Programas para educar o mercado, fomentar o ecossistema e participar ativamente do processo de regulamentação brasileiro entre direito e tecnologia.
Capítulos regionais/locais exclusivos para associados e grupos abertos ao público em geral.
Mais de 300 horas de conteúdo educacional focado no ecossistema jurídico e tecnológico.
Exclusivo para associados.
Aos ’45 minutos do segundo tempo’ surgiu a tão aguardada ANPD
Pudéssemos usar um jargão do futebol, diríamos que “aos 45 minutos do segundo tempo” surgiu a tão aguardada Agência Nacional de Proteção de Dados (ANPD), outrora vetada pelo Presidente Temer por ocasião da sanção da lei 13.709/18, a nossa Lei Geral de Proteção de Dados (LGPD).
E, surgiu pela edição da Medida Provisória (MP) nº 869/2018, publicada nesta sexta-feira (28/12) no Diário Oficial da União. Curiosamente, a edição da MP foi alvo de um “vazamento”, já que ainda pela tarde do dia 27 de dezembro circulava por vários grupos de WhatsApp um documento com o texto hoje conhecido e agora comentado: um fato que não pode deixar de ser mencionado, dado o contexto atual e mundial de proteção de dados. A ANPD surgiu, assim, sendo alvo de vazamento da minuta da Medida Provisória.
Fato é que a ANPD era cobrada por parte da sociedade civil como uma importante ferramenta para realizar o enforcement da lei geral de proteção de dados já que, até então, tínhamos uma lei sem quem pudesse aplicar as penalidades lá previstas. É verdade, no entanto, que ela sequer se encontrava em vigor, mas a inexistência da ANPD já gerava claro desconforto na sociedade civil, que estava engajada para sua criação. Até um manifesto subscrito por diversas entidades e juristas foi enviado ao Planalto cobrando a criação do órgão.
Importante notar que a Lei Geral de Proteção de Dados (LGPD) foi idealizada para estabelecer direitos para os titulares de dados e, também, para dar a devida segurança jurídica às empresas e órgãos públicos que tratam dados pessoais. Para isso, um de seus pilares era, sem dúvidas, a criação da ANPD, que, desde o início, seria a responsável por vários aspectos da aplicação/interpretação e implementação da lei.
A existência do órgão é de suma importância para a diminuição da distância entre o que os titulares de dados conhecem sobre as práticas e consequências do tratamento e os entes que utilizam os dados, o que pode ser fundamental para evitar que eventuais desconformidades sejam levadas ao longo e custoso caminho das demandas judiciais. É indispensável, também, para garantir a adaptação da lei a novas circunstâncias sem que abandone a segurança jurídica, provendo orientações sobre a interpretação e aplicação da lei e elaborando normas e regulamentos sobre temas específicos sem que seja preciso alterar a LGPD. Para isso, é imprescindível que seja composta por pessoal técnico e capacitado em temas jurídicos e regulatórios, bem como em aspectos técnicos do tratamento de dados pessoais. Mas, para bem desempenhar suas funções também é preciso que a ANPD tenha independência administrativa e financeira, não devendo estar subordinada a outros órgãos. Some-se a isso a importância de haver prerrogativas aos seus dirigentes, como mandatos para que possam atuar sem riscos de influências externas indevidas. Por isso se falava que sua natureza deveria ser a de autarquia especial.
Veio, então, a ANPD pela mencionada MP, que, tem efeitos imediatos e prazo de vigência de 60 dias, prorrogável automaticamente pelo mesmo prazo caso não tenha sido votada pelo Congresso Nacional. Ela precisa ser apreciada em até 45 dias da sua publicação, sob pena de entrar em regime de urgência e, assim, sobrestar todas as demais deliberações da Casa Legislativa em que estiver tramitando. Em outras palavras, ela pode se tornar uma barreira político-jurídica logo no início do mandato do Presidente Bolsonaro e, se não era uma pauta prioritária do seu plano de governo, pode vir a ser, forçadamente. Teremos, assim, a oportunidade de verificar a articulação política de seu governo sobre um tema tão importante para as pessoas. Fica a curiosidade para vermos quem serão os articuladores da matéria.
A MP interfere diretamente na vigência da LGPD, determinando que ela vigore após 24 meses, portanto, prorrogando em 06 meses o período inicial da vacatio legis. Neste particular, violou o art. 8º, §2º da Lei Complementar nº 95/1998 porque deixou de fixar em dias o período de vacância. De toda forma, serão mais seis meses para que as empresas se adequem à nova legislação de proteção de dados.
A MP também alterou significativamente o art. 20 da LGPD, excluindo a revisão por pessoa natural, as decisões automatizadas. Isso significa, na prática, que o questionamento sobre critérios de valoração de tratamento de dados pessoais poderá não ser respondido por humanos. Em outras palavras, pode ser mais difícil e até mesmo impossível entender determinados processamento de dados, eventualmente prejudicando que os titulares tenham o mais preciso entendimento sobre casos de discriminação sobre seu perfil pessoal, de consumo, de crédito ou da sua personalidade. Isso só seria remediável caso houvesse um sistema absolutamente transparente que indicasse os critérios de discriminação no tratamento destes dados. É possível tecnicamente, mas, na prática, pode não ser implementado.
Mas houve outras mudanças na LGPD.
Os §§2º e 3º do art. 4º foram alterados para constar que o tratamento dos dados realizados para fins de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão a infrações penais somente será admitido em procedimentos sob a tutela de pessoa jurídica de direito público, excluídas aquelas que sejam controladas pelo Poder Público. Ou seja, pessoas jurídicas de direito privado, controladas pelo Poder Público poderão tratar dados pessoais para fins de segurança e investigação. Complementando a alteração dos parágrafos mencionados, revogou-se o §4º do art. 4º, já que determinava que em nenhuma hipótese a totalidade dos dados realizados para fins de segurança pública poderia ser tratada por pessoa jurídica de direito privado.
