Marcando oficialmente o início dos trabalhos da Autoridade Nacional de Proteção de Dados (ANPD), sua primeira resolução causa impactos profundos e significativos às atividades de tratamento de dados pessoais realizadas pelas empresas que atuam no território nacional. Por tratar-se de legislação que regula o processo fiscalizatório, incluindo a auditoria de documentos e recursos tecnológicos das empresas, o envio de intimações, a lavratura de autos de infração e o cumprimento de decisões definitivas do órgão, é imprescindível que as empresas estejam plenamente cientes de suas obrigações e das novas concepções apresentadas pelo regulamento.

Publicada em 28 de outubro de 2021, a Resolução nº 1 do Conselho Diretor da ANPD dispõe sobre os modos de atuação do órgão e introduz conceitos inéditos ao universo brasileiro — ainda em formação — da proteção de dados, tendo como público-alvo os agentes de tratamento (controlador e operador), aos titulares de dados e demais interessados no tratamento sob fiscalização.

A resolução aborda a metodologia do processo fiscalizatório, suas regras e diretrizes, e cria dois instrumentos de suporte à aplicação da Lei Geral de Proteção de Dados (LGPD), sendo eles: o Relatório de Ciclo de Monitoramento e o Mapa de Temas Prioritários. Também são introduzidas regras acerca da análise dos requerimentos dos titulares de dados e as diversas modalidades de atuação da ANPD durante o exercício de suas competências.

Inicialmente, e sob uma perspectiva vertical e cronológica, fica estabelecido que a ANPD iniciará o processo fiscalizatório de ofício ou em razão de requerimento do titular de dados que perceber seu direito à privacidade prejudicado. Através de auditorias, incluindo acesso às instalações, equipamentos, aplicativos, documentos e demais recursos tecnológicos dos agentes de tratamento – cabendo sigilo sob as informações relativas à atividade empresarial, financeiras e contábeis – a ANPD acompanhará de perto todo os procedimentos de segurança da informação adotados pela companhia, identificando possíveis riscos e orientando o agente regulado às boas práticas.

O início do processo fiscalizatório será comunicado através de intimação endereçada ao agente regulado, isto é, aquele que está sob fiscalização. Contudo, a redação da legislação ainda deixa dúvidas quanto ao meio de encaminhamento da intimação, pois é genérica ao mencionar que o documento será encaminhado por meios digitais, deixando de mencionar a existência ou criação de um domicílio eletrônico para tanto, como já é visto no processo administrativo tributário federal.

A norma divide a atuação da ANPD em quatro etapas, sendo elas:

• atividade de monitoramento, fase em que serão levantadas informações acerca do tratamento e peculiaridades do eventual incidente;

• a atividade de orientação, momento em que a autoridade emitirá material educativo e notas de conscientização acerca da necessidade de proteção de dados;

• a atividade preventiva, oportunidade em que a autoridade reconduzirá o agente de tratamento, de forma conjunta, à conformidade, mitigando os riscos de ocorrência de incidente de dados; e

• a atividade repressiva, situação em que já existem indícios de violação à LGPD, podendo incorrer na instauração de processo administrativo sancionatório, auto de infração, interrupção do tratamento e demais punições previstas na lei aplicável.

Quanto aos instrumentos de suporte à fiscalização, o primeiro é denominado Relatório de Ciclo de Monitoramento, descrito como um mecanismo de prestação de contas e planejamento da atividade de monitoramento da ANPD. Através desse instrumento, o órgão avaliará as atividades fiscalizatórias dentro do ciclo de monitoramento com base em indicadores concretos e resultados obtidos no período anterior, direcionará as estratégias e diretrizes da sua atuação e direcionará a consolidação das informações obtidas através dos requerimentos e comunicações. Esse instrumento será objeto de deliberação da Coordenação-Geral de Fiscalização (CGF), ao final de cada ciclo. O primeiro ciclo terá início em janeiro de 2022.

Ainda nesse sentido, a resolução também traz a figura do mapa de Temas Prioritários. Ocorrendo duas vezes ao ano, o instrumento estabelecerá os temas prioritários da ANPD para fins de estudo e planejamento da atividade de fiscalização dos períodos, fundamentando-se nos critérios de risco, gravidade, atualidade do tema e na relevância global do objeto. Também elaborado CGF, este dependerá de aprovação pelo Conselho Diretor da ANPD.

Outro ponto ainda pendente de definição é o meio pelo qual a CGF receberá os requerimentos dos titulares de dados e analisará os requisitos de admissibilidade. Talvez vejamos algo semelhante ao sistema de gerenciamento de processos administrativos federais tributários, mas o tema ainda depende de maiores definições.

Quanto às modalidades de atuação da ANPD, a legislação prevê que o órgão agirá de forma orientativa, emitindo guias de boas práticas, modelos de documentos e cláusulas, sugestões de treinamentos e cursos, padrões técnicos de segurança de dados, programas de governança em privacidade, bem como ferramentas de autoavaliação e modelos de matriz de risco, que de fato auxiliarão os agentes de tratamento e representarão recursos benéficos e positivos às empresas que buscam a conformidade.

A atuação preventiva, por sua vez, ocorrerá através de divulgação de informações, tais como taxas de resolução de problemas e atendimento das solicitações dos titulares de dados, avisos sobre as providências necessárias a serem tomadas pelos agentes de tratamento, e por fim, mas não menos importante, por meio de solicitação de regularização e informes para situações menos complexas e de fácil resolução.

Contudo, para o correto endereçamento de incidentes complexos, a ANPD poderá exigir a elaboração de um plano de conformidade, que será uma descrição do objeto, ações e prazos para reversão da situação identificada. O descumprimento dos critérios e prazos descritos no Plano de Conformidade resultará em instauração de processo administrativo e será considerado agravante, daí a necessidade de mover esforços para segui-lo estritamente, uma vez que representa uma oportunidade ao agente regulado de estar conformidade sem a necessidade de maiores impactos e prejuízos financeiros.

Por fim, a resolução prevê a existência de duas instâncias do processo administrativo sancionatório. A primeira instância será composta pela Coordenação-Geral de Fiscalização, que poderá instaurar processo administrativo de ofício, em decorrência de processo de monitoramento, ou diante requerimento de titular de dados. A decisão de instauração de processo administrativo não será objeto de recurso.

O prazo para apresentação de defesa é o de dez dias úteis após o recebimento da intimação, prazo relativamente mais curto do que os processos administrativos federais, o que deve ser encarado como um ponto de atenção pelas empresas e demandará um plano de ação mais robusto em razão do curto período para elaboração de uma resposta satisfatória às acusações.

Após a decisão proferida pela CGF, o agente regulado poderá interpor recurso endereçado ao próprio órgão, também dentro do prazo de dez dias úteis contados a partir do recebimento da intimação da decisão, mas que será julgado pelo Conselho Diretor – órgão colegiado de julgamento -, instância máxima do processo administrativo de competência da ANPD. Caso decida pelo não provimento do recurso, as penalidades deverão ser cumpridas dentro do prazo estabelecido, sob pena de inscrição em dúvida ativa da união.

Em razão da sensibilidade das disposições e dúvidas que surgiram acerca de pontos específicos dessa resolução, que, por sua vez, poderá resultar em diversas providências de uso continuado pelos agentes de tratamento, é essencial que as empresas possuam assessoria especializada e diligente para assegurar a plena conformidade legal dos procedimentos de tratamento de dados pessoais e garantir a correta e efetiva análise dos desdobramentos originados pelos pontos aqui abordados.