão seria a de criação de um parágrafo no artigo 3º, excepcionando a caracterização como “atividade de alto risco” para as atividades realizadas: (a) por organizações da sociedade civil, conforme definição previsto no art. 2º, inciso I, da Lei 13.019/2014; (b) para finalidades de relevância pública e de interesse público, caracterizado pela presença de um dos objetivos sociais elencados no art. 84-C da Lei nº 13.019/2014, devendo esse objetivo estar expresso nos documentos constitutivos da organização. c) Fornecimento de ferramentas para viabilizar o cumprimento da LGPD (art. 3º) É fundamental o fornecimento de ferramentas públicas para implementação da lei. Nesse sentido, a ANPD deve oferecer modelos para serem usados e adaptados pelas OSCs e demais agentes de pequeno porte. É o caso, por exemplo, do instrumental para mapeamento de fluxo de dados, análise de risco, teste de legítimo interesse, manuais orientativos, modelos para relatórios de diagnóstico, entre outros. O art. 3º, §4º da minuta endereça parcialmente a questão ao prever que: “disponibilizará guias e orientações que auxiliem os agentes de tratamento de pequeno porte a avaliar se realizam tratamento com alto risco e em larga escala”. Sugerimos ampliar o dispositivo para abarcar outras ferramentas que não apenas aquelas ligadas à mensuração do risco de determinada atividade. O objetivo é trazer mais segurança jurídica e subsidiar esse perfil de administrado para que o cumprimento da norma seja viável. d) Flexibilização da necessidade de apresentação de relatório de impacto (art. 11) O relatório de impacto (documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco) é outra obrigação prevista na LGPD essencial ao resguardo do direito dos titulares, bem como à operacionalização de diversos princípios presentes na legislação. Entendemos, no entanto, que a medida possa ser de difícil operacionalização por parte de organização da sociedade civil com até 2 (dois) funcionários. De acordo com a pesquisa do IPEA citada no tópico anterior da presente nota técnica, 90% de OSCs possuem no máximo dois empregados formais. Trata-se de um universo de “micro-organizações”, muitas delas voltadas a atividades de cunho eminentemente social, que não teriam condições de viabilizar o cumprimento dessa obrigação. Por isso, sugerimos, que estas fiquem dispensadas da apresentação do relatório de impacto. e) Formatações diversas para o encarregado pela proteção de dados (art. 13) A regulamentação proposta pela ANPD dispensa, em seu artigo 13º, a necessidade de apontamento de encarregado de proteção de dados. No artigo, fica claro que todos os agentes de tratamento de pequeno porte estão excluídos da necessidade de apontamento de um encarregado de proteção de dados. Mesmo diante da exclusão da necessidade de apontamento de um encarregado, a norma prevê um canal de comunicação pressupondo que haverá alguém, dentro da organização, capaz de fazer frente às demandas dos titulares que chegarem até ela por essa via. Considerando que grande parte das OSCs possuem quadro reduzido de equipe e contam com muito trabalho voluntário, a medida se manteria de difícil realização. Nesse sentido, vislumbramos algumas alternativas à retirada da figura do encarregado de proteção de dados das obrigações por agentes de pequeno porte. A primeira sugestão é que, no mínimo, o representante legal do agente de pequeno porte possa assumir as atribuições do art. 41 da LGPD para dar efetividade ao canal de comunicação com o encarregado pelo tratamento de dados pessoais, já que alguém terá que responder por ele. Outra ideia é a positivação da faculdade de formação de um comitê interno de proteção de dados pessoais, que exerça as funções do encarregado de forma coletiva de modo a garantir uma somatória de conhecimentos de diferentes áreas, que pode ser interessante para as respostas esperadas de uma pessoa que ocupe esse cargo. É preciso lembrar que as organizações e órgãos públicos, é comum a formação de órgãos colegiados de gestão na composição da sua governança. Recentemente, muitas organizações têm constituído comitês internos para lidar com o tema4, assim como a Defensoria Pública do Estado de São Paulo 5 instituiu formalmente um órgão encarregado para endereçar de forma menos individualizada o cargo, disponibilizando um contato direto que leva ao comitê em seu site. Reconhecer esta possibilidade na norma e induzir essa prática colegiada permite com que mais pessoas compreendam e se corresponsabilizem pela implementação da nova lei, bem como pelos direitos e garantias dos titulares de dados. Ainda neste item, nossa terceira proposta consiste em apor na norma a autorização expressa para nomeação de um encarregado comum para as