1) Introdução 

A Coordenação-Geral de Tecnologia e Pesquisa da ANPD (CGTP) elaborou uma nota técnica (“Nota”) sobre a alteração da nova política de privacidade do WhatsApp (“Política”), que seria implementada em 15/05/2021 no Brasil. Vale lembrar que a CGTP é o órgão interno da Autoridade Nacional de Proteção de Dados (ANPD) responsável por, dentre outras atribuições, emitir pareceres técnicos nos autos de processos administrativos em trâmite na ANPD. 

A Nota elenca as possíveis consequências da alteração, tendo sido feita, pelo que consta, com base nos documentos publicados pelo WhatsApp, e em respostas aos questionamentos feitos à empresa por meio de ofícios. Atualmente, existe processo administrativo na ANPD em andamento sobre o caso.  

 2) Prazo  

A ANPD determinou um prazo de 15 dias para que o WhatsApp fornecesse as informações, devido ao pedido da empresa de aumento do prazo, que era inicialmente de apenas 5 dias.  O curto período estabelecido demonstra a importância de as organizações estruturarem previamente seu programa de governança em proteção de dados. 

3) Pontos da Nota Técnica 

Apresentamos abaixo um resumo dos principais temas discutidos na Nota: 

Transparência 

• Aponta que indicar as bases legais pode ser uma boa prática, apesar de não ser exigida pela LGPD (itens 105-106); e 
• Destaca que a correlação entre os dados coletados e as respectivas finalidades é necessária na política de privacidade (item 107). 

Dados Sensíveis e Crianças e Adolescentes 

• Entende que vale menção específica na Política sobre as circunstâncias em que poderia ocorrer tratamento (não intencional) de dados sensíveis e sobre as finalidades, bases legais e medidas de segurança empregadas nesses casos (item 172); e 
• Destaca a ausência de adoção de condutas específicas para o tratamento de dados de crianças e adolescentes (item 174). 

Direitos dos Titulares 

• Considerou os formulários para o exercício de direitos adequados (item 167). Contudo, não houve análise técnica do direito de acesso e portabilidade por ainda não haver regulação da matéria (item 162); 
• Exige que seja divulgada a identidade do DPO no aviso de privacidade (item 150); e 

• Reforça o argumento de que deve haver menção explícita a todos os direitos na política de privacidade, mas que essa menção “não pode ser entendida como uma exigência abstrata de reprodução literal do dispositivo da lei” (itens 151-153). 

Relatório de Impacto à Proteção de Dados (RIPD) 

• Destaca que o Teste de Legítimo interesse não é suficiente para substituir a necessidade do RIPD (item 99); 

• Indica que o RIPD será necessário sempre que houver um tratamento em larga escala e com um número elevado de titulares (item 97); 
• Lista o conteúdo mínimo de um RIPD, especificamente (i) uma descrição sistemática das atividades de tratamento; (ii) uma avaliação da necessidade e proporcionalidade do tratamento em relação ao objetivo; (iii) uma matriz de probabilidade e impacto para que se possa identificar o risco identificado e o risco residual; e (iv) as medidas técnicas e administrativas adotadas para lidar com os riscos identificados. 

Medidas de Prevenção e Segurança 

• Entre controles organizacionais de segurança, incluiu: (i) controles de contratos com operadores de dados e terceiros; (ii) registros de compartilhamento de dados; (iii) inventário de dados; e (iv) registro das operações de tratamento (item 184);  
• Faz menção às medidas da NBR-ISO 27700 como boa prática (item 182); e 
• Exigiu a apresentação de exemplos de períodos de armazenamentos de dados de acordo com algumas finalidades como forma de comprovar a adequação das práticas de retenção de dados (item 186).  

4) Comparação com UE 

Interessante notar que ao longo de toda a Nota são feitas comparações com o cenário regulatório de proteção de dados da União Europeia. É feita, inclusive, comparação direta entre o caso em análise do WhatsApp Brasil e a multa aplicada pela CNIL, autoridade francesa de proteção de dados, ao Google França por falta de transparência na sua política de privacidade (item 30). Também foi questionado pela ANPD o porquê de haver uma diferença de conteúdo entre as políticas de privacidade do WhatsApp da União Europeia e do Brasil, já que as legislações são semelhantes. Essas características do documento parecem indicar que a UE será um referencial importante na aplicação da LGPD no Brasil. 

5) Cooperação Institucional 

Importante salientar que o CGTP afirma que a análise pode servir de subsídio para a atuação de outros órgãos ou entidades, o que parece indicar a disposição da ANPD de efetivamente atuar em conjunto com outros setores regulatórios.