Após idas e vindas, a Autoridade Nacional de Proteção de Dados (ANPD) foi formalmente instituída em 06/11/2020, por meio da Lei nº 13.853. Na formalização da criação da ANPD, também houve a nomeação e posse de seus cinco diretores.
Com a instalação da autoridade, o início de 2021 foi marcado pela publicação da Agenda Regulatória para o biênio 2021-2022, por meio da Portaria nº 11. O documento contém dez projetos prioritários, bem como os meios que a ANPD pretende adotar para materializar a regulamentação dos temas.
Em fevereiro de 2021, por meio da Coordenação-Geral de Normatização, a ANPD complementou o planejamento da agenda regulatória com a publicação do Relatório Semestral de Acompanhamento, uma espécie de cronograma dos projetos. O cronograma está dividido em três fases:
- Fase um (1º/2021 e 2º/2021): iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 1 ano
- Fase dois (1º/2022): iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 1 ano e 6 meses - em andamento
- Fase três (2º/2022): iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 2 anos - não iniciado
Dentre as publicações e regulamentações realizadas pela ANPD até o momento, destacam-se:
- Os guias orientativos sobre temas como agentes de tratamento e o encarregado;
- A flexibilização da aplicação de determinados dispositivos da LGPD para agentes de pequeno porte, por meio da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022;
- Guia orientativo aplicação da Lei Geral De Proteção De Dados Pessoais (LGPD) por agentes de tratamento no contexto eleitoral;
- Guia orientativo sobre tratamento de dados pessoais pelo poder público.
Em 2022, a ANPD começará o processo de regulamentação de temas como: a metodologia das sanções administrativas a infrações, comunicação de incidentes e especificação do prazo de notificação e hipóteses de bases legais de tratamento e transferência internacional de dados.
A atuação da ANPD cumpre um papel importante de nortear certos entendimentos sobre a aplicação da lei, mas não é a única que dita as correntes regulatórias do tema. Por se tratar de uma política pública transversal, isto é, que busca regular diferentes atividades econômicas no âmbito do setor privado e público, a própria LGPD reconhece e estimula o papel dos atores regulados em verticalizar tais normas gerais às particularidades e à realidade do seu respectivo setor.
Os atores regulados, assim, podem ditar as correntes de enforcement de seus respectivos setores por meio da participação na construção de provimentos, resoluções e outras medidas regulatórias.
Nesse sentido, vale destacar que o caráter multissetorial regulatório que marcou a jornada legislativa da LGPD, combinado com o quebra-cabeças de dispositivos que regula a privacidade e a proteção de dados no Brasil, já formou entendimentos e casos emblemáticos nacionais que podem apoiar a participação dos regulados em 2022.
Um deles é o caso IBGE, que foi um divisor de águas no entendimento da sobre proteção de dados pessoais, tendo em vista suas repercussões e desdobramentos. A Medida Provisória 954/2020 foi editada para viabilizar a Pesquisa Nacional por Amostragem de Domicílios (PNAD), conduzida pelo IBGE, durante o período de pandemia, considerando os riscos de se conduzir a pesquisa de forma presencial. A solução pensada pelo governo foi a obtenção de dados pessoais de consumidores de serviços de telecomunicações para operacionalizar a pesquisa de forma remota.
A constitucionalidade da medida foi atacada por cinco Ações Diretas de Inconstitucionalidade (ADIs): 6387, 6388, 6389, 6390 e 6393. Em seu pedido de medida cautelar, o Conselho Federal da OAB, cuja ação foi eleita a principal, ressalta a relevância dos direitos constitucionais à autodeterminação informativa, à dignidade da pessoa humana, à privacidade, à intimidade e à proteção de dados pessoais. A ministra Rosa Weber, relatora dos processos, deferiu a liminar pleiteada pelas partes autoras e, posteriormente, com quase unanimidade dos votos, a MP 945 teve sua eficácia suspensa.
A importância desse caso em específico deu-se por diversos entendimentos proferidos pelos ministros, como a indispensabilidade do devido processo informacional, a necessidade de observância de salvaguardas no tratamento de dados pessoais e a necessidade de elaboração de Relatório de Impacto anterior à coleta e uso dos dados. Neste caso, podemos notar claramente a atuação da sociedade civil em prol da defesa das salvaguardas e dos direitos alusivos à privacidade e à proteção de dados, de maneira a cooptar inclusive vários setores e convergirem a um propósito comum.
Outro caso relevante é o caso WhatsApp. Em janeiro de 2021, o WhatsApp notificou seus usuários sobre as alterações em sua Política de Privacidade e em seus Termos de Serviço. As alterações focam na integração com o WhatsApp Business, além do compartilhamento de dados com o grupo Facebook. A grande questão foi que a atualização não foi opcional: os usuários aceitavam ou eram obrigados a deixar o aplicativo. A companhia não assegurou, portanto, o direito de oposição (opt out).
Foi então que, em maio de 2021, o quarteto MPF, ANPD, CADE e Senacon se posicionou em conjunto diante da potencial violação pelo WhatsApp. A cooperação interinstitucional resultou em uma recomendação que solicitou o adiamento da política enquanto não fossem adotadas as recomendações sugeridas após as devidas análises dos órgãos reguladores.
A atuação da ANPD em conjunto com outras autoridades no caso demonstra o potencial da autoridade, além de ressaltar a ideia de que o Brasil conta com uma cadeia multissetorial atuante na área de proteção de dados pessoais e privacidade.
Diante dessa multiplicidade de legislações e atores regulatórios, a previsão de uma agenda para 2022 não deve se resumir à ANPD — o desenho do cenário regulatório de 2022 deve ser feito de forma multissetorial e multi-institucional, visto que postura da ANPD neste primeiro biênio foca na conciliação da adequação da LGPD, visando facilitar o processo de conformidade dos regulados.
Assim, o foco de 2022 não deve ser no sentido de negar a lógica da LGPD como barreira regulatória e sim optar pela narrativa de vê-la como oportunidade de inovação.
Em consonância com a jornada legislativa da LGPD, a caminhada jurídico-regulatória tem potencial de gerar entendimentos ricos, e deve contar com a participação ativa de todos os setores com potencial para contribuir com sua aplicação.