hipóteses de atuação em rede por coletivos, coalizões e movimentos sociais. O Decreto 8.726/16, ao tratar da atuação em rede, dispõe no § 1º que: “atuação em rede pode se efetivar pela realização de ações coincidentes, quando há identidade de intervenções, ou de ações diferentes e complementares à execução do objeto da parceria”. Esta redação pode inspirar a regulamentação que a ANPD está buscando editar para os agentes de pequeno porte que tiverem atuação conjunta por objetivos comuns. Na regulamentação europeia, que muito inspirou a legislação brasileira de proteção de dados, há a expressa previsão quanto à possibilidade de que um grupo de entidades ou empresas indique um único encarregado, de acordo com o artigo 37(2). Essa previsão traria uma possibilidade de indicação desse cargo para formatos específicos de atuação coletiva entre pessoas jurídicas, como é o caso de diversas organizações que atuam em conjunto por uma causa, cooperativas de áreas afins, 4 Disponível em: https://www.migalhas.com.br/depeso/348247/lgpd-e-compliance. Acesso em: set. 2021. 5 Disponível em: https://www.defensoria.sp.def.br/dpesp/Default.aspx?idPagina=6810 . Acesso em: set. 2021. coalizões de propósitos congêneres, movimentos sociais, ou até mesmo startups com atividades econômicas semelhantes. f) Melhor definição de alguns conceitos presentes na norma Identificamos abaixo algumas terminologias presentes na minuta com caráter aberto e indeterminado, o que demanda da Autoridade Nacional maior reflexão e debate com a sociedade civil para melhoria: (a) Zonas acessíveis ao público (art. 2º, V) → apesar de a norma apresentar um rol exemplificativo do tipo de zona considerada dentro dessa categoria (como espaços abertos ao público, praças, centros comerciais, vias públicas, estações de ônibus e de trem, aeroportos, portos, bibliotecas públicas) entendemos que a expressão mais adequada não é “acessíveis ao público”. Isto porque a expressão “acessível” advém de “acessibilidade” que é um princípio e um direito constitucional e tem todo um regramento jurídico para sua definição desde a Convenção sobre os Direitos das Pessoas com Deficiência, passando pela Lei Brasileira de Inclusão e demais normativos. Nesse sentido, nossa sugestão seria, conceituar como “espaços públicos e privados abertos ao público ou de uso coletivo”. (b) Grupos vulneráveis (art. 3º, §1º, I) → não há clareza sobre a utilização do conceito de vulnerabilidade se não necessariamente estamos tratando de critérios socioeconômicos para identificar quais pessoas seriam abarcadas. Dessa forma a nossa sugestão é a supressão do termo, e permanência apenas dos termos que fazem referência específica à nomenclatura da LGPD, ou seja, “dados pessoais de crianças e dados pessoais sensíveis”. (c) Tecnologias emergentes (art. 3º, §1º, III) → Nossa sugestão é adotar uma definição no início da norma que trate das tecnologias emergentes, que seriam aquelas sobre as quais não se tem amplo conhecimento e compreensão sobre as consequências de aplicação para os titulares de dados, principalmente diante da possibilidade de gerar inferências a seu respeito, mantendo a combinação com a potencialidade de ocasionar danos materiais ou morais aos titulares. Considerações Finais Ao final do documento, dispomos de quadro anexo com propostas de redação para cada dispositivo da norma, a fim de endereçar os pontos defendidos na presente nota técnica. Na atuação diária com organizações da sociedade civil é possível notar gargalos de aplicação da lei que não foram contemplados e que precisam ser endereçados pela Autoridade Nacional de Proteção de Dados. Imprescindíveis na construção e execução de políticas públicas, é preciso reconhecer o papel das OSCs na consecução do interesse público de forma intrínseca às suas atividades de tratamento de dados. Dessa forma, é que nos dedicamos a esta formulação, reconhecendo a importância do espaço e valorizando o papel das organizações no país, parceiras fundamentais na governança colaborativa necessária para a promoção de uma nova cultura de proteção de dados. Reafirmamos e renovamos nosso compromisso e disponibilidade em participar de novos debates e contribuições relacionadas a aplicação da LGPD no âmbito de organizações da sociedade civil. Por isso, eventuais contatos com a Plataforma MROSC podem ser feitos por meio de sua Secretaria, no e-mail a seguir secretariaplataformaosc@gmail.com Cordialmente, Plataforma por um Novo Marco Regulatório das Organizações da Sociedade Civil Comitê Facilitador ANEXO I – QUADRO DE SUGESTÕES TEXTO ORIGINAL Art. 2º Para efeitos desta resolução são adotadas as seguintes definições: (…) III – pessoas jurídicas sem fins lucrativos: associações, fundações, organizações