Governo Temer publica MP criando a autoridade nacional de proteção de dados

Ao apagar das luzes da administração Temer, o governo publicou nesta sexta-feira, 28 de dezembro, no Diário Oficial da União, a Medida Provisória 869 que cria a Autoridade Nacional de Proteção de Dados (ANPD).

O texto foi bem recebido pelo setor empresarial, e alvo de sérias críticas por parte de advogados e estudiosos do tema. Entre as principais decisões estão aquelas que alteram as competências da ANPD em comparação com o texto dos artigos vetados por Temer na LGPD; de que o mandato dos 5 diretores será de 4 anos; e de que a ANPD será composta por 6 departamentos. Mas o que chamou mais atenção foi o aumento do vacatio legis para 24 meses, e não mais 18. O que adia a entrada em vigor da LGPD para agosto de 2020. Antes, era fevereiro de 2020.

Além disso, a MP modifica outros artigos da LGPD para ampliar o seu escopo de atuação e, na opinião de muitos, reduzir a transparência, especialmente quando do compartilhamento de dados entre os setores público e privado. Também muda a figura do Data Protection Officer (o DPO), ao dizer que ele não precisa mais ser uma pessoa. O cargo agora pode ser delegado à uma empresa, um comitê ou a um grupo de trabalho, segundo algumas interpretações.

O texto da MP é praticamente igual ao de um rascunho que chegou a circular em grupos de discussão do WhatsApp desde o início da tarde da quinta-feira, 27 de dezembro. O que reforça a tese de que o rascunho foi vazado propositadamente, como balão de ensaio, com a intenção de saber a reação do mercado.

O que é semelhante nos dois textos? Em ambos a ANPD é criada como um órgão vinculado à Presidência da República, com "autonomia técnica", nos moldes do Instituto Nacional de Tecnologia da Informação (ITI), uma autarquia federal vinculada à Casa Civil.

A ANPD será liderada por cinco diretores-conselheiros nomeados pela Presidência para mandatos fixos. Não está prevista sabatina dos indicados no Congresso.

Portanto, embora nominalmente autônoma, a Presidência da República mantém forte poder sobre a ANDP: além de poder nomear os diretores sem aval do Senado, o Presidente pode decidir sobre afastamentos cautelares e julgamentos administrativos.

Compete à ANPD:

"I – zelar pela proteção dos dados pessoais;

II – editar normas e procedimentos sobre a proteção de dados pessoais;

III – deliberar, na esfera administrativa, sobre a interpretação desta Lei, suas competências e os casos omissos;

IV – requisitar informações, a qualquer momento, aos controladores e operadores de dados pessoais que realizem operações de tratamento de dados pessoais;

V – implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com esta Lei;

VI – fiscalizar e aplicar sanções na hipótese de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;

VII – comunicar às autoridades competentes as infrações penais das quais tiver conhecimento;

VIII – comunicar aos órgãos de controle interno o descumprimento do disposto nesta Lei praticado por órgãos e entidades da administração pública federal;

IX – difundir na sociedade o conhecimento sobre as normas e as políticas públicas de proteção de dados pessoais e sobre as medidas de segurança;

X – estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle e proteção dos titulares sobre seus dados pessoais, consideradas as especificidades das atividades e o porte dos controladores;

XI – elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade;

XII – promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional;

XIII – realizar consultas públicas para colher sugestões sobre temas de relevante interesse público na área de atuação da ANPD;

XIV – realizar, previamente à edição de resoluções, a oitiva de entidades ou órgãos da administração pública que sejam responsáveis pela regulação de setores específicos da atividade econômica;

XV – articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação; e

XVI – elaborar relatórios de gestão anuais acerca de suas atividades.

§ 1º A ANPD, na edição de suas normas, deverá observar a exigência de mínima intervenção, assegurados os fundamentos e os princípios previstos nesta Lei e o disposto no art. 170 da Constituição.

§ 2º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas correspondentes esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma desta Lei.

§ 3º A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública que sejam responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD.

§ 4º No exercício das competências de que trata o caput, a autoridade competente deverá zelar pela preservação do segredo empresarial e do sigilo das informações, nos termos da lei, sob pena de responsabilidade.

§ 5º As reclamações colhidas conforme o disposto no inciso V do caput poderão ser analisadas de forma agregada e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada." (NR)

"Art. 55-K. A aplicação das sanções previstas nesta Lei compete exclusivamente à ANPD, cujas demais competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública."

Além disso, a ANPD articulará sua atuação com o Sistema Nacional de Defesa do Consumidor do Ministério da Justiça e com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais, e será o órgão central de interpretação desta Lei e do estabelecimento de normas e diretrizes para a sua implementação."

Em ambos os textos é criado também o Conselho Nacional de Proteção de Dados formado por 23 membros da sociedade civil, poder público e empresas. Serão 6 representantes do Poder Executivo; 1 do Senado; 1 da Câmara; 1 do Conselho Nacional de Justiça; 1 do Conselho Nacional do Ministério Público; 1 do Comitê Gestor da Internet no Brasil; 4 de entidades da sociedade civil com atuação comprovada em proteção de dados pessoais; 4 de instituições científicas, tecnológicas e de inovação; e 4 de entidades representativas do setor empresarial relacionado à área de tratamento de dados pessoais.

Como disse antes, embora o setor empresarial não tenha chegado a comemorar a edição da MP, alguns de seus integrantes gostaram de sua publicação. "Já é um começo… melhor que terminar o ano sem nada", me disse uma fonte. "Por conhecer de perto os desafios e prioridades do executivo, creio que foi o melhor que poderíamos conseguir. Saímos no lucro. Agora é tentar manter a coesão entre os setores da sociedade para arredondar o texto e aprovar antes que caduque", completou.

Na academia, a avaliação é a de que os que saúdam a MP "apenas estão vendo a curto prazo os problemas que virão". "A minha posição não é a de ficar feliz com a MP. É hora de apontar os problemas, que não são poucos, e são graves, embora haja varias coisas muito boas no texto", me disse uma fonte da área acadêmica.

Essa fonte gostou, por exemplo, do trecho que diz:

§ 5o As reclamações colhidas conforme o disposto no inciso V do caput poderão ser analisadas de forma agregada e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada."
"Art. 55-K. A aplicação das sanções previstas nesta Lei compete exclusivamente à ANPD, cujas demais competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.
Parágrafo único. A ANPD articulará sua atuação com o Sistema Nacional de Defesa do Consumidor do Ministério da Justiça e com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais, e será o órgão central de interpretação desta Lei e do estabelecimento de normas e diretrizes para a sua implementação."

A MP entra em vigor no data de hoje, 28 de dezembro, mas tem 120 dias para ser aprovada pelo Congresso. O que significa que sua apreciação caberá já à nova composição do Legislativo. O prazo para proposição de emendas já está correndo, embora a apresentação só possa ocorrer entre os dia 4 e 11 de fevereiro de 2019. A sorte está lançada.

Tem mais….

Além da MP, foi publicada hoje no DOU a Lei nº 13.787, de 27 de dezembro de 2018, que dispõe sobre a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Logo no primeiro artigo, seu texto cita a LGPD:

Art. 1º A digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente são regidas por esta Lei e pela Lei nº 13.709, de 14 de agosto de 2018.