No dia 29/10/21, a ANPD publicou a norma que regula o processo administrativo de fiscalização da LGPD pela autoridade (“Norma”, “Resolução”) no Diário Oficial da União.

Principais Pontos

A Norma publicada apresenta diversos pontos regulando a atuação da ANPD, sendo os principais elencados abaixo:

1. Postura Regulatória

A Norma adota uma postura de “regulação responsiva” para a ANPD, que estabelece que a atuação do regulador deve se basear em incentivos positivos (por exemplo, orientação e prevenção) e não somente em mecanismos repressivos.

2. Processo Administrativo

São detalhados as regras e os procedimentos internos da ANPD para instauração e andamento dos processos administrativos:

• Escopo: as disposições processuais da Norma aplicam-se a “qualquer interação” entre as unidades da ANPD e os Administrados[1].
• Prazos: é definido o prazo geral de 10 dias úteis para diversos procedimentos (p. ex., intimação, apresentação de defesa e recurso administrativo). Os prazos sempre serão contados em dias úteis. O prazo será prorrogado em caso de comprovada indisponibilidade do sistema SEI.
• Recurso: há apenas uma instância recursal administrativa, o Conselho Diretor da ANPD. Não cabe recurso contra o despacho que instaura o processo administrativo sancionador.
• Revisão: Os processos administrativos que resultarem em sanções poderão ser revistos, a qualquer tempo, a pedido ou por iniciativa da ANPD, quando surgirem novos fatos ou circunstâncias relevantes que demonstrem a inadequação da sanção aplicada.
• Legitimados: podem participar do processo (i) as pessoas físicas ou jurídicas que o iniciem; (ii) os que têm direitos e interesses afetados pela decisão; (iii) organizações e associações que representem interesses e direitos coletivos e difusos; e (iv) instituições acadêmicas.

3. Requerimento, Petição de titular e Denúncia

A Resolução define os três conceitos de forma distinta. O requerimento compreende o conjunto dos tipos de comunicação à ANPD, sendo eles a petição de titular e a denúncia. A denúncia é qualquer comunicação feita à ANPD, seja por pessoa natural ou jurídica, sobre uma potencial violação à LGPD, que não seja uma petição de titular. Já a petição de titular é feita pelo titular dos dados pessoais relativamente à questão apresentada por ele, mas não solucionada pelo agente de tratamento no prazo regulamentar.

Os requerimentos serão recebidos pelo Sistema Eletrônico de Informação (SEI) Externo da Presidência da República.

4. Fiscalização

A ANPD poderá atuar por iniciativa própria, por meio de programas periódicos de fiscalização, em resposta a um requerimento, de forma coordenada com órgãos e entidades públicos ou em cooperação com autoridades de proteção de dados pessoais de outros países. A Norma destaca que a fiscalização pode ter naturezas distintas, sendo orientadora, preventiva ou sancionadora. Em relação a esse aspecto, destacamos os seguintes pontos:

• Auditoria: a ANPD pode realizar auditorias e requisitar informações dos agentes de tratamento, que devem disponibilizar representante apto a oferecer suporte à atuação da ANPD quando solicitado.
• Sigilo: o agente de tratamento pode solicitar à ANPD o sigilo de determinadas informações em caso de fiscalização, como no caso de segredo de negócio ou dados com implicações concorrenciais.
• Premissa da Fiscalização: uma premissa importante da Norma é a exigência de mínima intervenção na imposição de condicionantes administrativas ao tratamento de dados pessoais, a previsão de mecanismos de transparência, de retroalimentação e de autorregulação e o incentivo à accountability dos agentes de tratamento.
• Deveres dos agentes regulados: Os agentes regulados devem sempre cooperar com as atividades da ANPD, permitir o acesso às instalações, equipamentos e sistemas, manter documentos físicos ou digitais pertinentes, dentre outras obrigações. O não cumprimento desses deveres pode ser caracterizado como obstrução à atividade de fiscalização, sujeitando o agente regulado a medidas repressivas.

5. Instrumentos de Monitoramento

Para levantar informações sobre o estado do ambiente regulatório e orientar a sua atuação fiscalizatória, a Resolução define que a ANPD irá desenvolver documentos específicos com indicação de temas prioritários, período e modo de monitoramento.

O Mapa de Temas Prioritários (“Mapa”) será um documento bianual, a ser elaborado pela Coordenação-Geral de Fiscalização e aprovado pelo Conselho Diretor, que irá indicar quais serão os temas prioritários de estudo e planejamento da atividade de fiscalização da ANPD no período de vigência do documento.

