No dia 29/10/21, a ANPD publicou a norma que regula o processo administrativo de fiscalização da LGPD pela autoridade (“Norma”, “Resolução”) no Diário Oficial da União.
Principais Pontos
A Norma publicada apresenta diversos pontos regulando a atuação da ANPD, sendo os principais elencados abaixo:
-
Postura Regulatória
A Norma adota uma postura de “regulação responsiva” para a ANPD, que estabelece que a atuação do regulador deve se basear em incentivos positivos (por exemplo, orientação e prevenção) e não somente em mecanismos repressivos.
-
Processo Administrativo
São detalhados as regras e os procedimentos internos da ANPD para instauração e andamento dos processos administrativos:
- Escopo: as disposições processuais da Norma aplicam-se a “qualquer interação” entre as unidades da ANPD e os Administrados[1].
- Prazos: é definido o prazo geral de 10 dias úteis para diversos procedimentos (p. ex., intimação, apresentação de defesa e recurso administrativo). Os prazos sempre serão contados em dias úteis. O prazo será prorrogado em caso de comprovada indisponibilidade do sistema SEI.
- Recurso: há apenas uma instância recursal administrativa, o Conselho Diretor da ANPD. Não cabe recurso contra o despacho que instaura o processo administrativo sancionador.
- Revisão: Os processos administrativos que resultarem em sanções poderão ser revistos, a qualquer tempo, a pedido ou por iniciativa da ANPD, quando surgirem novos fatos ou circunstâncias relevantes que demonstrem a inadequação da sanção aplicada.
- Legitimados: podem participar do processo (i) as pessoas físicas ou jurídicas que o iniciem; (ii) os que têm direitos e interesses afetados pela decisão; (iii) organizações e associações que representem interesses e direitos coletivos e difusos; e (iv) instituições acadêmicas.
-
Requerimento, Petição de titular e Denúncia
A Resolução define os três conceitos de forma distinta. O requerimento compreende o conjunto dos tipos de comunicação à ANPD, sendo eles a petição de titular e a denúncia. A denúncia é qualquer comunicação feita à ANPD, seja por pessoa natural ou jurídica, sobre uma potencial violação à LGPD, que não seja uma petição de titular. Já a petição de titular é feita pelo titular dos dados pessoais relativamente à questão apresentada por ele, mas não solucionada pelo agente de tratamento no prazo regulamentar.
Os requerimentos serão recebidos pelo Sistema Eletrônico de Informação (SEI) Externo da Presidência da República.
-
Fiscalização
A ANPD poderá atuar por iniciativa própria, por meio de programas periódicos de fiscalização, em resposta a um requerimento, de forma coordenada com órgãos e entidades públicos ou em cooperação com autoridades de proteção de dados pessoais de outros países. A Norma destaca que a fiscalização pode ter naturezas distintas, sendo orientadora, preventiva ou sancionadora. Em relação a esse aspecto, destacamos os seguintes pontos:
- Auditoria: a ANPD pode realizar auditorias e requisitar informações dos agentes de tratamento, que devem disponibilizar representante apto a oferecer suporte à atuação da ANPD quando solicitado.
- Sigilo: o agente de tratamento pode solicitar à ANPD o sigilo de determinadas informações em caso de fiscalização, como no caso de segredo de negócio ou dados com implicações concorrenciais.
- Premissa da Fiscalização: uma premissa importante da Norma é a exigência de mínima intervenção na imposição de condicionantes administrativas ao tratamento de dados pessoais, a previsão de mecanismos de transparência, de retroalimentação e de autorregulação e o incentivo à accountability dos agentes de tratamento.
- Deveres dos agentes regulados: Os agentes regulados devem sempre cooperar com as atividades da ANPD, permitir o acesso às instalações, equipamentos e sistemas, manter documentos físicos ou digitais pertinentes, dentre outras obrigações. O não cumprimento desses deveres pode ser caracterizado como obstrução à atividade de fiscalização, sujeitando o agente regulado a medidas repressivas.
-
Instrumentos de Monitoramento
Para levantar informações sobre o estado do ambiente regulatório e orientar a sua atuação fiscalizatória, a Resolução define que a ANPD irá desenvolver documentos específicos com indicação de temas prioritários, período e modo de monitoramento.
O Mapa de Temas Prioritários (“Mapa”) será um documento bianual, a ser elaborado pela Coordenação-Geral de Fiscalização e aprovado pelo Conselho Diretor, que irá indicar quais serão os temas prioritários de estudo e planejamento da atividade de fiscalização da ANPD no período de vigência do documento.
