Por Thiago Ávila
Em agosto de 2018, o Brasil deu um grande avanço no que tange a sua legislação digital, especificamente sobre a proteção de Dados Pessoais com a sanção da Lei Federal 13.709/2018, conhecida como a Lei Geral de Proteção de Dados – LGPD. Esta Lei, que tinha previsão para entrar em vigor em fevereiro/2020, trouxe um sólido embasamento jurídico para a governança e proteção de dados pessoais por parte de todas as instituições brasileiras, sejam elas de natureza pública, privada acadêmica ou da sociedade civil.
Diversos especialistas já produziram artigos, cursos e livros sobre o assunto e arriscamos em afirmar que a LGPD será o grande tema do ecossistema digital brasileiro no ano de 2019, devido a sua amplitude, impacto e esforços necessários para a sua adequação por parte das instituições, gestores e profissionais brasileiros. A LGPD imporá ao Brasil uma cultura de Governança de Dados jamais vista e em certos casos, bem distante da rotina de diversas instituições e organizações do país.
Entretanto, um grande instrumento para a operacionalização da LGPD, a Autoridade Nacional de Proteção de Dados – ANPD, foi vetada na sanção presidencial da Lei, em 14/08/2018, por decorrer de um vício de constitucionalidade, devido ao fato que a Lei foi sancionada de um Projeto de Lei proposto pelo Poder Legislativo e este Poder não tem competência constitucional para propor leis que versem sobre a “organização administrativa e judiciária, matéria tributária e orçamentária, serviços públicos e pessoal da administração dos Territórios”; (Art. 61, §1º, II da Constituição Federal). Na época do veto da criação da ANPD a comunidade especializada do Brasil questionou de forma crítica que sem a ANPD, a LGPD poderia ser uma “letra morta”, por não existir instituição competente para fiscalizar e monitorar a implantação da Lei.
Bem, no último dia útil do seu Governo (hoje, 28 de dezembro de 2018), foi publicada no Diário Oficial da União a Medida Provisória Nº 869, de 27 de Dezembro de 2018, assinada pelo o Presidente Michel Temer e pelo Ministro do Planejamento, Desenvolvimento e Gestão, Esteves Colnago. Esta MP “Altera a Lei nº 13.709, de 14 de agosto de 2018, para dispor sobre a proteção de dados pessoais e para criar a Autoridade Nacional de Proteção de Dados, e dá outras providências.” Conforme o Art. 65 da nova redação da LGPD, tanto a ANPD passa a existir a partir da data de hoje bem como o Conselho Nacional de Proteção de Dados Pessoais e Privacidade, Conselho multiparticipativo que acompanhará e monitorará a atuação da ANPD e a implantação da LGPD no Brasil. Todavia, por ser uma criação através de Medida Provisória, consiste de uma medida juridicamente precária e que se não for transformada em lei no prazo máximo de 120 dias, perderá o seu efeito.
Neste artigo analisaremos as mudanças introduzidas na LGPD a partir da MP 869/2018, a seguir. Além da criação da ANPD e do Conselho Nacional, preliminarmente avaliamos que a MP visou aprimorar o texto da Lei tornando-o menos complexo quanto a sua operacionalização. Por outro lado, alguns itens outrora simplificados podem resultar em eventuais riscos para os dados pessoais vide a flexibilização das regras previstas inicialmente.
-
Excepcionalidades da LGPD previstas no Art. 4º
O artigo 4º da LGPD prevê todos os casos onde a Lei Geral não se aplica ao tratamento de dados pessoais. Na alínea b) do inciso II, a Lei previa que os dados pessoais para fins acadêmicos estavam nestes casos excepcionais, todavia deveriam ser tratados conforme os arts. 7º e 11º, que dispõem, respectivamente sobre às hipóteses da realização do tratamento de dados pessoais e das hipóteses do tratamento de dados pessoais sensíveis. Na redação da MP, nessa alínea b), os dados pessoais para fins acadêmicos ficam dispensados destas obrigações.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 4º | b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei; | b) acadêmicos; |
Já no § 2º do artigo 4º da LGPD, a MP flexibiliza as condições para o tratamento de dados pessoais previstos no inciso III (a) segurança pública; b) defesa nacional; c) segurança do Estado; ou d) atividades de investigação e repressão de infrações penais), reforçando que o tratamento de dados pessoais feito por por pessoa jurídica de direito privado só será admitido em procedimentos sob a tutela de pessoa jurídica de direito público, todavia, desobrigando do informe específico à ANPD.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 4º | § 2º É vedado o tratamento dos dados a que se refere o inciso III do caput deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo. | § 2º O tratamento dos dados a que se refere o inciso III do caput por pessoa jurídica de direito privado só será admitido em procedimentos sob a tutela de pessoa jurídica de direito público, hipótese na qual será observada a limitação de que trata o § 3º. |
O novo § 3º do artigo 4º da LGPD proposto pela MP funde os § 3º e 4º do texto original, criando uma excepcionalidade para que pessoas jurídicas de direito privado controladas pelo Poder Público poderão realizar o tratamento dos dados pessoais previstos no inciso III, sem necessariamente ter a tutela de uma pessoa jurídica de direito público (conforme o nosso entendimento do novo texto legal). Ademais, o § 4º deste artigo deixa de existir, conforme o Art. 3º da MP.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 4º | § 3º A autoridade nacional emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do caput deste artigo e deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais.
