Postergação da vigência da LGPD: um remédio necessário?

A Lei Geral de Proteção de Dados (Lei n. 13.709/2018), em seu artigo 65, previu como marco temporal para o início de sua vigência: (i) o dia 28 de dezembro de 2018, no tocante aos artigos que dispõem sobre as funções e a estrutura da Autoridade Nacional de Proteção de Dados (ANPD); e (ii) 24 meses após a data da publicação da Lei, ocorrida em agosto de 2018, com relação aos demais dispositivos.

O cenário, no entanto, foi recentemente alterado, a partir da publicação da Medida Provisória n. 959/2020, em 29 de abril de 2020, que, em seu artigo 4º, ampliou a vacatio legis da LGPD para 3 de maio de 2021.

A medida, em verdade, já era objeto de discussão em outras inúmeras propostas legislativas semelhantes, datadas de antes mesmo da eclosão da pandemia do novo coronavírus.

Em primeiro, o PL 5.762/2019[i], de autoria do Deputado Federal Carlos Bezerra, estabeleceu o início da data de vigência da LGPD para 15 de agosto de 2022, baseando-se, sobretudo, em pesquisas que atestaram a baixa adesão das empresas às regras dispostas na normativa. O projeto também apontou as dificuldades e os custos envolvidos na implementação dos sistemas de segurança da informação e de proteção de dados pessoais, destacando, também, que o governo federal não criou a ANPD, entidade governamental que deverá nortear e validar a implementação dos sistemas de compliance em matéria de dados pessoais. No mesmo sentido é o PL 1.027/2020[ii], do Senador Otto de Alencar, que, com razões similares, pretende a postergação da vigência para 22 de fevereiro de 2022.

Em segundo, com intento de alteração legislativa um pouco distinto — mas ainda defendendo o marco originário de vigência da LGPD —, o PL 6.149/2019[iii], de autoria do Deputado Federal Mário Heringer, apresenta sugestão de progressividade temporal no enforcement punitivo da Lei. Em outras palavras, a moção estabelece um critério de progressão no regime de definição do valor da multa, que atingiria 100% do limite previsto no artigo 52 somente em agosto de 2022. Deste modo, a prorrogação da LGPD não seria necessária, mas tão somente a formatação das sanções regulatórias seria reajustada.

Por fim, em terceiro, conciliando interesses e propostas debruçados sobre a matéria, o PL 1.179 de 2020[iv] (doravante RJET), propõe, em seu artigo 25[v], que a vigência da LGPD ocorra em 1º de janeiro de 2021 e o capítulo relativo às sanções alcance eficácia jurídica somente em agosto de 2021, ou seja, um ano além do inicialmente previsto.

A alteração trazida pela MP n. 959/2020 — já bastante debatida nas casas legislativas, em razão dos inúmeros projetos de lei acima citados — insere-se neste movimento. Não se nega a importância e a urgência da proteção de dados pessoais, sobretudo diante do protagonismo da tecnologia em tempos de isolamento social, ou do uso de informações pessoais em contextos de manipulação eleitoral. Contudo, a profunda crise econômica[vi] e social gerada pela pandemia, a ausência de criação da ANPD, e, ainda, a necessidade urgente de canalizar recursos do setor privado para manutenção de empregos são fatores que redesenharam o cenário nacional.

No entanto, se a intenção do governo federal com a MP 959/2020 é, por um lado, legítima, por outro, atropela todo o debate das casas legislativas — principalmente aquele ocorrido no bojo do RJET, recentemente aprovado pelo Senado. Além disso, a MP peca ao permanecer inerte quanto à criação da ANPD e, ainda, gera inexorável insegurança jurídica, pois, caso não seja aprovada em até 120 dias (60 prorrogável por mais 60[vii]), perderá eficácia e, consequentemente, será restabelecido o prazo de vigência originariamente previsto na LGPD (agosto de 2020).

Por fim, o texto da MP, diferentemente da proposta estampada no RJET, deixa de criar uma lacuna temporal adequada entre a eficácia jurídica dos direitos e garantias previstos na LGPD e a efetiva aplicação das rígidas sanções por ela trazidas. Na Califórnia, nos Estados Unidos, o Consumer Privacy Act (normativa que disciplina a proteção de dados pessoais naquele estado), já se encontra vigente desde janeiro deste ano, mas a fiscalização — ou enforcement, de modo geral — permanece suspensa. Há, inclusive, pressão do setor privado para manutenção desta suspensão enquanto perdurar a atual crise epidemiológica[viii]. Esta segmentação entre os prazos é altamente recomendável, sobretudo para que haja um período de compreensão e implementação adequada da lei pelo setor privado, contanto com a cooperação efetiva da ANPD.  

Assim, é certo que a MP 959/2020, a despeito da sua aparente boa intenção, se apresenta como um remédio inadequado, destemperado, e em desalinho com toda a discussão já promovida nas casas legislativas, sendo potencialmente apto a gerar insegurança jurídica. O governo, em verdade, deveria canalizar seus esforços para a criação da ANPD e para incentivar a aprovação do RJET na Câmara dos Deputados, fomentando a discussão sobre o tema e a assimilação, pelo setor privado, da proteção de dados pessoais como um mecanismo gerador de vantagem competitiva no mercado.