Efeitos e implicações da primeira Resolução da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) editou sua primeira resolução que dispõe sobre os modos de atuação do órgão e introduz conceitos inéditos ao universo brasileira da proteção de dados, tendo como público-alvo os agentes de tratamento, os titulares de dados e demais interessados no tratamento de dados pessoais.

A Resolução da ANPD CD/ANPD 1 de 2021, publicada em 28 de outubro, causou impactos profundos e significativos às atividades de tratamento de dados pessoais pelas empresas que atuam no Brasil, pois, com a referida norma, é imprescindível que as empresas estejam plenamente cientes de suas obrigações e das novas concepções apresentadas pela resolução.

A norma aborda a metodologia do processo fiscalizatório, suas diretrizes e regras, e cria dois instrumentos de suporte à aplicação da Lei Geral de Proteção de Dados (LGPD). São estabelecidas, também, regras no que tange a análise dos requerimentos dos titulares de dados e as diversas modalidades de atuação da ANPD durante a execução do que lhe compete.

Em primeira análise, a ANPD iniciará o processo fiscalizatório de ofício ou a requerimento do titular de dados. Através de auditorias, a ANPD acompanhará de perto todo os procedimentos de segurança da informação adotados pela empresa, identificando riscos e orientando o agente às boas práticas. O acompanhamento da auditoria poderá ser realizado através do acesso às instalações, equipamentos, aplicativos, documentos e demais recursos tecnológicos dos agentes de tratamento, sabendo sigilo às informações que tratem sobre a atividade empresarial, financeira e contábil.

O início do processo fiscalizatório pela ANPD será comunicado através de intimação endereçada ao agente regulado. Contudo, há lacunas deixadas pela novel legislação no que diz respeito ao meio de encaminhamento da intimação, em razão da forma genérica ao mencionar que o documento será encaminhado por meios digitais, pelo que deixa de mencionar a existência ou criação de um domicílio eletrônico para tanto.

A resolução elenca quatro etapas a atuação da ANPD:

1. Atividade de monitoramento: período por meio do qual serão levantadas informações acerca do tratamento;

2. Atividade de orientação: fase em que a autoridade confeccionará material educativo e notas de conscientização sobre a proteção de dados pessoais;

3. Atividade preventiva: momento em que a autoridade reconduz o agente de tratamento à conformidade; e

4. atividade repressiva: oportunidade em que já existem indícios de violação à LGPD, podendo a empresa sofrer processo administrativo sancionatório, auto de infração, interrupção do tratamento e demais punições aplicáveis ao caso específico.

No que tange os instrumentos de suporte à fiscalização, o primeiro se chama Relatório de Ciclo de Monitoramento. É um mecanismo de prestação de contas e planejamento da atividade de monitoramento da ANPS. Por meio desse instrumento, a autoridade avaliará as atividades da empresa dentro de um ciclo de monitoramento, fundamentado em indicadores concretos e resultados obtidos em momento anterior. Após, direcionará estratégias e diretrizes da sua atuação, pelo que direcionará a consolidação das informações obtidas através de requerimentos e comunicações. Tal relatório será objeto de deliberação da Coordenação-Geral de Fiscalização (CGF), ao final de cada ciclo, sendo o primeiro em janeiro de 2022.

Nesse espeque, a resolução revela a figura do mapa de Temas Prioritários. Por duas vezes ao ano, tal instrumento estabelecerá temas prioritários da ANPD para fins de estudo e planejamento da atividade fiscalizatória futura. Também elaborado pela CGF, este dependerá da aprovação pelo Conselho Direito da ANPD.

Sobre as modalidades de atuação da ANPD, a norma determina que o órgão agirá de forma orientativa, emitindo cartilhas de boas práticas, modelos de documentos, sugestões de treinamento e cursos, padrões técnicos de segurança de dados, programas de governança e ferramentas de tratamento.

A atuação preventiva, segundo a resolução, ocorrerá através da divulgação de informações relativas às taxas de resolução de problemas e atendimento das solicitações pelos titulares dos dados, à comunicação sobre as providências necessárias a serem tomadas pelos agentes de tratamento e à regularização e informes para situações menos complexas e de fácil resolução.

Todavia, para problemas mais complexos, a ANPS poderá exigir a elaboração de um plano de conformidade, que consistirá na descrição do objeto, ações e prazos para reversão da situação indicada. O descumprimento das condições e prazos estabelecidos em tal plano resultará na instauração de processo administrativo.

Por fim, a norma prevê a existência de duas instâncias do processo administrativo sancionatório: (i) a primeira é composta pela Coordenação Geral de Fiscalização, que poderá instaurar processo administrativo de ofício, em decorrência de algum ato identificado durante o processo de monitoramento, ou mediante requerimento do titular de dados; (ii) apresentada defesa em dez dias úteis após o recebimento da intimação e após decisão proferida pela CGF, o agente poderá interpor recurso endereçado ao próprio órgão, no prazo de dez dias úteis a contar do recebimento da intimação da decisão, pleo que será julgado pelo Conselho Diretos, instância máxima do processo administrativo de competência da ANPD. Caso decida pelo não provimento do recurso, as penalidades impostas deverão ser cumpridas no prazo assinalado na decisão, sob pena de inscrição em dívida ativa da união.

Portanto, é essencial que as empresas possuam assessoria especializada e diligente para assegurar a completa conformidade legal dos procedimentos de tratamento de dados pessoais e garantir a correta análise dos desdobramentos originários da resolução mencionada.

Quer saber mais sobre LGPD? Entre em contato conosco.