A vigência da LGPD e o desafio de adequação no Brasil e do Brasil

A entrada em vigor da Lei Geral de Proteção de Dados (LGPD) na última sexta feira (18/9) consolidou a necessidade de adequação de empresas e órgãos públicos à proteção de dados pessoais. Muito se fala sobre essa adequação. Contudo, existe outra adequação da qual não se pode esquecer: a adequação do Brasil à proteção de dados para transferências internacionais.

As decisões sobre a adequação de países são tomadas pela Comissão Europeia. Nos termos do artigo 45º, 2., GDPR, elas levam em consideração: "O primado do Estado de direito, o respeito pelos direitos humanos e liberdades fundamentais, a legislação pertinente em vigor, tanto a geral como a setorial, nomeadamente em matéria de segurança pública, defesa, segurança nacional e direito penal, e respeitante ao acesso das autoridades públicas a dados pessoais" e a aplicação dessas regras. O Brasil tem proteção constitucional da privacidade (vida privada — artigo 5º, X) e do sigilo das comunicações (artigo 5º, XII) [1], além da garantia de habeas data (artigo 5º, LXXII, e Lei nº 9.507/97) e constituiu comissão de juristas para apresentar projeto de lei sobre tratamento de dados pessoais em matéria de segurança pública e defesa nacional, temas que ficaram fora do escopo da LGPD [2]. São considerados também compromissos internacionais assumidos sobre proteção de dados pessoais. Refere-se aqui à Convenção 108 sobre proteção de dados (1981), da qual o Brasil está como observador desde outubro de 2018 [3], fator também relevante para o ingresso como membro da OCDE.

Resta ainda um requisito a ser considerado: a "existência e o efetivo funcionamento de uma ou mais autoridades de controle independentes", é dizer, a existência e o efetivo funcionamento da Autoridade Nacional de Proteção de Dados (ANPD). Nesse ponto, a entrada em vigor da lei contrasta com a ausência da autoridade. Durante o período de vacatio da lei, o desenho institucional e as normas sobre a Autoridade passaram por diversas alterações. Ao final, a Lei nº 13.853/2019 transformou a ANPD em órgão da administração pública federal com natureza jurídica transitória (artigo 55-A, §1º) e autonomia técnica e decisória (artigo 55-B); a Lei nº 14.010/20 postergou a vigência dos artigos referentes às sanções administrativas aplicadas em competência exclusiva da Autoridade (artigo 55-K) e sua regulamentação foi estabelecida apenas pelo Decreto nº 10.474/20, no mesmo dia em que a vigência da lei era votada na Câmara dos Deputados. A ausência da ANPD foi sentida especialmente em razão da falta de regulamentação sobre questões importantes da LGPD, como prazos para atendimento dos requerimentos dos titulares, a disciplina da base legal de dados pessoais, normas específicas para microempresas e empresas de pequeno porte, ou a regulamentação sobre transferências internacionais e seus instrumentos.

Outro desafio é a formatação da autonomia técnica e decisória da ANPD, que será comparada com os termos de independência estabelecidos pela União Europeia e considerados para decisão de adequação. Para o regulamento europeu (artigo 52º), independência significa independência nas atribuições; não estar sujeito a influências externas, diretas ou indiretas no desempenho de suas funções; não solicitar ou receber instruções; que seus membros não exerçam atividades incompatíveis; dispor de recursos humanos, técnicos e financeiros, instalações e infraestruturas necessários para o exercício de suas atribuições; selecionar e dispor de seu próprio pessoal, que fica sob direção exclusiva dos membros da autoridade e ter controle financeiro que observe sua independência. Ou seja, a desejável aproximação da autonomia técnica e decisória em relação à exigência de independência dependerá ainda de desenho institucional adequado. Cabe lembrar, a esse propósito, a decisão de adequação da Argentina, em junho de 2003 [4], que reconheceu nível adequado de proteção de dados pessoais nos termos da Diretiva 95/46/EC, antecessora do GDPR. Na época, a opinião do Grupo de Trabalho do Artigo 29 [5], atual Comitê Europeu de Proteção de Dados, fez ressalva sobre a urgência em se sanar pontos específicos da independência da autoridade argentina que deveriam ser assegurados [6]. No contexto de uma diretiva europeia, que não tem a força normativa do regulamento, a adequação da Argentina foi reconhecida. Hoje, a Argentina consolidou sua legislação de proteção de dados e busca aprimorá-la legislativamente no que se convencionou chamar de segunda onda de proteção de dados pessoais.

A omissão na estruturação da ANPD é, portanto, o principal problema de implementação da LGPD, não só do ponto de vista interno, de regulamentação e enforcement, como do ponto de vista externo, de reconhecimento do Brasil conforme padrões internacionais de proteção de dados pessoais.