ANPD: a origem de uma autoridade dialógica e a primeira consulta pública

Nos últimos dias 15 e 16 foi realizada a primeira audiência pública da Autoridade Nacional de Proteção de Dados (ANPD) sobre a fiscalização e aplicação de sanções administrativas pela autoridade. A obrigação de realização da consulta pública sobre o tema é prevista no artigo 53 da Lei Geral de Proteção de Dados (LGPD) e contou com as considerações de inúmeros experts, de diversos setores da economia, como forma de racionalizar, pluralizar e tornar transparente o procedimento de regulamentação.

A estratégia de fiscalização e aplicação de sanções da ANPD é orientada pelos valores de: 1) regulação baseada em evidências; 2) proporcionalidade entre riscos e recursos alocados; 3) transparência e permeabilidade, que permitam à sociedade não só acompanhar, como também contribuir para o aprimoramento da atuação da ANPD; 4) processos transparentes e justos, com regras claras sobre direitos e obrigações; e 5) promoção da conformidade pelos mais diversos instrumentos e abordagens.

Vislumbra-se que a autoridade irá seguir o modelo de regulação responsiva, que é flexível aos mais variados contextos jurídicos, sociais e econômicos. Nesse modelo de regulação "a agência reguladora compreende as razões pelas quais o comando não foi obedecido e, em conjunto com o agente regulado, pondera soluções que possam endereçar o problema, de acordo com os limites e capacidades da parte. À medida em que o agente regulado descumpra os compromissos firmados, reitere as infrações ou demonstre má-fé, a agência poderá utilizar de instrumentos coercitivos e mais onerosos" (Carnaes) [1]. Nesse contexto, a regulação responsiva no âmbito da ANPD se dará por meio de ações de monitoramento, orientação, prevenção e aplicação de sanção, adoção de incentivos positivos e negativos em relação à LGPD e o tratamento da infração de acordo com a sua gravidade.

Dessa forma, os diversos representantes dos setores econômicos levantaram na audiência pública pontos fundamentais de esclarecimento e alterações na proposta de norma fiscalizatória da ANPD, dos quais se destacam:

— Acesso a instalações e sistemas: A previsão do artigo 5º, II, §2º, do regulamento posto à consulta pública, dispõe sobre o acesso às instalações, sistemas, entre outros, na realização de fiscalizações pela ANPD. Ocorre que, o referido acesso, sem qualquer limitação, pode configurar a violação do segredo comercial, industrial e propriedade intelectual das empresas fiscalizadas.

Tal prerrogativa deve ser exercida em conformidade com o que previsto no artigo 55-J, II, da Lei Geral de Proteção de Dados, que determina que a atuação da ANPD deverá ser pautada na observância dos segredos comerciais e industriais, em conformidade com os fundamentos do desenvolvimento econômico, tecnológico e inovação, bem como a livre iniciativa e concorrência, corolários da LGPD.

Assim, ressalta-se que é de fundamental importância que na previsão do artigo, conste desde logo que o dever de observância aos segredos comerciais e industriais, ocorra independentemente de solicitação do agente investigado.

O próprio Conselho Nacional de Justiça (CNJ) destacou recentemente que "um segredo de negócio é um conhecimento utilizável, de acesso restrito, lícito e que tenha valor econômico" [2]. Portanto, tratam-se de pontos sensíveis e que, se não verificados, podem acarretar danos de grande monta aos investigados, causando, inclusive, problemas concorrenciais.

No Poder Judiciário, tal prerrogativa já foi aplicada duas vezes no âmbito dos tribunais superiores na negativa de perícia em algoritmos de empresas, vez que tal prática revelaria toda a plataforma de informática, bem como identificação das correlações de dados de inteligência utilizados pela empresa, sendo vedada a pretensão de acesso a informações inerentes ao sigilo do negócios, devendo o laudo ser elaborado respeitando o sigilo da informação obtida (Paiva) [3].

Não deve ser diferente o entendimento no âmbito da fiscalização administrativa da ANPD, sendo preferencial que as investigações e auditorias ocorram de forma confidencial por padrão, de forma não restrita apenas ao segredo comercial ou da solicitação do agente de tratamento auditado, de forma semelhante a que executada no âmbito das auditorias fiscais, bancárias e do mercado de capitais (Fonseca) [4].

