Atividades recentes da Autoridade Nacional de Proteção de Dados

Embora a sua estruturação tenha demorado mais do que o esperado, a Autoridade Nacional de Proteção de Dados (“ANPD”) está atualmente a pleno vapor na condução de atividades de regulamentação e orientação do mercado em relação à aplicação da Lei Geral de Proteção de Dados Pessoais (“LGPD”).

Ao longo das últimas semanas, a ANPD tomou iniciativas em ao menos cinco frentes relevantes, principalmente com base no direito digital, detalhadas abaixo:

1. Divulgação das listas tríplices para o CNPD

Após ter recebido a indicação de nomes de diversas organizações para a composição do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, previsto no artigo 58-A da LGPD, a Autoridade Nacional definiu as listas tríplices com os nomes dos candidatos para ocupar as vagas previstas pela legislação.

A definição foi resultado de uma decisão unânime tomada pelo Conselho Diretor, e foram elaboradas de acordo com os 5 editais que haviam sido publicados, relativos às vagas destinadas (i) às organizações da sociedade civil com atuação comprovada em proteção de dados pessoais; (ii) instituições científicas, tecnológicas e de inovação; (iii) confederações sindicais representativas das categorias econômicas do setor produtivo; (iv) entidades representativas do setor empresarial; e (v) entidades representativas do setor laboral.

As listas tríplices foram encaminhadas ao Presidente da República, que possui a competência de escolher um titular e um suplente para cada uma das vagas disponíveis.

As listas podem ser conferidas neste link.

2. Divulgação de Nota Técnica sobre as Políticas do WhatsApp

Pela primeira vez, a ANPD divulgou uma Nota Técnica relacionada à avaliação da eventual conformidade com a legislação de um caso concreto, com a indicação de recomendações para um agente de tratamento. No caso específico, trata-se de documento relativo à atualização da política de privacidade do mensageiro instantâneo WhatsApp, com a apresentação de análise detida de algumas das práticas adotadas pela organização.

Embora o documento seja primordialmente destinado ao WhatsApp, o que torna até questionável a sua divulgação pública antes do término da fase de interação com a organização, a Nota Técnica traz algumas indicações que merecem atenção, considerando que podem revelar a interpretação da ANPD em relação a temas ainda controversos e indefinidos na LGPD.

O primeiro ponto a ser observado é a adoção do Regulamento Europeu de Proteção de Dados e das normas da União Europeia sobre o tema como parâmetros a serem avaliados, de forma análoga, para a interpretação da aplicação da LGPD, demonstrando que a Autoridade Nacional tende a verificar as orientações e diretrizes interpretativas que existem no contexto europeu e, naquilo que convergirem com a legislação nacional, utilizar esses instrumentos como inspiração para a regulamentação da LGPD.

O segundo ponto interessante que se extrai da Nota Técnica é a valorização ao princípio da transparência por parte da ANPD, inclusive no sentido de se exigir requisitos que sequer são impostos pela legislação para fins de garantir transparência ao titular. Nesse aspecto, a Nota Técnica faz referência ao fato de o WhatsApp não informar, em sua política de privacidade aplicável ao mercado brasileiro, quais seriam as bases legais que autorizariam os tratamentos realizados, ainda que a indicação das bases legais não esteja no rol das informações mandatórias previstas no art. 9º da LGPD.

Outro aspecto relevante é a indicação de que tratamentos de dados pessoais em larga escala, que possuem elevado número de titulares de dados que se utilizam de uma plataforma, quando integrados a um novo serviço, aparentemente demandariam a realização de um Relatório de Impacto à Proteção de Dados Pessoais.

Em síntese, há vários aprendizados relevantes que podem ser extraídos da Nota Técnica, tratando-se, portanto, de documento que merece ser lido com atenção pelos agentes de tratamento de dados pessoais no intuito de se antecipar possíveis interpretações da ANPD em relação à aplicação da LGPD.

A íntegra da Nota Técnica pode ser acessada neste link.

3. Reuniões Técnicas sobre Relatório de Impacto à Proteção de Dados Pessoais

A ANPD abriu inscrições para a participação de especialistas em proteção de dados, como advogado de direito digital, em reuniões técnicas que abordarão o tema do Relatório de Impacto à Proteção de Dados Pessoais, e que ocorrerão nos dias 21, 23 e 25 de junho de 2021 e serão transmitidas ao vivo, pelo canal da ANPD no YouTube.