Já o Relatório de Ciclo de Monitoramento (“Relatório”) é um instrumento de avaliação, prestação de contas e planejamento da atividade de fiscalização desenvolvida pela ANPD, a ser elaborado pela Coordenação-Geral de Fiscalização e aprovado pelo Conselho Diretor. O Relatório (i) avaliará as atividades de fiscalização realizadas no ciclo de monitoramento, inclusive dos temas prioritários, apresentando indicadores e resultados; (ii) direcionará a estratégia de atuação orientativa, preventiva e repressiva e as medidas a serem adotadas, inclusive ao longo do seguinte ciclo de monitoramento; e (iii) consolidará as informações obtidas a partir de requerimentos e comunicações de incidentes, bem como de outras fontes de insumos recebidos pela Coordenação-Geral de Fiscalização.

A Resolução indica que o primeiro ciclo de monitoramento terá início a partir de janeiro de 2022.

6. Instrumentos de Orientação

Com a finalidade de promover a orientação, conscientização e educação dos agentes regulados, a ANPD elencou uma série de medidas de orientação, que não constituem sanção ao agente regulado. São eles: (i) elaboração e disponibilização de guias de boas práticas e de modelos de documentos para serem utilizados por agentes de tratamento; (ii) sugestão aos agentes regulados da realização de treinamentos e cursos; (iii) elaboração e disponibilização de ferramentas de autoavaliação de conformidade e de avaliação de riscos a serem utilizadas pelos agentes de tratamento; (iv) reconhecimento e divulgação das regras de boas práticas e de governança; e (v) recomendação de: a) utilização de padrões técnicos que facilitem o controle pelos titulares de seus dados pessoais; b) implementação de Programa de Governança em Privacidade; e c) observância de códigos de conduta e de boas práticas estabelecidas por organismos de certificação ou outra entidade responsável.

Frise-se que a ANPD poderá também adotar outras medidas e que os agentes regulados poderão sugerir a adoção das medidas de orientação listadas acima, sujeita à avaliação da ANPD.

7. Instrumentos de Prevenção

Sob o pretexto de prevenir e reconduzir o agente de tratamento à plena conformidade, de forma a evitar ou remediar situações que acarretem risco ou dano aos titulares de dados pessoais, a ANPD poderá adotar as seguintes medidas preventivas: (i) divulgação de informações; (ii) aviso; (iii) solicitação de regularização ou informe; e (iv) plano de conformidade.

A divulgação de informações consiste na divulgação de informações e dados setoriais agregados e de desempenho, como a taxa de resolução de problemas e pedidos de titulares atendidos. O aviso descreverá a situação irregular para que o agente de tratamento identifique as providências necessárias. Já a solicitação de regularização e o informe serão emitidos para que a regularização corra em um prazo determinado e para casos cuja complexidade não justifique a elaboração de um plano de conformidade, sendo o informe utilizado quando a infração decorrer de tratamento de dados pessoais por órgãos públicos. Por fim, o plano de conformidade destina-se à reversão de irregularidades mais complexas.

Destaca-se que a ANPD poderá também adotar outras medidas e que o não atendimento da solicitação de regularização ou informe ou do plano de conformidade ensejará a atuação repressiva da ANPD e será considerado um agravante em caso de instauração de processo administrativo.

8. Termo de Ajustamento de Conduta (TAC)

O interessado poderá apresentar à Coordenação-Geral de Fiscalização uma proposta de TAC, que será submetido à deliberação do Conselho Diretor. O processo administrativo será suspenso com a assinatura do TAC e, após verificado o cumprimento integral do TAC, será arquivado.

9. Multa e Requisições Individuais

Importante ressaltar que a Norma não trata sobre metodologia de cálculo de multa e nem sobre requisição de direitos individuais à ANPD pelos titulares, que serão objeto de regulamentações próprias pela ANPD.

[1] Art. 1º, §1º da Norma: “As disposições deste regulamento aplicam-se aos titulares de dados, aos agentes de tratamento, pessoas naturais ou jurídicas, de direito público ou privado e demais interessados no tratamento de dados pessoais, nos termos do art. 13.”.

[2] Atualmente, o website da ANPD estabelece que as reclamações devem ser enviadas por meio de peticionamento eletrônico pelo sistema SEI Externo. Disponível em: <https://bit.ly/3wJh7de>.