Além disso, dada a amplitude do artigo sobre o acesso da ANPD as instalações, equipamentos e soluções tecnológicas dos agentes, faz-se necessária a restrição àqueles bens e processos efetivamente ligados ao objeto específico da fiscalização, sem extrapolar questões que não guardem correlação, vez que o acesso indistinto pode comprometer o sigilo, a segurança e informações estratégicas e concorrenciais.

Por outro lado, a ANPD deve também definir o que acontecerá com as informações que não estarão sob sigilo, classificando se essas informações serão públicas somente após o contraditório ou não, por exemplo.

— Procedimentos de atuação responsiva: Conforme o artigo 14 do regulamento, no que tange à reparação dos danos na esfera administrativa, existe relevante preocupação do ponto de vista de legalidade e parâmetros normativos a serem adotados pela ANPD, haja vista que não se trata de uma prestação de serviços que pode ser facilmente verificada e calculada. Há complexidade, pois é de fundamental importância a demonstração do prejuízo, individualmente e o grau de afetação pessoal de cada titular.                                 

A atividade fiscalizatória, alinhada com as medidas repressivas e punitivas, está entre as atribuições da ANPD. No entanto, com relação às medidas relacionadas à reparação dos danos perante os titulares, entende-se que não é de competência da ANPD, cabendo ao titular ou seu representante, buscar tal reparação no Judiciário.

A atuação da ANPD deve estar restrita a imposição de sanções administrativas, observado o devido processo legal, contraditório e ampla defesa, nos termos das sanções previstas da LGPD e da função fiscalizatória da ANPD, nos limites estabelecidos na norma (Cardoso) [5]. Esse controle na esfera judicial já vem sendo desempenhado por entidades como Ministério Público, Secretaria Nacional do Consumidor do Ministério da Justiça, Departamentos Estaduais de Proteção e Defesa do Consumidor (Procons) e órgãos reguladores setoriais, sem prejuízo do exercício individual pelo próprio titular de dados (Martins e Vainzof) [6].

Salvo melhor juízo, a LGPD não atribui competência à ANPD para atuar em nome do titular dos dados na busca por reparação de eventual dano, mas apenas assegura o direito, que deve ser pleiteado por meio das vias próprias e de acordo com a legislação vigente. Logo, não se desconsidera de que qualquer atuação nesse sentido, pode violar o princípio constitucional da legalidade ao qual a Administração Pública está sujeita e infringe, duplamente, o princípio constitucional da separação de poderes ao adentrar em questões de competência exclusiva de outros poderes.

[1] CARNAES, Mariana. Breve reflexão sobre a regulação responsiva. Consultor Jurídico. Disponível em: https://www.conjur.com.br/2021-jun-20/publico-pragmatico-breve-reflexao-regulacao-responsiva. Acesso em 28 de julho de 2021.

[2] HERCULANO, Lenir Camimura. Proteção do segredo de negócios estimula inovação e desenvolvimento econômico". Conselho Nacional de Justiça. Disponível em: https://www.cnj.jus.br/protecao-do-segredo-de-negocios-estimula-inovacao-e-desenvolvimento-economico/. Acesso em 28 de julho de 2021.

[3] PAIVA, Leticia. Perícia em algoritmo da 99 também é suspensa pelo TST. Disponível em: https://www.jota.info/tributos-e-empresas/trabalho/pericia-algoritmo-aplicativo-99-suspensa-tst-01062021. Acesso em 29 de julho de 2021.

[4] FONSECA, Angela. Brazil’s DPA holds hearing on the regulation of investigative powers and penalties. International Association of Privacy Professionals. Disponível em: https://iapp.org/news/a/brazils-dpa-holds-hearing-on-the-regulation-of-investigative-powers-and-penalties/. Acesso em 29 de julho de 2021.

[5] CARDOSO, Oscar Valente. Quais Medidas o Judiciário pode Aplicar no Descumprimento da Lei Geral de Proteção de Dados Pessoais. Jus.com.br. https://jus.com.br/artigos/87935/quais-medidas-o-judiciario-pode-aplicar-no-descumprimento-da-lei-geral-de-protecao-de-dados-pessoais. Acesso em 29 de julho de 2021.

[6] MARTINS, Ricardo Maffeis; VAINZOF, Rony. Sanções e judicialização em massa: que este não seja o ‘novo normal’ da LGPD. https://www.conjur.com.br/2020-ago-05/martins-vainzof-judicializacao-nao-seja-normal-lgpd. Acesso em 28 de julho de 2021.