religiosas e partidos políticos; TEXTO SUGERIDO Art. 2º Para efeitos desta resolução são adotadas as seguintes definições: (…) III – pessoas jurídicas sem fins lucrativos: organizações da sociedade civil, nos termos do art. 2º, inciso I, da Lei nº 13.019/2014 Art. 2º (…) V – zonas acessíveis ao público: espaços abertos ao público, como praças, centros comerciais, vias públicas, estações de ônibus e de trem, aeroportos, portos, bibliotecas públicas, dentre outros. Art. 2º (…) V – zonas de acesso público: espaços públicos e privados abertos ao público ou de uso coletivo, como praças, centros comerciais, vias públicas, estações de ônibus e de trem, aeroportos, portos, bibliotecas públicas, dentre outros. Art. 3º (…) II – vigilância ou controle de zonas acessíveis ao público; Art. 3º A dispensa e a flexibilização das obrigações previstas nesta resolução não são aplicáveis a agentes de tratamento de pequeno porte que realizem tratamento de alto risco e em larga escala para os titulares, ressalvada a hipótese prevista no art. 13, Parágrafo único. Art. 3º (…) II – vigilância ou controle de zonas de acesso público; Art. 3º (…) § 5º [novo] Para fins deste artigo não será considerado tratamento de alto risco aquele realizado por organização da sociedade civil que preencha os requisitos do art. 2º, I, Lei nº 13.019/2014, nos casos de atividade ou projeto de finalidade de interesse público, desde que tenha previsão estatutária de um dos objetivos sociais elencados no art. 84-C da Lei nº 13.019/2014. § 6º [novo] A não caracterização de alto risco prevista no parágrafo anterior não afasta a aplicação dos demais dispositivos, devendo ser garantida a efetivação dos princípios da legislação de proteção de dados e dos direitos dos titulares. Art. 3º (…) §1º (…) I – dados sensíveis ou Supressão do termo “grupos vulneráveis”, e dados de grupos vulneráveis, incluindo permanência apenas dos termos que fazem crianças e adolescentes e idosos; referência específica à nomenclatura utilizada na LGPD, ou seja, “dados pessoais de crianças e dados pessoais sensíveis” Art. 3º (…) §1º (…) III – uso de tecnologias emergentes, que possam ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação do direito à imagem e à Art. 3º (…) §1º (…) III – uso de tecnologias emergentes, entendidas como aquelas sobre as quais não se tem ampla compreensão das consequências para proteção dos titulares de dados, principalmente diante da reputação, fraudes financeiras e roubo de identidade; ou Art. 3º (…) § 4º A ANPD disponibilizará guias e orientações que auxiliem os agentes de tratamento de pequeno porte a avaliar se realizam tratamento com alto risco e em larga escala. Art. 11. Os agentes de tratamento de pequeno porte podem apresentar o relatório de impacto à proteção de dados pessoais de forma simplificada quando for exigido, nos termos da resolução específica. Art. 13. Os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD. Parágrafo único. O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados. possibilidade de geração de inferências e monitoramento de comportamento regular e sistêmico, e que possam ocasionar danos materiais ou morais aos titulares. Art. 4º [novo] A ANPD disponibilizará guias, orientações, e ferramentas de gestão e modelos para proporcionar a aplicação da LGPD por agentes de pequeno porte, tratando, dentre outras matérias: I – avaliação de risco da atividade de tratamento; II – mapeamento de fluxo de dados; III – resposta a requisições de titulares de dados; IV – orientações para encarregados de agentes de pequeno porte. Art. 11. Os agentes de tratamento de pequeno porte podem apresentar o relatório de impacto à proteção de dados pessoais de forma simplificada quando for exigido, nos termos da resolução específica. Parágrafo único. Ficam dispensadas da apresentação do relatório de impacto as por organização da sociedade civil com até 2 (dois) funcionários. Art. 13. Quando o agente de tratamento de pequeno porte não tiver outra pessoa para indicar como encarregado pelo tratamento de dados pessoais o seu representante legal assumirá as funções e será responsável pelo canal de comunicação com o titular de dados. Parágrafo primeiro. É facultado ao agente de tratamento de pequeno porte instituir comitê de proteção de dados pessoais, com atribuições do encarregado pelo tratamento de dados pessoais e disponibilização de um canal de comunicação com o comitê para acesso do titular de dados. Parágrafo segundo. Dois ou mais agentes de pequeno porte poderão indicar um encarregado pelo tratamento de dados pessoais comum, nos casos em que há realização de ações coincidentes, com identidade de intervenções, ou de ações diferentes e complementares à atuação conjunta.