No último dia 27, o governo publicou a portaria com a chamada agenda regulatória da Autoridade Nacional de Proteção de Dados (ANPD) até 2022. Em outras palavras, a norma lista os assuntos que serão discutidos pelo grupo até o fim do ano que vem.
De acordo com a portaria, o início da discussão dos temas prioritários foram divididos em três fases. Na primeira, estão os assuntos que serão analisados já neste primeiro semestre. Na segunda etapa, foram incluídos aqueles que entrarão em debate em até 1 ano e 6 meses. Por fim, na etapa 3, foram incluídos os assuntos que somente serão discutidos em até dois anos.
A portaria, no entanto, não descarta a possibilidade de que outros assuntos possam entram na agenda regulatória de maneira emergencial. A seguir, veja os assuntos e suas respectivas fases.
Fase 1
Regime interno – O primeiro passo da Autoridade é criar o regimento interno. Nele, vão constar o passo-a-passo para a realização dos debates sobre proteção de dados, etapas para a aplicação de multas e outras sanções, definição de participantes e muitos outros assuntos. A previsão é que regimento começará a ser produzido ainda neste primeiro semestre.
Planejamento estratégico – Definido o regimento, a Autoridade vai discutir o planejamento estratégico para o período até 2023. Nele, serão incluídos os objetivos a serem alcançados pela ANPD e os seus respectivos prazos e as ações estratégicas vinculadas. O assunto será discutido no primeiro semestre de 2021.
Tratamento de dados de pequenas e médias empresas, startups e pessoas físicas para fins econômicos – A ideia é discutir regras excepcionais para o tratamento de dados feita por pessoas físicas e empresas de pequeno e médio porte (PMEs) que utilizam dados para fins econômicos. O tema é importantíssimo: hoje, segundo um recente levantamento da empresa Resultados Digitais, apenas 4% das empresas PMEs estão adaptadas a LGPD. A expectativa é iniciar o debate no primeiro semestre deste ano.
Definição de regras para as sanções – A Autoridade vai discutir a criação de critérios e regras para a aplicação de sanções administrativas a infrações da referida lei, além de metodologias que orientarão o cálculo do valor-base das sanções de multa. A regulamentação também estabelecerá as circunstâncias e as condições para a adoção de multa. Debate previsto para o primeiro semestre deste ano.
Comunicação de incidentes e prazo de notificação – A Lei Geral de Proteção de Dados exige que todo o vazamento de dados pessoais seja comunicado à Autoridade. Segundo a norma, o controlador deverá comunicar à Autoridade e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Embora a norma estabeleça critérios mínimos, é preciso que a ANPD regulamente alguns itens, como prazo, e defina o formulário e a melhor forma de encaminhamento das informações. O debate deverá ocorrer ainda no primeiro semestre.
Relatório de Impacto à Proteção de Dados Pessoais – É um documento que comunica sobre qualquer operação que envolva o tratamento de dados pessoais que possa gerar riscos às liberdades civis e aos direitos fundamentais, ou ainda deverá ser realizada a descrição dos processos para mitigação de riscos e responsabilidade.
De acordo com a LGPD, a Autoridade é responsável por editar regulamentos sobre os relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais. O tema entra na pauta no primeiro semestre deste ano.
Fase 2
Encarregado de proteção de dados pessoais – O encarregado de proteção de dados pessoais é o responsável pelo tratamento de dados dentro de uma empresa, governo e demais instituições. A LGPD prevê que a Autoridade poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
Transferência Internacional de Dados Pessoais – É a possibilidade de transferir dados pessoais para outro país, desde que a outra nação tenha uma proteção de dados “adequada”. A LGPD prevê que o nível de proteção de dados do país estrangeiro ou do organismo internacional poderá ser avaliado pela ANPD, o que, em tese, poderia levar a uma autorização ou não da transferência de dados pessoais. Além disso, a Autoridade poderá definir critérios ou padrões mínimos de cláusulas contratuais para a transferência de informações pessoais. O tema começará a ser discutido no primeiro semestre de 2022.
Fase 3
Direitos dos titulares de dados pessoais – O texto atual da LGPD lista os direitos dos titulares de dados pessoas. No entanto, é consenso entre juristas que há pontos não tão claros. O objetivo é que a Autoridade estabeleça regulações específicas sobre esse direito, limitados aos artigos 9º, 18, 20 e 23. Debate começa no primeiro semestre de 2022.
Hipóteses legais de tratamento de dados pessoais – Um dos debates mais importantes sobre a proteção de dados. A Autoridade deverá produzir um documento orientando o público sobre as bases e hipóteses legais de aplicação da LGPD sobre diversos temas, incluindo as hipóteses legais descritas no art. 7º mas não restritas a ele. Um dos assuntos que vem chamando a atenção é a definição do que a lei chama de “legítimo interesse” de uma empresa, governo ou outras instituições tratarem os dados pessoas de terceiros. A ANPD deverá definir um significado específico para o tema. Previsto para o segundo semestre de 2022.
+ Notícias
Apple vai proibir o compartilhamento de dados. E alfineta o Facebook
