Perspectivas e desafios do poder sancionatório da ANPD

Após grandes expectativas e profundo debate em toda a sociedade, a Lei Geral de Proteção de Dados Pessoais (LGPD ou Lei nº 13.709/2018) entrou inteiramente em vigor no dia 1º de agosto deste ano — com o início da vigência das sanções administrativas (artigo 65 I-A).

A postura deve ser celebrada. Afinal, como já demonstrou o esforço doutrinário empreendido na releitura do papel do poder de polícia da Administração Pública e em consonância com a função promocional do direito (na clássica lição de N. Bobbio), o papel fiscalizatório-sancionatório do Estado volta-se (não apenas para limitar a liberdade e a propriedade dos particulares) à indução e incentivo de comportamentos, a fim de promover direitos fundamentais e interesses coletivos.

Atenta a essa premissa e às suas atribuições legais (como as previstas no artigo 55-J, em especial nos incisos VI, VII e VIII), a ANPD, com base no artigo 53 da LGPD, associa a aplicação das sanções a "plano de monitoramento para o setor que permita a priorização de temas e no risco, gravidade, atualidade e relevância da atividade" [1]. Nesse sentido, a ANPD está elaborando Regulamento de Fiscalização e Aplicação de Sanções Administrativas, à luz das contribuições recebidas durante o processo de consulta pública. Em consonância com a Lei da Liberdade Econômica (artigo 5º) e com o artigo 55-J, §2º da LGPD, tal minuta é balizada pela análise de impacto regulatório, publicada em maio pela ANPD, o que oxigena e democratiza as decisões técnicas a serem tomadas no âmbito da agência.

Acertadamente, a minuta do regulamento detalha a atividade de fiscalização da agência (artigos 14 e ss.), incluindo em tal atividade a necessidade de monitorar (artigo 17), orientar (artigo 31) e prevenir as infrações (artigo 34).

Sob outro viés, uma vez mais, deve-se comemorar as iniciativas da agência, na medida em que a ampla participação dos agentes econômicos nesse processo deve ser fomentada, de modo a observar aspectos da atividade econômica a ser regulada. O equilíbrio entre a proteção dos titulares de dados e o livre desempenho da atividade econômica é um desafio em relação ao qual a ANPD se colocará como fiel da balança. Para tanto, ela deverá se mostrar sensível ao setor regulado e às demandas dos titulares de dados, dos agentes e dos demais interessados, ao passo que, na atividade de orientação, deverá guiar a sua atuação considerando também elementos econômicos para conscientizar os agentes de tratamento e os titulares (artigo 14, §2º).

Considerando esse desafio, mostra-se fundamental a atuação da agência em conjunto com os particulares, de modo a "reconhecer e divulgar regras de boas práticas e governança", bem como "recomendar (…) a implementação de Programa de Governança em Privacidade" (artigo 33, IV e V, "b"), em observância aos mandamentos do artigo 50 da LGPD e aos princípios da responsabilização e prestação de contas dos agentes de tratamento. O fomento à adoção de ferramentas de compliance por agentes econômicos possui estrondoso potencial para auxiliar a ANPD nesse desafio, reconhecendo práticas adequadas a cada atividade econômica em suas singularidades.

A experiência estrangeira indica que não será fácil equilibrar tantos interesses dos agentes econômicos. O caso francês é anedótico. Apesar da reconhecida excelência, a CNIL (acrônimo para Commission Nationale de L'informatique et des Libertés, agência responsável pela proteção de dados pessoais na França) tem enfrentado críticas a respeito de sua atuação. De um lado, é acusada de ser excessivamente branda com as grandes entidades de tecnologia e, ao mesmo tempo, excessivamente zelosa em algumas matérias, por exemplo, na disciplina da publicidade na internet.

No caso brasileiro, não se poderia deixar de destacar um desafio adicional: a multiplicidade de agentes, órgãos e entidades públicas com potencial para atuação e fiscalização no âmbito da tutela de dados pessoais. A LGPD, em seu artigo 55-K, conferiu à ANPD competência central na aplicação de sanções. Nesse sentido, o artigo 15, III, do Regulamento de Fiscalização e Aplicação de Sanções Administrativas estabelece diretriz de viabilização do exercício coordenado de suas atividades com outras entidades dotadas de poder de polícia, em especial os Departamentos Estaduais de Proteção e Defesa do Consumidor (Procons), evitando-se a aplicação de sanções de maneira descoordenada.

Considerando já haver diversas entidades atuantes, como, por exemplo, a Senacon, que vem adotando postura proativa no sancionamento por infração às normas de proteção de dados pessoais (cf. os emblemáticos casos Hering x IDEC, Facebook e Banco Itaú Consignado S.A), será necessário discutir as formas de coordenação a serem implementadas. Tanto é assim que a Senacon já propôs a alteração da redação do artigo 55-K da LGPD, pois, na sua visão, tal como redigido traria insegurança jurídica e prejudicaria o enforcement das regras voltadas à proteção de dados pessoais.

A despeito de tais discussões, dúvidas não há de que uma atuação coordenada colaborará ainda mais na construção de um ambiente econômico seguro, a garantir, por sua vez, a promoção do efetivo respeito à proteção dos dados pessoais. Um relevante passo nesse sentido é garantir à ANPD, seja em sua estrutura, seja em seu arcabouço normativo, a independência necessária para o desempenho de seus misteres, inclusive na fiscalização e sanção também de agentes estatais.

O caminho será árduo e os desafios, múltiplos, mas os passos tomados até aqui — indicando a valorização da ampliação do debate em toda a sociedade e promoção do atendimento aos preceitos da LGPD — são alvissareiros.