§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado. |
§ 3º Os dados pessoais constantes de bancos de dados constituídos para os fins de que trata o inciso III do caput não poderão ser tratados em sua totalidade por pessoas jurídicas de direito privado, não incluídas as controladas pelo Poder Público.” (NR) |
2. Requalificação do encarregado e da Autoridade Nacional de Proteção de Dados previstas no Art. 5º
O art. 5º recebeu três alterações a partir da MP. No inciso VIII, é removido o adjetivo “natural” para a qualificação do encarregado de proteção de dados. Interpretamos que a remoção deste adjetivo cria eventual previsão legal para que este “encarregado” não seja um ser humano, servidor ou empregado da instituição, mas possa vir a ser uma pessoa não-natural, como uma pessoa jurídica designada para este fim ou ainda um robô dotado de inteligência artificial ou algo parecido.
Já no artigo XIX, a nova redação amplia a possibilidade da ANPD fazer parte ora da administração direta ou indireta da administração, o que permitiu que a criação da ANPD estabelecida pela MP fosse vinculada a Presidência da República, ou seja, na administração direta.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 5º | VIII – encarregado: pessoa natural, indicada pelo controlador, que atua como canal de comunicação entre o controlador e os titulares e a autoridade nacional; | VIII – encarregado: pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados; |
| XIX – autoridade nacional: órgão da administração pública indireta responsável por zelar, implementar e fiscalizar o cumprimento desta Lei. | XIX – autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei.” (NR) |
3. Ampliação do escopo do uso de dados sensíveis referentes à saúde com o objetivo de obtenção de vantagem econômica
O Art. 11º recebeu dois incisos alterações a partir da MP. O inciso I é extraído a partir do texto anterior do caput do artigo e o inciso II cria a possibilidade do uso de dados sensíveis referentes à saúde com o objetivo de obtenção de vantagem econômica para serviços de saúde suplementar, algo que faz sentido e caso não fosse permitido poderia inviabilizar o funcionamento de operadoras de planos de saúde e hospitais da rede privada.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 11. | § 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nos casos de portabilidade de dados quando consentido pelo titular. | § 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses de:
I – portabilidade de dados quando consentido pelo titular; ou II – necessidade de comunicação para a adequada prestação de serviços de saúde suplementar.” (NR) |
4. Permissão de pessoas não-naturais para atuarem como revisoras de decisões tomadas unicamente com tratamento automatizado de dados pessoais
O artigo 20 remove a expressão “por pessoa natural” do texto do caput, possibilitando que pessoas não-naturais, como às pessoas jurídicas também possam efetuar a revisão de decisões tomadas unicamente com tratamento automatizado dos dados pessoais que afetem os seus interesses. Esta mudança pode ser considerada um prejuízo, pois a Legislação Européia (GDPR) inclusive permite que o titular dos dados não aceite a tomada de decisão tomadas unicamente com base em tratamento automatizado. A desobrigação de haver um revisor como pessoa natural pode fragilizar o direito do titular dos dados a depender do tipo de revisão que seja implementada.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 20. | O titular dos dados tem direito a solicitar revisão, por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive de decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. | O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. |
5. Flexibilizações e detalhamentos sobre os procedimentos do Poder Público para o tratamento de dados pessoais
Com a MP, o § 1º do artigo 26, que dispõe sobre as excepcionalidades em que o Poder Público pode transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso teve a exclusão do texto original do inciso III sendo este substituído por quatro casos de excepcionalidade na transferência destes dados pessoais. Inicialmente há um equívoco na nova redação do inciso III, que menciona os termos do art. 39 quando deveria mencionar os termos do art. 41, artigo este que versa sobre a indicação do encarregado de proteção de dados pessoais por parte da instituição controladora. Entretanto, apesar deste equívoco, o novo texto permite que haja a transferência dos dados para entes privados caso este ente possua um encarregado de dados pessoais.