Já o Relatório de Ciclo de Monitoramento (“Relatório”) é um instrumento de avaliação, prestação de contas e planejamento da atividade de fiscalização desenvolvida pela ANPD, a ser elaborado pela Coordenação-Geral de Fiscalização e aprovado pelo Conselho Diretor. O Relatório (i) avaliará as atividades de fiscalização realizadas no ciclo de monitoramento, inclusive dos temas prioritários, apresentando indicadores e resultados; (ii) direcionará a estratégia de atuação orientativa, preventiva e repressiva e as medidas a serem adotadas, inclusive ao longo do seguinte ciclo de monitoramento; e (iii) consolidará as informações obtidas a partir de requerimentos e comunicações de incidentes, bem como de outras fontes de insumos recebidos pela Coordenação-Geral de Fiscalização.
A Resolução indica que o primeiro ciclo de monitoramento terá início a partir de janeiro de 2022.
-
Instrumentos de Orientação
Com a finalidade de promover a orientação, conscientização e educação dos agentes regulados, a ANPD elencou uma série de medidas de orientação, que não constituem sanção ao agente regulado. São eles: (i) elaboração e disponibilização de guias de boas práticas e de modelos de documentos para serem utilizados por agentes de tratamento; (ii) sugestão aos agentes regulados da realização de treinamentos e cursos; (iii) elaboração e disponibilização de ferramentas de autoavaliação de conformidade e de avaliação de riscos a serem utilizadas pelos agentes de tratamento; (iv) reconhecimento e divulgação das regras de boas práticas e de governança; e (v) recomendação de: a) utilização de padrões técnicos que facilitem o controle pelos titulares de seus dados pessoais; b) implementação de Programa de Governança em Privacidade; e c) observância de códigos de conduta e de boas práticas estabelecidas por organismos de certificação ou outra entidade responsável.
Frise-se que a ANPD poderá também adotar outras medidas e que os agentes regulados poderão sugerir a adoção das medidas de orientação listadas acima, sujeita à avaliação da ANPD.
-
Instrumentos de Prevenção
Sob o pretexto de prevenir e reconduzir o agente de tratamento à plena conformidade, de forma a evitar ou remediar situações que acarretem risco ou dano aos titulares de dados pessoais, a ANPD poderá adotar as seguintes medidas preventivas: (i) divulgação de informações; (ii) aviso; (iii) solicitação de regularização ou informe; e (iv) plano de conformidade.
A divulgação de informações consiste na divulgação de informações e dados setoriais agregados e de desempenho, como a taxa de resolução de problemas e pedidos de titulares atendidos. O aviso descreverá a situação irregular para que o agente de tratamento identifique as providências necessárias. Já a solicitação de regularização e o informe serão emitidos para que a regularização corra em um prazo determinado e para casos cuja complexidade não justifique a elaboração de um plano de conformidade, sendo o informe utilizado quando a infração decorrer de tratamento de dados pessoais por órgãos públicos. Por fim, o plano de conformidade destina-se à reversão de irregularidades mais complexas.
Destaca-se que a ANPD poderá também adotar outras medidas e que o não atendimento da solicitação de regularização ou informe ou do plano de conformidade ensejará a atuação repressiva da ANPD e será considerado um agravante em caso de instauração de processo administrativo.
-
Termo de Ajustamento de Conduta (TAC)
O interessado poderá apresentar à Coordenação-Geral de Fiscalização uma proposta de TAC, que será submetido à deliberação do Conselho Diretor. O processo administrativo será suspenso com a assinatura do TAC e, após verificado o cumprimento integral do TAC, será arquivado.
-
Multa e Requisições Individuais
Importante ressaltar que a Norma não trata sobre metodologia de cálculo de multa e nem sobre requisição de direitos individuais à ANPD pelos titulares, que serão objeto de regulamentações próprias pela ANPD.
[1] Art. 1º, §1º da Norma: “As disposições deste regulamento aplicam-se aos titulares de dados, aos agentes de tratamento, pessoas naturais ou jurídicas, de direito público ou privado e demais interessados no tratamento de dados pessoais, nos termos do art. 13.”.
[2] Atualmente, o website da ANPD estabelece que as reclamações devem ser enviadas por meio de peticionamento eletrônico pelo sistema SEI Externo. Disponível em: <https://bit.ly/3wJh7de>.
