0
0
A Lei 13.853/19, que cria a Autoridade Nacional de Proteção de Dados Pessoais (“ANPD”), foi sancionada em 8 de julho com vetos relevantes do Presidente da República. Além da criação da ANPD, foram feitas alterações importantes na Lei Geral de Proteção de Dados Pessoais (“LGPD”), com efeito prático tanto para entidades privadas como para aquelas integrantes da administração pública.
O histórico para criação da ANPD não foi simples: primeiro, pela redação original da LGPD, publicada em agosto de 2018, a autoridade era um órgão da administração indireta, abrindo oportunidade para seu funcionamento na forma de autarquia. Por vício de iniciativa – ou seja, a criação da autoridade foi proposta pelo Legislativo em vez do Executivo -, o Presidente Temer vetou a ANPD, que depois foi recriada com a MP 869/2018, em dezembro de 2018, mas como órgão da administração pública direta, vinculada à Presidência da República, e sem aumento de despesa.
Na última semana, a Lei 13.858/19 confirmou a criação da ANPD nesse formato, mas a técnica legislativa adotada é novidade – agora a natureza jurídica de órgão da Presidência é tida como transitória, cabendo ao Executivo reavaliar, em até dois anos da data de entrada em vigor da estrutura regimental da autoridade, se cabe transformá-la em entidade submetida ao chamado regime autárquico especial. Ao final desse período, caso a conversão se confirme, a ANPD fará parte do grupo de agências reguladoras.
Com a redação conferida pela nova lei, a LGPD já assegura autonomia técnica e decisória à ANPD. A importância de também garantir autonomia financeira e administrativa à ANPD se justifica pelo interesse nacional em aderir aos padrões internacionais de proteção de dados pessoais. Essa compatibilidade permite simplificar a transferência internacional de dados, impulsionando negócios entre o Brasil, União Europeia, e países com legislações similares, que exigem, como uma das hipóteses para a transferência internacional de dados pessoais, a existência de um nível de proteção equivalente entre os países.
O acordo de livre comércio anunciado recentemente entre Mercosul e a União Europeia apenas confirma a relevância de o Brasil contar com uma autoridade de dados independente, em linha com os padrões internacionais – o pacto, por exemplo, deve abrir as portas do mercado de compras públicas às empresas dos dois blocos, permitindo que empresas europeias participem de licitações brasileiras.
Assim, com a futura possibilidade de transformação da ANPD em autarquia, espera-se fortalecer a independência da Autoridade. O modelo transitório foi escolhido porque a criação de uma nova agência reguladora, agora, teria custo elevado.
Há algumas previsões que, apesar de talvez serem insuficientes para o reconhecimento de uma autoridade independente, sinalizam uma boa direção de governança. Pela redação atual da LGPD, por exemplo, os primeiros cinco diretores da ANPD terão mandatos com duração distinta e não coincidente. Além disso, agora os membros do Conselho Diretor são nomeados pelo presidente da República, mas passarão por sabatina no Senado, que deve aprovar as nomeações.
Dessa forma, mesmo antes do biênio para o Executivo avaliar a conversão da natureza jurídica da ANPD, nota-se a aproximação de algumas regras da autoridade de dados com agências reguladoras, em linha com a Lei 9.986/00, recentemente alterada pela Lei 13.848/19.
A exemplo da recente Lei Geral das Agências Reguladoras, de junho deste ano, a LGPD prevê que a edição de normas da ANPD deve ser precedida de consulta e audiência públicas, bem como análise de impacto regulatório. No mesmo sentido, espera-se que, na ANPD, as reuniões deliberativas do Conselho Diretor também sejam públicas e gravadas em meio eletrônico, com pauta divulgada no site da Autoridade com antecedência mínima de três dias úteis. Esses são movimentos que, além de caminharem para uma futura conversão da ANPD em autarquia, reforçam uma relevante missão pedagógica que a Autoridade vai ter nos próximos anos.
É que o tratamento conferido à ANPD deve ser compatível com as atribuições da Autoridade. Com o período de vacância da LGPD ampliado de 18 meses para 24 meses, as empresas têm até agosto de 2020 para se preparar. Se a experiência do Regulamento Geral de União Europeia já nos permite extrair alguma lição, é que a data da entrada em vigor da LGPD deve ser compreendida como ponto de partida, e não linha de chegada.
Para auxiliar o mercado na correta adesão à LGPD dentro desse período de adequação, espera-se que a ANPD divulgue orientações quanto à melhor aplicação e interpretação de alguns dispositivos da Lei que ainda geram dúvidas – e.g., limites da responsabilidade do encarregado de dados e hipóteses de sua dispensa; critérios para aplicação do legitimo interesse do controlador de dados como base jurídica para tratamento de dados pessoais; e metodologias que orientarão o cálculo do valor-base das sanções de multa.
A LGPD confere à ANPD um conjunto de funções regulatórias, sancionadoras e normativas. Na prática, isso significa que a aplicação de penalidades não é a única atuação prevista para a ANPD. Espera-se dela, ao lado da composição multissetorial do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, o desenvolvimento de uma cultura de dados para conferir segurança jurídica e educar os agentes do mercado que hoje atuam em uma economia global, em que o tratamento massivo de dados pessoais é um de seus principais insumos.
Em meio às incertezas que a lei suscitará, a ANPD terá a oportunidade de harmonizar a aplicação da LGPD. É natural que o Judiciário venha ser chamado a dirimir alguns conflitos, mas caberá à ANPD, que deve ser muito requisitada nos primeiros meses após a sua constituição, ser a primeira intérprete administrativa das novas regras. Esses são os primeiros passos para a ANPD se tornar uma autoridade independente e a LGPD atingir seus objetivos.