O inciso IV permite que os dados pessoais sejam transferidos a entes privados quando houver previsão em contratos, convênios ou instrumentos congêneres. O inciso V permite que esta transferência para ações de prevenção de fraudes e irregularidades, ou proteção e resguardo da segurança e a integridade do titular dos dados e o inciso VI restaura a redação do texto anterior do inciso III, ou seja, dados pessoais que forem acessíveis publicamente poderão ser transferidos a entidades privadas.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 26. | III – se for indicado um encarregado para as operações de tratamento de dados pessoais, nos termos do art. 39;
IV – quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; V – na hipótese de a transferência dos dados objetivar a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados; ou VI – nos casos em que os dados forem acessíveis publicamente, observadas as disposições desta Lei. |
III – nos casos em que os dados forem acessíveis publicamente, observadas as disposições desta Lei. |
Na nova redação do art. 27, ainda versando sobre as obrigações do Poder Público para o tratamento de dados pessoais, às instituições públicas ficam desobrigadas de comunicar à ANPD quando compartilharem dados pessoais com pessoas de direito privado, devendo comunicar apenas ao titular dos dados. Tal flexibilização, apesar de simplificar operacionalmente este procedimento, pode criar uma “correlação desigual de forças” entre o Estado e a pessoa natural que possui seu dado pessoal compartilhado, pois tal pessoa somente será informada deste procedimento, não contando com um eventual crivo da ANPD para tal operação.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 27 | A comunicação ou o uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado será informado à autoridade nacional e dependerá de consentimento do titular, exceto: | A comunicação ou o uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa jurídica de direito privado dependerá de consentimento do titular, exceto: |
Por fim, no que tange às mudanças do tratamento de dados pessoais pelo setor público, o artigo 29 recebeu um ajuste de redação. A ANPD poderá solicitar “informações específicas” ao invés de “informe específico” “sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado e poderá emitir parecer técnico complementar para garantir o cumprimento da Lei”. Todavia, a consequência desta alteração é que a ANPD passa a ter poder para requisitar informações mais específicas e detalhadas sobre o tratamento de dados pessoais neste caso.
| Texto original da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 29. | A autoridade nacional poderá solicitar, a qualquer momento, às entidades do Poder Público, a realização de operações de tratamento de dados pessoais, informe específico sobre o âmbito e a natureza dos dados e demais detalhes do tratamento realizado e poderá emitir parecer técnico complementar para garantir o cumprimento desta Lei. | A autoridade nacional poderá solicitar, a qualquer momento, aos órgãos e às entidades do Poder Público a realização de operações de tratamento de dados pessoais, as informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado e poderá emitir parecer técnico complementar para garantir o cumprimento desta Lei.” (NR) |
6. Sobre a criação da Autoridade Nacional de Proteção de Dados – ANPD
6.1. Estruturação da ANPD
A MP 869/2018 recuperou parte do texto originalmente proposto para a LGPD nos artigos 55 e 56, mas que foram vetados na sanção presidencial. Devido a amplitude de incisos e parágrafos, comentaremos sobre a instauração da ANPD em blocos.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 55. | É criada a Autoridade Nacional de Proteção de Dados (ANPD), integrante da administração pública federal indireta, submetida a regime autárquico especial e vinculada ao Ministério da Justiça. | “Art. 55-A. Fica criada, sem aumento de despesa, a Autoridade Nacional de Proteção de Dados – ANPD, órgão da administração pública federal, integrante da Presidência da República.” (NR) |
| § 3º A natureza de autarquia especial conferida à ANPD é caracterizada por independência administrativa, ausência de subordinação hierárquica, mandato fixo e estabilidade de seus dirigentes e autonomia financeira. | “Art. 55-B. É assegurada autonomia técnica à ANPD.” (NR) |
Na redação original da legislação sobre a ANPD é notório que o legislador buscou estabelecer um perfil mais autônomo, por prever uma autarquia vinculada ao Ministério da Justiça, bem como dotada de independência administrativa, sem subordinação hierárquica, mandato dos seus dirigentes, conselheiros e autonomia financeira. Na nova redação a ANPD é integrante da Presidência da República e sua autonomia se restringe a esfera técnica, em que pese ter sido mantido o mandato do seu quadro diretivo.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 55. | § 2º A ANPD será composta pelo Conselho Diretor, como órgão máximo, e pelo Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, além das unidades especializadas para a aplicação desta Lei. | “Art. 55-C. ANPD é composta por:
I – Conselho Diretor, órgão máximo de direção; II – Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; III – Corregedoria; IV – Ouvidoria; V – órgão de assessoramento jurídico próprio; e VI – unidades administrativas e unidades especializadas necessárias à aplicação do disposto nesta Lei.” (NR) |
| § 5º O Conselho Diretor será composto por 3 (três) conselheiros e decidirá por maioria.