Ao total, serão selecionados seis especialistas para responder a questionamentos específicos formulados pela ANPD, no intuito de auxiliar no processo de regulamentação do Relatório de Impacto.

As reuniões técnicas serão relevantes para a posterior edição de regulamentação sobre o RIPD, um dos temas mais delicados e incertos previstos na LGPD, diante da ausência de critérios claros e objetivos sobre quando o Relatório é obrigatório e em quais cenários deve ser elaborado antes mesmo de qualquer solicitação por parte da ANPD.

As inscrições para participar das reuniões podem ser realizadas neste link.

4. Abertura de Consulta Pública sobre Norma de Fiscalização

A ANPD deu início, no dia 28 de maio de 2021, ao processo de consulta pública para a edição de norma de fiscalização por parte da Autoridade.

Em especial, a norma proposta disciplina o mecanismo de fiscalização que será implementado pela ANPD, delineando ações de monitoramento, orientação, prevenção e aplicação de sanções, em linha com o disposto na LGPD.

A minuta da norma de fiscalização traz detalhes procedimentais sobre o processo administrativo que pode culminar na aplicação das sanções previstas na LGPD. Entre os aspectos que chamam atenção estão a possibilidade de o agente de tratamento exercer o arrependimento, comprovadamente suspendendo a conduta investigada e reparando os danos decorrentes, o que pode levar ao arquivamento do processo administrativo, e a possibilidade de serem firmados Termos de Ajustamento de Conduta.

Ainda em relação à aplicação de sanções, a proposta da norma prevê que a decisão de primeira instância caberá à Coordenação Geral de Fiscalização, sendo garantido ao agente de tratamento autuado a possibilidade de interposição de recurso ao Conselho Diretor, instância administrativa máxima para avaliar o caso.

A consulta pública ficará aberta pelo prazo de 30 dias, período no qual todos os interessados podem compartilhar sugestões de alterações na norma proposta. Posteriormente, serão divulgadas datas para a realização de audiências públicas sobre o tema.

Conforme previsto no artigo 55-J, § 2º, da LGPD, as normas editadas pela Autoridade Nacional devem ser precedidas de consulta e audiências públicas, bem como de análises de impacto regulatório.

5. Guia Orientativo sobre Agentes de Tratamento e Encarregado

Também no dia 28 de maio de 2021, a ANPD divulgou o seu primeiro guia orientativo, com informações sobre a conceituação dos agentes de tratamento (Controlador e Operador) e sobre o Encarregado.

O guia é mais um documento emitido pela ANPD que revela a inspiração no contexto europeu para a interpretação da legislação brasileira preferencialmente por meio de um escritório de advocacia, aspecto que é inclusive ressaltado no voto proferido pela relatora, a Diretora Nairane Farias Rabelo Leitão, que aprovou, por unanimidade, o documento.

Uma das diretrizes mais relevantes apresentada pelo guia, para esclarecer muitas dúvidas que existiam sobre a conceituação de quem seria o Controlador e o Operador, especialmente no âmbito de órgãos do Poder Público, estipula que os agentes de tratamento devem ser definidos a partir de seu caráter institucional, de modo que os indivíduos subordinados às organizações (funcionários, servidores públicos, etc.) não são considerados controladores ou operadores, mas tão somente representantes ou prepostos das respectivas organizações.

O guia também prevê a possibilidade da existência de controle conjunto e de suboperadores, conceitos não delineadas expressamente pela LGPD, mas admitidos pela interpretação sistemática da legislação e pela avaliação análoga com conceitos previstos no Regulamento Europeu de Proteção de Dados.

Para permitir uma visualização mais fácil de algumas situações, o guia apresenta exemplos práticos em relação à adequada conceituação de controladores independentes, controladores conjuntos e operadores.

Salienta-se que o próprio guia dispõe que o documento está sujeito a comentários e contribuições pela sociedade civil de forma contínua, que podem ser realizados pelo e-mail normatizacao@anpd.gov.br

A íntegra do guia pode ser conferida neste link.