O art. 5º também sofreu alterações no inciso com definição do encarregado que, agora, não mais precisa ser pessoa natural. Esta característica foi retirada de definição, tornando a LGPD mais próxima do Regulamento Geral de Proteção de Dados da União Europeia, que não exige que a figura lá correspondente seja pessoa natural. Algo que havíamos alertado por ocasião da participação em audiência pública no Senado Federal quando do trâmite do então projeto de lei sobre a LGPD.
Além disso, a MP revogou os §§ 1º e 2º do art. 7º. O §1º dizia que nos casos de tratamento de dados fundados no cumprimento de obrigação legal ou regulatória pelo controlador e, ainda, nos casos de tratamento pela Administração Pública para fins de execução de políticas públicas, que os titulares dos dados seriam informados do tratamento. Isso não é mais uma obrigação legal, ficando o titular sem essa informação. O §2º dizia que a forma pela qual os titulares dos dados seriam informados destes tratamentos seriam especificadas pela Autoridade Nacional. Vê-se, aqui, portanto, uma perda de direitos informacionais por parte dos titulares dos dados, que não mais saberão quando tiverem seus dados tratados nas hipóteses acima mencionadas. Foi uma alteração que privilegiou o Poder Público.
A MP revogou, ainda, o art. 62 da LGPD que determinava que a Autoridade Nacional e o Instituto Nacional de Estudos e Pesquisas Educacionais Anísio Teixeira (Inep), no âmbito de suas competências, editariam regulamentos específicos para o acesso a dados tratados pela União para cumprir disposições da Lei de Diretrizes e Bases da Educação Nacional e do Sistema Nacional de Avaliação da Educação Superior.
Quanto à sua composição, a ANPD foi criada com:
– Conselho Diretor, que será formado por cinco Diretores e um Diretor-Presidente, a serem nomeados pelo Presidente da República dentre brasileiros com reputação ilibada e nível superior de educação, com elevado conceito no campo de especialidade. Terão nível de Assessoramento Superior DAS de nível 5 (remuneração de cerca de treze mil reais brutos). Seus mandatos serão de quatro anos, sendo que os primeiros mandatos serão de dois, três, quatro, cinco e seis anos e somente poderão perder os cargos por decisões judiciais transitadas em julgado, por renúncia ou demissão após processo administrativo disciplinar;
– Conselho Nacional de Proteção de Dados Pessoais e da Privacidade;
– Corregedoria;
– Ouvidoria; e
– Órgão de assessoramento jurídico próprio e unidades administrativas especializadas.
A atribuições da ANPD são muitas, contidas em nada menos que dezesseis incisos. Primordialmente, caberá a ela zelar pela proteção dos dados pessoais, editar normas e procedimentos sobre a proteção de dados pessoais, deliberar sobre a interpretação da LGPD, requisitar informações aos controladores e operadores de dados pessoais que realizem operações de tratamento de dados pessoais, disseminar conhecimento da normas de proteção de dados e segurança e, sem dúvidas, aplicar as penalidades previstas na lei.
Vale destacar que a MP trouxe a previsão de que a ANPD terá atribuição exclusiva para aplicar as sanções previstas na LGPD, de modo que, quanto aos dados pessoais, as demais competências prevalecerão sobre as competências correlatas de outras entidades ou órgãos da Administração Pública.
Importante notar que a Autoridade deverá zelar pela preservação do segredo empresarial e do sigilo das informações, nos termos da lei, sob pena de responsabilidade, o que é fundamental, já que acabará tendo acesso não só a dados variados de titulares e empresas, mas de modelos de negócios.
Já o Conselho será composto por 23 integrantes não remunerados, dos mais variados órgãos, sendo seis representantes do Poder Executivo, um do Senado, um da Câmara dos Deputados, um do Conselho Nacional de Justiça, um do Conselho Nacional do Ministério Público, um do Comitê Gestor da Internet do Brasil, quatro de entidades da sociedade civil com atuação comprovada em proteção de dados pessoais, quatro de instituições científicas, tecnológicas e de inovação, quatro do setor empresarial relacionado à área de proteção de dados pessoais, todos a serem designados pelo Presidente de República. O Conselho terá atribuições de propor diretrizes e estratégias para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD, de elaborar relatórios sobre a política, sugestões de ações a serem realizadas pela ANPD, estudos, debates e audiências públicas sobre a proteção de dados, bem como disseminar o conhecimento da proteção de dados à população em geral.
Os integrantes do Conselho estarão muito próximos de dados e decisões importantes para a proteção de dados, sendo verdadeiramente privilegiados em suas posições. Por isso, apesar de não terem sido mencionados na MP como sujeitos à lei 12.813/13 (que trata de conflito de interesses), devem a ela ser submetidos, nos termos do art. 2, parágrafo único da mencionada lei, o que é fundamental para a higidez das atividades, sendo primordial que o órgão (em verdade toda a ANPD) não se torne um possível ambiente de captação de clientes ou negociatas escusas.
Vê-se que a MP pode ser interpretada como um presente de Natal na medida em que criou a ANPD, defendida por muitos desde quando a LGPD era apenas um projeto de lei. Todavia, algumas mudanças causadas na LGPD são limitadoras dos direitos dos titulares de dados, além de outas, ainda a serem avaliadas na prática. O tempo dirá se isso foi suficiente para ser uma indigesta surpresa.
Por Marcelo Crespo
Nossas novidades direto em sua caixa de entrada.