§ 6º O mandato dos membros do Conselho Diretor será de 4 (quatro) anos. § 7º Os mandatos dos primeiros membros do Conselho Diretor serão de 3 (três), 4 (quatro) e 5 (cinco) anos, a serem estabelecidos no decreto de nomeação. |
“Art. 55-D. O Conselho Diretor da ANPD será composto por cinco diretores, incluído o Diretor-Presidente.
§ 1º Os membros do Conselho Diretor da ANPD serão nomeados pelo Presidente da República e ocuparão cargo em comissão do Grupo-Direção e Assessoramento Superior – DAS de nível 5.” (NR) § 2º Os membros do Conselho Diretor serão escolhidos dentre brasileiros, de reputação ilibada, com nível superior de educação e elevado conceito no campo de especialidade dos cargos para os quais serão nomeados. § 3º O mandato dos membros do Conselho Diretor será de quatro anos. § 4º Os mandatos dos primeiros membros do Conselho Diretor nomeados serão de dois, de três, de quatro, de cinco e de seis anos, conforme estabelecido no ato de nomeação. § 5º Na hipótese de vacância do cargo no curso do mandato de membro do Conselho Diretor, o prazo remanescente será completado pelo sucessor.” (NR) |
O novo artigo 55-C estabelece a estrutura da ANPD quanto aos seus órgãos de funcionamento. Já o artigo 55-D estabelece uma nova composição do quadro diretivo com cinco dirigentes (originalmente eram três), a forma de nomeação e critérios mínimos para a sua escolha, bem como a existência de mandato para estes cargos e respectivos prazos dos mandatos que terão duração de quatro anos.
O artigo 55-E ainda estabelece condições para tratamento de vacância, renúncia e eventual processo disciplinar para os membros do Conselho Diretor. Ambos os itens apresentam maior riqueza de detalhe no texto proposto pela MP do que o texto original.
O artigo 55-F prevê às condições para os ex-membros do Conselho Diretor. A redação proposta pela MP apresenta maior aprimoramento, por se embasar no teor da Lei 12.813/2013, que “Dispõe sobre o conflito de interesses no exercício de cargo ou emprego do Poder Executivo federal e impedimentos posteriores ao exercício do cargo ou emprego”.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art.55 | “Art. 55-E. Os membros do Conselho Diretor somente perderão seus cargos em virtude de renúncia, condenação judicial transitada em julgado ou pena de demissão decorrente de processo administrativo disciplinar.
§ 1º Nos termos do caput, cabe ao Ministro de Estado Chefe da Casa Civil da Presidência da República instaurar o processo administrativo disciplinar, que será conduzido por comissão especial constituída por servidores públicos federais estáveis. § 2º Compete ao Presidente da República determinar o afastamento preventivo, caso necessário, e proferir o julgamento.” (NR) |
|
| § 8º É vedado a ex-conselheiro utilizar informações privilegiadas obtidas em decorrência do cargo exercido, sob pena de incorrer em improbidade administrativa. | “Art. 55-F. Aplica-se aos membros do Conselho Diretor, após o exercício do cargo, o disposto no art. 6º da Lei nº 12.813, de 16 de maio de 2013.
Parágrafo único. A infração ao disposto no caput caracteriza ato de improbidade administrativa.” (NR) |
Já o artigo 55-G dispõe sobre a definição da estrutura da ANPD, que será estabelecida por ato do Presidente da República. O novo texto apenas menciona que será por um ato, não sendo específico como no texto anterior que previa um decreto. Além disso o novo texto estabelece o apoio da Casa Civil como estrutura provisória da ANPD até a sanção deste ato. Já os artigos 55-H e 55-I estabelecem regras para a disponibilização dos cargos em comissão para a ANPD e os procedimentos para nomeação dos diretores.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 55 | § 4º O regulamento e a estrutura organizacional da ANPD serão aprovados por decreto do Presidente da República. | “Art.55-G. Ato do Presidente da República disporá sobre a estrutura regimental da ANPD.
