Parte 1 - Informações sobre agentes de tratamento de dados pessoais

Nesta seção inicial as perguntas se destinam aos agentes de tratamento de dados pessoais. As informações coletadas poderão ser utilizadas pela ANPD para o estudo que subsidiará a elaboração do guia.

1. Você é ou responde este questionário em nome de algum agente de tratamento de dados pessoais?

CASO NÃO SEJA UM AGENTE DE TRATAMENTO OU NÃO REPRESENTE UM AGENTE DE TRATAMENTO, MARQUE "NÃO SE APLICA" NAS DEMAIS PERGUNTAS DA PARTE 1. 

1.1 Sua instituição é considerada um agente de tratamento de pequeno porte (ATPP)? (De acordo com Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, estes agentes consistem em microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador).

1.2   Caso represente um agente de tratamento de pequeno porte, escolha a opção abaixo que representa sua natureza jurídica.

1.3  Qual o setor de atuação do agente de tratamento que representa?

1.3.1     Caso o setor não esteja listado e tenha assinalado a opção “outro”, indique o nome do setor de atuação do agente de tratamento.

1.4 Qual o número de titulares afetados pelas operações de tratamento de dados pessoais que realiza (número aproximado de pessoas cujos dados são tratados)? Caso não tenha a informação precisa, apresente um número aproximado.

1.5 O agente de tratamento realiza tratamento de dados sensíveis?

1.5.1 Caso realize tratamento de dados sensíveis, quais são os tipos de dados sensíveis tratados?

Parte 2 - Informações Específicas sobre o tratamento de alto risco ao titular

A parte 2 está estruturada da seguinte forma: i) as questões 2 a 5 se referem ao tratamento de larga escala e as questões 6 a 8 referem-se aos demais critérios para definição de tratamento de alto risco.

Para a definição de larga escala, segundo o art. 4º, § 1º do Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, deve-se utilizar os critérios de número significativo de titulares, considerando, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado.

Tratamento em larga escala

2.   Uma opção para a definição do número significativo de titulares no tratamento de dados pessoais em larga escala consiste em utilizar valores objetivos que representem o número de titulares a que os dados pessoais tratados ou afetados pertencem.  Neste contexto, qual deve ser o número de titulares afetados pelo tratamento de dados pessoais para que seja considerado significativo?

Fundamentar a resposta:

Para responder os itens 3 e 4, considere a definição de divisão territorial brasileira utilizada pelo Instituto Brasileiro de Geografia e Estatística (IBGE) para o cálculo populacional, qual seja: Nacional, Unidade Federativa - UF, Município e Distrito.

3 Outra opção para a definição do número significativo de titulares de dados pessoais consiste em utilizar o percentual de titulares que tenham seus dados tratados em relação ao número total da população de uma determinada região, considerando a área de atuação do agente. Por exemplo, se o agente de tratamento tem atuação em apenas um município, seria considerado um percentual sobre a população total daquela localidade. Já para agentes de tratamento com atuação nacional seria considerada a população do país para o cálculo. No contexto apresentado, qual deve ser o valor percentual para que seja considerado como significativo?

3.1 Fundamente a resposta:

4. Outro possível critério na definição de tratamento de dados pessoais em larga escala refere-se ao volume de dados pessoais tratados pelos agentes de tratamento.

4.1   Na sua opinião, qual deveria ser o conceito de volume de dados pessoais?

4.2  Qual(is) métrica(s) poderia(m) ser considerada(s) adequada(s) para o cálculo do volume de dados tratados? Fundamente a resposta.

4.3 Qual(is) valor(es) poderia(m) ser considerado(s) adequado(s) para a definição do volume de dados como critério na definição de tratamento de dados pessoais em larga escala?

4.4 Ainda sobre o critério de volume de dados pessoais envolvidos para a definição de tratamento de dados pessoais em larga escala, seria adequado distinguir o volume de dados pessoais gerais do volume de dados pessoais de dados sensíveis de crianças, de adolescentes e de idosos?

4.5 Existe experiência internacional (normativos ou casos concretos) de utilização de valores mínimos de volume de dados pessoais tratados dados para definição de larga escala?

5. Outros critérios para definição de larga escala dizem respeito à frequência e à duração do tratamento dos dados pessoais pelo agente de tratamento.

5.1 Qual seria a escala de tempo a ser utilizada na avaliação da frequência e à duração do tratamento de dados pessoais?  Exemplo: tratamento diário, semanal, mensal, anual, dentre outras possibilidades.

5.2 Deveria existir algum parâmetro adicional para definição da frequência e duração do tratamento do dado pessoal? Por exemplo, diferenciação de dados pessoais tratados com a mesma finalidade, dados pessoais do mesmo titular de dados, dados pessoais com a mesma natureza, dentre outros.

Demais critérios  

6.  Outro critério para a definição de alto risco diz respeito ao uso de tecnologias emergentes ou inovadoras, nos termos do art. 4º do Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. Sobre esse aspecto, quais tecnologias poderiam ser consideradas emergentes ou inovadoras? Justifique. Por exemplo: perfilamento, rastreamento de localização, ambiente de realidade virtual, dentre outros.

7. Existem experiências e práticas internacionais relacionadas ao tratamento de alto risco, inclusive com relação à larga escala, que considere relevante? Caso disponível, favor colocar o link para acesso às informações que forem consideradas.

8. Gostaria de deixar alguma consideração, referência ou comentário final sobre o tratamento de dados pessoais em larga escala e/ou de alto risco?

Caso possua informações complementares sobre o tema e queira compartilhar com a ANPD, solicitamos que sejam enviadas para normatizacao@anpd.gov.br.