O prazo em dobro pode não ser seu. O teste está no art. 4º.

O que o pequeno porte dá

A Resolução CD/ANPD nº 2/2022 criou tratamento diferenciado para o agente de pequeno porte, e ele é generoso. O art. 9º permite cumprir o registro de operações do art. 37 da LGPD de forma simplificada. O art. 14 concede prazo em dobro no atendimento a titulares e na comunicação de incidentes — este último com uma ressalva no próprio inciso, que veremos adiante. E o art. 11 dispensa a indicação do encarregado.

O art. 2º, I define quem entra: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado inclusive sem fins lucrativos, pessoas naturais e entes privados despersonalizados que tratam dados assumindo obrigações típicas de controlador ou operador. A sociedade de advogados constituída como ME ou EPP está ali.

Até aqui é a parte que todo mundo conta. Agora a que quase ninguém conta.

O art. 3º tira de volta

“Não poderão se beneficiar do tratamento jurídico diferenciado previsto neste Regulamento os agentes de tratamento de pequeno porte que: I — realizem tratamento de alto risco para os titulares […]”

Não é uma flexibilização parcial. É o regulamento inteiro que deixa de se aplicar: some o prazo em dobro, some o registro simplificado, some a dispensa do encarregado. E ninguém avisa — o enquadramento é autodeclarado, e o escritório só descobre que errou quando precisa dele.

Como se mede alto risco

O art. 4º dá um teste fechado. É cumulativo: pelo menos um critério geral e pelo menos um específico.

Aplicando ao escritório, honestamente

Comece pelo específico (d), porque é o que decide a maioria dos casos. Dado pessoal sensível, no art. 5º, II da LGPD, inclui dado referente à saúde. Quem faz previdenciário trabalha com laudo médico todo dia. Quem faz trabalhista com acidente ou doença ocupacional, idem. Família alcança dados de crianças e adolescentes; inventário e benefício assistencial alcançam idosos.

Agora o geral (b). O § 2º do art. 4º diz que ele se caracteriza, entre outras situações, quando o tratamento puder impedir o exercício de direitos ou ocasionar danos materiais ou morais. Um acervo processual vazado pode fazer as duas coisas ao mesmo tempo.

Some os dois e a conclusão é incômoda: uma parte grande dos escritórios de advocacia realiza tratamento de alto risco e, portanto, não se beneficia do regulamento de pequeno porte — mesmo sendo, de fato, pequena.

Não é automático nos dois sentidos. Um escritório exclusivamente de direito societário, sem dado sensível e sem menor ou idoso na carteira, pode não atender o critério específico. Mas o enquadramento precisa ser avaliado e registrado, não presumido — e o § 3º do art. 4º prevê que a própria ANPD divulgue guias para ajudar nessa avaliação.

E há uma segunda porta, que fecha só para o incidente

Suponha que o escritório passe no teste do art. 4º e se beneficie do regulamento. Ainda assim, o dobro pode não valer no dia do vazamento. O art. 14, II — o artigo que concede o prazo em dobro — traz a ressalva dentro do próprio inciso:

“[…] excetoquando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional, devendo, nesses casos, a comunicação atender aos prazos conferidos aos demais agentes de tratamento […]”

A palavra que decide é “moral”. O que um cliente conta ao advogado, contra quem ele litiga, o que ele responde — exposto, isso compromete integridade moral sem esforço argumentativo nenhum. Para escritório de advocacia, essa exceção não é hipótese de laboratório: é o desenho do caso comum.

As duas portas são independentes e cada uma sozinha derruba o dobro. A do art. 3º pergunta quem você é; a do art. 14, II pergunta o que aconteceu. Passar na primeira não dispensa a segunda.

A condição que a ANPD saiu fiscalizando

Mesmo quem se enquadra tem uma amarra. O art. 11, § 1º condiciona a dispensa do encarregado:

“O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados para atender o disposto no art. 41, § 2º, I da LGPD.”

Não é opcional. É a contrapartida — e em 25 de junho de 2026 a ANPD publicou o resultado de um monitoramento de 56 agentes de tratamento sobre exatamente estas duas obrigações: indicação de encarregado e disponibilização de canal com o titular. Vinte e sete estavam em conformidade, oito com pendências e vinte e um não responderam— e é sobre estes que a Agência disse que “a ausência de respostas podem levar a novas medidas […] inclusive à aplicação de sanções”.

Três perguntas para responder esta semana

1. A sociedade é ME ou EPP? É o portão de entrada do art. 2º, I — e o art. 3º, II ainda exclui quem ultrapassa o limite de receita bruta da LC 123/2006.
2. A carteira tem dado sensível, menor ou idoso? Se tiver, o critério específico (d) está atendido e o teste do alto risco depende só do critério geral.
3. Existe canal com o titular, e ele é encontrável? Se não houver encarregado indicado, é isso que sustenta a dispensa — e é isso que a ANPD foi olhar.

Se a resposta ao conjunto for “não me beneficio”, o prazo de comunicação de incidente volta a ser de três dias úteis, e não seis. Vale reler Vazou um dado do seu cliente com esse número na cabeça.