Parágrafo único. Até a data de entrada em vigor de sua estrutura regimental, a ANPD receberá o apoio técnico e administrativo da Casa Civil da Presidência da República para o exercício de suas atividades.” (NR) |
| —— | “Art. 55-H. Os cargos em comissão e as funções de confiança da ANPD serão remanejados de outros órgãos e entidades do Poder Executivo federal.” (NR) | |
| —— | “Art. 55-I. Os ocupantes dos cargos em comissão e das funções de confiança da ANPD serão indicados pelo Conselho Diretor e nomeados ou designados pelo Diretor-Presidente.” (NR) |
6.2. Competências e atribuições da ANPD
O artigo 55-J visa definir as atribuições da ANPD, guardando algumas relações com o Art. 56 do texto original que dispunha sobre as competências da agência. Apesar das relações existentes, a comparação dos dois textos nos mostra uma ANPD com perfil um pouco menos autônomo, porém mais articulado com outras instituições de controle, no que tange a ao poder de auditoria, fiscalização e autuação de instituições que estejam em desacordo com a LGPD.
Além disso, a ANPD perde uma importante competência de elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade, prevista no inciso III do artigo 56 do texto original. Ademais, não competirá mais a ANPD “dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, observado o respeito aos segredos comercial e industrial”.
Por fim, como o artigo 57 do texto original, que tratava das receitas da ANPD foi vetado e não houve menção ao tema “receitas” na nova MP, não houve inciso correspondente no texto proposto pela MP ao texto original do inciso XV do art. 56 que estipulava como competência da ANPD “arrecadar e aplicar suas receitas e publicar, no relatório de gestão a que se refere o inciso XII do caput deste artigo, o detalhamento de suas receitas e despesas”.
Analisaremos também em bloco o teor do artigo 55-J comparando-o com o artigo 56 do texto original para proporcionar uma análise mais precisa das atribuições propostas para a ANPD no texto da MP 869/2018.
A grande mudança que ressaltamos neste bloco que contempla o comparativo dos incisos I e XIII do texto original do artigo 56 com o texto proposto para os incisos I, II e III do artigo 55-J é que foi omitida a competência de editar regulamentos sobre relatórios de impacto à proteção de dados pessoais no caso do tratamento representar alto risco a garantia dos princípios da Lei, em acordo com a remoção do texto do § 3º do Art. 4º que tratava desses relatórios.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56. | A ANPD terá as seguintes atribuições:
I – zelar pela proteção dos dados pessoais, nos termos da legislação; |
“Art. 55-J. Compete à ANPD:
I – zelar pela proteção dos dados pessoais; |
| XIII – editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, assim como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco para a garantia dos princípios gerais de proteção de dados pessoais previstos nesta Lei; | II – editar normas e procedimentos sobre a proteção de dados pessoais;
III – deliberar, na esfera administrativa, sobre a interpretação desta Lei, suas competências e os casos omissos; |
Comparando os incisos XI e V do texto original com os incisos IV e V do texto proposto no Art. 55-J, o texto original no inciso XI possibilitava a solicitação a qualquer momento a requisição de informe específico as entidades do Poder Público sobre os procedimentos de tratamento de dados pessoais. Esta competência, que também constava no Art. 29 do texto original e que possui texto compatível na nova redação deste artigo, ganha amplitude com o inciso IV do Art. 55-J, pois a ANPD poderá requisitar a qualquer momento requisitar informações aos controladores e operadores de dados pessoais sobre as atividades de tratamento, seja em instituições públicas ou não-públicas.
Além disso, o inciso V é mais preciso sobre a necessidade de implementação de mecanismos simplificados para eventuais peticionamento e reclamações sobre o tratamento de dados pessoais, detalhando minimamente como deve se dar o funcionamento destes mecanismos.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | XI – solicitar, a qualquer momento, às entidades do Poder Público que realizem operações de tratamento de dados pessoais, informe específico sobre o âmbito e a natureza dos dados e os demais detalhes do tratamento realizado, podendo emitir parecer técnico complementar para garantir o cumprimento desta Lei; | IV – requisitar informações, a qualquer momento, aos controladores e operadores de dados pessoais que realizem operações de tratamento de dados pessoais; |
| V – atender petições de titular contra controlador; | V – implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com esta Lei;
§ 5º As reclamações colhidas conforme o disposto no inciso V do caput poderão ser analisadas de forma agregada e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada.” (NR) |
Os incisos VI, VII e VIII do novo texto proposto ao Art. 55-J dispõem sobre às atribuições de fiscalização, sanções e controle da ANPD. A Autoridade Nacional continuará podendo fiscalizar a aplicar sanções, todavia não poderá realizar ou determinar a realização de auditorias, devendo comunicar aos órgãos de controle a necessidade deste tipo de procedimento.
