Confira os pontos essenciais dos principais materiais orientativos publicados pela ANPD.
A Autoridade Nacional de Proteção de Dados (“ANPD”), foi criada pela Lei nº 13.853/2019 e passou a atuar oficialmente em agosto de 2020, desempenhando um papel fundamental na regulamentação e fiscalização da Lei Geral de Proteção de Dados Pessoais (“LGPD”, Lei nº 13.709/2018), sendo responsável pela aplicação de sanções e por orientar empresas e organizações sobre as melhores
práticas para o tratamento de dados pessoais.
Nesse sentido, a ANPD já abriu diversas consultas públicas para ouvir a sociedade sobre temas que serão regulamentados e publicou alguns guias e relatórios para auxiliar titulares e agentes de tratamento na compreensão e aplicação da LGPD. Abaixo você encontra os pontos essenciais dos principais materiais orientativos publicados pela ANPD até a data de hoje:
- Guia Orientativo de Cookies e Proteção de Dados
A ANPD divulgou um guia orientativo sobre cookies e proteção de dados, apresentando diversas orientações sobre sua utilização na prática. O principal ponto de preocupação, porém, é o entendimento de que o consentimento seria a base legal mais adequada para o uso de cookies não-essenciais, especialmente para publicidade.
Ao se inspirar no Regulamento Geral de Proteção de Dados da União Europeia (“GDPR”), a ANPD parece ter ignorado que, na Europa, a obrigatoriedade da coleta de consentimento para a utilização de cookies não-essenciais decorre de uma determinação expressa do Artigo 5.3 da ePrivacy Directive, pelo qual é obrigatório obter consentimento do usuário para armazenar ou acessar dados armazenados em seu dispositivo. Porém, não há norma equivalente a essa na legislação brasileira, de forma que esse entendimento do Guia nos parece equivocado e questionável.
Embora este guia não tenha força normativa, ele naturalmente serve como referência para o entendimento da ANPD em relação ao assunto e dá indícios de como a autoridade aplicará a LGPD em futuras situações, ainda que seja passível de atualizações e correções. Nesse contexto, entendemos que este trecho do guia deve sofrer alteração, já que sua fundamentação nos parece insustentável. - Guia orientativo para definição dos agentes de tratamento de dados pessoais e do encarregado
A ANPD divulgou um guia orientativo que traz novidades para a definição dos agentes de tratamento de dados pessoais e do encarregado, previstos na LGPD. O documento esclarece que a figura do encarregado pode ser exercida por pessoa natural ou jurídica, independentemente de formação específica, desde que possua as habilidades necessárias para desempenhar a função, e deixa claro que a responsabilidade pelo tratamento é sempre do agente de tratamento (empresa ou entidade) e não do encarregado. A ANPD recomenda que as empresas estabeleçam critérios para designação do encarregado, como experiência prévia em proteção de dados e conhecimento das atividades da organização.
Um ponto de atenção no guia é o conceito de controladoria conjunta – algo que não existe na LGPD. A ANPD esclarece que, se três requisitos estiverem presentes simultaneamente, será caracterizada a controladoria conjunta: a) mais de um controlador possui poder de decisão sobre o tratamento de dados pessoais; b) há interesse mútuo de dois ou mais controladores, com base em finalidades próprias, sobre um mesmo tratamento; e c) dois ou mais controladores tomam decisões comuns ou convergentes sobre as finalidades e elementos essenciais do tratamento.
Vale recordar que controladores conjuntos têm responsabilidade solidária, sendo necessária uma análise cuidadosa para entender se os três requisitos destacados pela ANPD estarão de fato presentes no contexto da atividade de tratamento. - Estudo Preliminar – Hipóteses legais aplicáveis ao tratamento de dados pessoais de crianças e adolescentes
A ANPD elaborou estudo preliminar a respeito das hipóteses legais aplicáveis ao tratamento de dados pessoais de crianças e adolescentes. Um dos principais pontos positivos é a sinalização de que, embora a base legal mais comum para o tratamento de dados pessoais de crianças seja o consentimento, essa não seria a única possibilidade: o documento aponta que outras bases legais seriam igualmente aplicáveis, desde que observado o melhor interesse do menor, conforme cada caso concreto.
Esse entendimento reforça o Enunciado 684 do Conselho da Justiça Federal, pelo qual “o art. 14 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) não exclui a aplicação das demais bases legais, se cabíveis, observado o melhor interesse da criança”. Esperamos que a ANPD confirme essa interpretação em regulamentação futura. Por sua importância e detalhamento, o Regulamento sobre Dosimetria e Aplicação de Sanções Administrativas é analisado em post separado.