Aqui detectamos uma certa “miopia” no texto do inciso VIII, pois atribui a ANPD comunicar aos órgãos de controle o descumprimento da Lei praticado na Administração Pública Federal, omitindo desta comunicação caso o descumprimento ocorra nas Administrações Estaduais e Municipais. Certamente este é um inciso que precisa ser corrigido com urgência e prioridade, caso contrário às administrações subnacionais não serão priorizadas nas atividades de fiscalização e controle da LGPD.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | IV – fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso; | VI – fiscalizar e aplicar sanções na hipótese de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;
VII – comunicar às autoridades competentes as infrações penais das quais tiver conhecimento; |
| XVI – realizar ou determinar a realização de auditorias, no âmbito da atividade de fiscalização, sobre o tratamento de dados pessoais efetuado pelos agentes de tratamento, incluindo o Poder Público. | VIII – comunicar aos órgãos de controle interno o descumprimento do disposto nesta Lei praticado por órgãos e entidades da administração pública federal; |
Os incisos VI, VII, VIII e IX do texto original do Art. 56 possuem textos praticamente idênticos no novo texto proposto, respectivamente atendidos pelos incisos IX, X, XI e XIII do Art. 55-J.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | VI – promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança; | IX – difundir na sociedade o conhecimento sobre as normas e as políticas públicas de proteção de dados pessoais e sobre as medidas de segurança; |
| VIII – estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, que deverão levar em consideração as especificidades das atividades e o porte dos responsáveis; | X – estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle e proteção dos titulares sobre seus dados pessoais, consideradas as especificidades das atividades e o porte dos controladores; | |
| VII – promover estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade; | XI – elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade; | |
| IX – promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional; | XII – promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional; |
O § 2º do texto original do Art. 56 versa sobre a necessidade de consultas e audiências públicas sobre os regulamentos e normas da ANPD. O novo texto, nos incisos XIII, XIV e XV do Art. 55-J apresenta um rol de atribuições mais amplas neste sentido, incorporando a realização de consultas públicas para colher sugestões sobre qualquer matéria de relevante interesse público na sua área de atuação, bem como a realização de oitivas junto a instituições impactadas pelas resoluções da ANPD, e ainda realizar a devida articulação com as demais autoridades regulatórias para o exercício de suas competências.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | § 2º Os regulamentos e normas editados pela ANPD devem necessariamente ser precedidos de consulta e audiência públicas, bem como de análises de impacto regulatório. | XIII – realizar consultas públicas para colher sugestões sobre temas de relevante interesse público na área de atuação da ANPD;
XIV – realizar, previamente à edição de resoluções, a oitiva de entidades ou órgãos da administração pública que sejam responsáveis pela regulação de setores específicos da atividade econômica; XV – articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação; e |
| XII – elaborar relatórios de gestão anuais acerca de suas atividades; | XVI – elaborar relatórios de gestão anuais acerca de suas atividades. |
O novo texto dos § 1º e 2º apresenta maior assertividade quanto ao respeito aos princípios e direitos dos titulares no âmbito dos Princípios Gerais da Atividade Econômica previstos na Constituição Federal. Além disso, o § 2º reforça a necessidade de articulação entre a ANPD e demais órgãos regulatórios para o cumprimento da LGPD visando o adequado funcionamento dos setores regulados.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | § 1º Ao impor condicionamentos administrativos ao tratamento de dados pessoais por agente de tratamento privado, sejam eles limites, encargos ou sujeições, a ANPD deve observar a exigência de mínima intervenção, assegurados os fundamentos, os princípios e os direitos dos titulares previstos no art. 170 da Constituição Federal e nesta Lei. | § 1º A ANPD, na edição de suas normas, deverá observar a exigência de mínima intervenção, assegurados os fundamentos e os princípios previstos nesta Lei e o disposto no art. 170 da Constituição. |
| ——- | § 2º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas correspondentes esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma desta Lei. |
O texto do § 3º do Art. 55-J amplia o escopo do inciso III do Art. 56 do texto original, onde a ANPD não apenas deve ouvir e prestar contas os agentes de tratamento e a sociedade em matérias relacionadas a sua atuação, mas manter fórum permanente de comunicação com seus stakeholders a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 56 | XIV – ouvir os agentes de tratamento e a sociedade em matérias de interesse relevante, assim como prestar contas sobre suas atividades e planejamento;
|
§ 3º A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública que sejam responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD. |
| II – zelar pela observância dos segredos comercial e industrial em ponderação com a proteção de dados pessoais e do sigilo das informações quando protegido por lei ou quando a quebra do sigilo violar os fundamentos do art. 2º desta Lei; | § 4º No exercício das competências de que trata o caput, a autoridade competente deverá zelar pela preservação do segredo empresarial e do sigilo das informações, nos termos da lei, sob pena de responsabilidade.
|
O texto do Art. 55-K estabelece a prerrogativa da ANPD na aplicação de sanções previstas na LGPD, onde às competências da atribuição tem prevalência sobre competências concorrentes de outras instituições da administração pública. O Parágrafo Único ressalta que a ANPD é o órgão central de interpretação da LGPD e que sua atuação deverá ser articulada com o Sistema Nacional de Defesa do Consumidor e outros órgãos e entidades com atuação na defesa dos direitos dos usuários e dos consumidores.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| — | “Art. 55-K. A aplicação das sanções previstas nesta Lei compete exclusivamente à ANPD, cujas demais competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.
Parágrafo único. A ANPD articulará sua atuação com o Sistema Nacional de Defesa do Consumidor do Ministério da Justiça e com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais, e será o órgão central de interpretação desta Lei e do estabelecimento de normas e diretrizes para a sua implementação.” (NR) |
7. Sobre a instauração da Autoridade Nacional de Proteção de Dados – ANPD e o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade
No que tange a composição do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, o artigo 58-A proposto pela MP guarda grande similaridade com o artigo 58 da LGPD, que foi vetado no ato da sua sanção. Todavia, assim como o perfil de menor autonomia da ANPD a MP também propõe um Conselho Nacional com menor autonomia, considerando que o texto do § 1º concentra no Presidente da República o poder de designar os representantes do Conselho, quando na redação vetada, tal competência poderia ser objeto de delegação. Além disso, os Conselheiros exerceriam mandato fixo de 02 anos, sendo permitido a recondução.
No texto da Medida Provisória, não há menção ao mandato dos Conselheiros do setor público e do Comitê Gestor da Internet, muito menos ao prazo do exercício desta relevante atribuição. Ficaram estabelecidas as regras para mandato com respectivos prazos apenas para os Conselheiros da sociedade civil, da academia e do setor empresarial.
| Texto original VETADO da LGPD | Texto alterado pela MP 869/2018 | |
|---|---|---|
| Art. 58. | O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto por 23 (vinte e três) representantes titulares, e seus suplentes, dos seguintes órgãos:
I – 6 (seis) representantes do Poder Executivo federal; II – 1 (um) representante indicado pelo Senado Federal; III – 1 (um) representante indicado pela Câmara dos Deputados; IV – 1 (um) representante indicado pelo Conselho Nacional de Justiça; V – 1 (um) representante indicado pelo Conselho Nacional do Ministério Público; VI – 1 (um) representante indicado pelo Comitê Gestor da Internet no Brasil; VII – 4 (quatro) representantes da sociedade civil com atuação comprovada em proteção de dados pessoais; VIII – 4 (quatro) representantes de instituição científica, tecnológica e de inovação; e IX – 4 (quatro) representantes de entidade representativa do setor empresarial afeto à área de tratamento de dados pessoais. § 1º Os representantes serão designados por ato do Presidente da República, permitida a delegação, e terão mandato de 2 (dois) anos, permitida 1 (uma) recondução. § 2º A participação no Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será considerada atividade de relevante interesse público, não remunerada. § 3º Os representantes referidos nos incisos I a VI do caput deste artigo e seus suplentes serão indicados pelos titulares dos respectivos órgãos e entidades. § 4º Os representantes referidos nos incisos VII, VIII e IX do caput deste artigo e seus suplentes serão indicados na forma de regulamento e não poderão ser membros da entidade mencionada no inciso VI do caput deste artigo. |
“Art. 58-A. O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto por vinte e três representantes, titulares suplentes, dos seguintes órgãos:
I – seis do Poder Executivo federal; II – um do Senado Federal; III – um da Câmara dos Deputados; IV – um do Conselho Nacional de Justiça; V – um do Conselho Nacional do Ministério Público; VI – um do Comitê Gestor da Internet no Brasil; VII – quatro de entidades da sociedade civil com atuação comprovada em proteção de dados pessoais; VIII – quatro de instituições científicas, tecnológicas e de inovação; e IX – quatro de entidades representativas do setor empresarial relacionado à área de tratamento de dados pessoais. § 1º Os representantes serão designados pelo Presidente da República. § 2º Os representantes de que tratam os incisos I a VI do caput e seus suplentes serão indicados pelos titulares dos respectivos órgãos e entidades da administração pública. § 3º Os representantes de que tratam os incisos VII, VIII e IX do caput e seus suplentes: I – serão indicados na forma de regulamento; II – terão mandato de dois anos, permitida uma recondução; e III – não poderão ser membros do Comitê Gestor da Internet no Brasil. § 4º A participação no Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será considerada prestação de serviço público relevante, não remunerada.” (NR) |
| Art. 59 | Art. 59. Compete ao Conselho Nacional de Proteção de Dados Pessoais e da Privacidade:
I – propor diretrizes estratégicas e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD; II – elaborar relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados Pessoais e da Privacidade; III – sugerir ações a serem realizadas pela ANPD; IV – realizar estudos e debates sobre a proteção de dados pessoais e da privacidade; e V – disseminar o conhecimento sobre proteção de dados pessoais e da privacidade à população em geral.” |
“Art. 58-B. Compete ao Conselho Nacional de Proteção de Dados Pessoais e da Privacidade:
I – propor diretrizes estratégicas e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD; II – elaborar relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados Pessoais e da Privacidade; III – sugerir ações a serem realizadas pela ANPD; IV – elaborar estudos e realizar debates e audiências públicas sobre a proteção de dados pessoais e da privacidade; e V – disseminar o conhecimento sobre a proteção de dados pessoais e da privacidade à população em geral.” (NR) |
Por fim, a MP 869/2018 altera os prazos de vigência previstos no texto original. Tanto a Autoridade Nacional de Proteção de Dados quanto o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade passam a vigorar a partir do dia 28 de dezembro de 2018 (imediatamente) de tal maneira que possam se preparar e serem estruturados para fazer valer todos os requisitos da LGPD que entraria em vigor em Fevereiro/2020 e passará a vigorar em Agosto/2020. Neste ponto a MP acerta por conceder um prazo maior para a preparação das organizações para a LGPD bem como para que o novo Governo Brasileiro possa ter tempo hábil para adotar todo o conjunto complexo de medidas necessárias para a plena operacionalização da Lei.
Encerramos esta análise posicionando-nos que a criação da ANPD, mesmo sendo no “apagar das luzes” da gestão do Presidente Michel Temer foi necessária para que o novo governo e o novo congresso dê a prioridade que este tema merece, considerando que esta matéria terá que ser apreciada logo no primeiro quadrimestre do ano de 2019. Entendemos que todos os stakeholders que atuaram e atuam em tornos de temas relacionados e impactados pela LGPD continuarão fazendo o seu papel ativo de discutir e propor melhorias e aprimoramentos nas questões jurídicas e técnicas relacionadas a este importante tema que é a Proteção dos Dados Pessoais e a Privacidade.
Desejamos ainda que quando a MP 869/2018 for debatida e transformada em lei, sejam feitos os devidos ajustes para ampliar ainda mais a sua compatibilidade com a GDPR (General Data Protection Regulation), criando maior segurança jurídica para às organizações e para os cidadãos brasileiros especialmente no que tange às relações internacionais, tão crescentes na era da Transformação Digital.
Concluímos o ano de 2018 com este artigo extra, especial, e que não estava previsto no nosso planejamento editorial. Todavia, a LGPD será um dos assuntos mais relevantes do ano de 2019 e que certamente será tema de outros artigos que produziremos no ano vindouro. Logo, iniciar a abordar a LGPD com a análise da MP 869/2018 foi um desafio entusiasmante e gratificante.
Desejamos a todos os nossos leitores que aproveitem o artigo e façam seus devidos comentários e apontamentos. Estamos disponíveis para dialogar, debater, aprimorar nosso entendimento e o de todos vocês a partir deste rico e relevante debate.
Até 2019. Feliz Ano Novo!!!