DIVULGADO O GUIA ORIENTATIVO PARA DEFINIÇÕES DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS E DO ENCARREGADO PELA ANPD

por admin | jun 10, 2021 | Colunistas, LGPD

A Autori­dade Nacional de Pro­teção de Dados (ANPD) pub­li­cou no dia 28 de maio de 2021  o Guia Ori­en­ta­ti­vo para Definições dos Agentes de Trata­men­to de Dados Pes­soais e do Encar­rega­do, que  bus­ca esta­b­ele­cer dire­trizes não-vin­cu­lantes aos agentes de trata­men­to e explicar quem pode exercer a função do con­tro­lador, do oper­ador e do encar­rega­do; as definições legais; os respec­tivos regimes de respon­s­abil­i­dade; casos con­cre­tos que exem­pli­fi­cam as expli­cações da ANPD e as per­gun­tas fre­quentes sobre o assunto.

O guia é primeiro do tipo pub­li­ca­do pela Autori­dade e foi estru­tu­ra­do em sete capí­tu­los: 1) Agentes de trata­men­to 2) Con­tro­lador 3) Con­tro­lado­ria con­jun­ta e con­tro­lado­ria sin­gu­lar 4) Oper­ador 5) Sub Oper­ador 6) Encar­rega­do 7) Con­sid­er­ações finais.

No capí­tu­lo 1, o agente de trata­men­to é definido para cada oper­ação de trata­men­to de dados pes­soais, por­tan­to, a mes­ma orga­ni­za­ção poderá ser con­tro­lado­ra e oper­ado­ra, de acor­do com sua atu­ação em difer­entes oper­ações de trata­men­to. Serão con­tro­lado­ras quan­do atu­arem de acor­do com os próprios inter­ess­es, com poder de decisão sobre as final­i­dades e os ele­men­tos essen­ci­ais de trata­men­to. Serão oper­ado­ras quan­do atu­arem de acor­do com os inter­ess­es do con­tro­lador, sendo-lhes fac­ul­ta­da ape­nas a definição de ele­men­tos não essen­ci­ais à final­i­dade do tratamento.

No capí­tu­lo 2, além da definição legal esta­b­ele­ci­do no art. 5º, VI, da LGPD, esta­b­elece como con­ceito que o “Con­tro­lador é o agente respon­sáv­el por tomar as prin­ci­pais decisões ref­er­entes ao trata­men­to de dados pes­soais e por definir a final­i­dade deste trata­men­to. Entre essas decisões, incluem-se as instruções forneci­das a oper­adores con­trata­dos para a real­iza­ção de um deter­mi­na­do trata­men­to de dados pessoais”.

Esse con­ceito é rel­e­vante, pois a LGPD atribui obri­gações especí­fi­cas ao Con­tro­lador, bem como, em regra, os dire­itos dos tit­u­lares são exer­ci­dos em face dele. 

Todavia, iden­ti­fi­ca-se uma con­tradição no Guia, na medi­da em que afir­ma que “o papel de con­tro­lador pode decor­rer expres­sa­mente de obri­gações estip­u­ladas em instru­men­tos legais e reg­u­la­mentares ou em con­tra­to fir­ma­do entre as partes” e, em segui­da, ressalta a importân­cia de anal­is­ar-se a situ­ação fáti­ca, com relação às prin­ci­pais decisões rel­a­ti­vas ao tratamento.

No capí­tu­lo 3,  traz as definições quan­do uma mes­ma oper­ação de trata­men­to de dados pes­soais envolver mais de um con­tro­lador. Os con­ceitos são basea­d­os  no reg­u­la­men­to europeu, uma vez que a LGPD não traz ess­es conceitos:

• Con­tro­lador con­jun­to quan­do dois ou mais respon­sáveis pelo trata­men­to deter­mi­nam con­jun­ta­mente as final­i­dades e os meios desse trata­men­to, ambos são respon­sáveis con­jun­tos pelo trata­men­to, pois deter­mi­nam por acor­do mútuo as respec­ti­vas respon­s­abil­i­dades. Como exem­p­lo, apre­sen­ta o caso de duas empre­sas, que dese­jam orga­ni­zar um even­to, e  con­jun­ta­mente com­par­til­ham dados de seus clientes, e ban­co de dados de clientes poten­ci­ais, com o obje­ti­vo de pro­mover um pro­du­to de mar­ca comum. Ambas  con­cor­dam com as modal­i­dades de envio de con­vites para o even­to, definição de estraté­gias de mar­ket­ing e cole­ta de feed­back. Nesse caso, são dois agentes de trata­men­to (con­tro­ladores) que tomam decisões con­jun­ta­mente sobre deter­mi­na­do trata­men­to de dados, com a mes­ma final­i­dade, con­fig­u­ran­do como con­tro­ladores conjuntos.

• Con­tro­lado­ria con­jun­ta é “a deter­mi­nação con­jun­ta, comum ou con­ver­gente, por dois ou mais con­tro­ladores, das final­i­dades e dos ele­men­tos essen­ci­ais para a real­iza­ção do trata­men­to de dados pes­soais, por meio de acor­do que esta­beleça as respec­ti­vas respon­s­abil­i­dades quan­to ao cumpri­men­to da LGPD”. Aqui apre­sen­ta-se três critérios para ver­i­fi­cação desse tipo de con­tro­lado­ria: a) mais de um con­tro­lador com poder de decisão sobre o trata­men­to de dados pes­soais; b) inter­esse mútuo de dois ou mais con­tro­ladores, com base em final­i­dades próprias; c) dois ou mais con­tro­ladores tomam decisões comuns ou con­ver­gentes sobre as final­i­dades e ele­men­tos essen­ci­ais ao tratamento.

• Con­tro­lador sin­gu­lar quan­do as decisões ref­er­entes ao mes­mo trata­men­to com­petem tam­bém a outro(s)  controlador(es),  de for­ma inde­pen­dente, ou seja, sem final­i­dades comuns, con­ver­gentes ou com­ple­mentares. Para exem­pli­ficar essa modal­i­dade, traz como exem­p­lo, a con­tinuidade de trata­men­to pelas mes­mas empre­sas que ini­cial­mente atu­avam como con­tro­lado­ras con­jun­tas, na mes­ma base de dados que havi­am com­par­til­ha­do ini­cial­mente, mas o novo trata­men­to com final­i­dades próprias e indi­vid­u­ais. Assim, con­tin­uaram como con­tro­ladores, con­tu­do, pas­san­do a atu­ar como con­tro­ladores singulares.

No capí­tu­lo 4, con­ceitua o oper­ador como o agente respon­sáv­el por realizar o trata­men­to de dados em nome do con­tro­lador e con­forme a final­i­dade por este delim­i­ta­da. Por essa definição, delimi­ta a prin­ci­pal difer­ença entre o con­tro­lador e oper­ador, qual seja, o poder de decisão: o oper­ador só pode agir no lim­ite das final­i­dades deter­mi­nadas pelo controlador.

Segun­do o Guia Ori­en­ta­ti­vo, ain­da que  “a LGPD não deter­mine expres­sa­mente que o con­tro­lador e o oper­ador devam fir­mar um con­tra­to sobre o trata­men­to de dados, tal ajuste se mostra como uma boa práti­ca de trata­men­to de dados, uma vez que as cláusu­las con­trat­u­ais impõem lim­ites à atu­ação do oper­ador, fix­am parâmet­ros obje­tivos para a alo­cação de respon­s­abil­i­dades entre as partes e reduzem os riscos e as incertezas decor­rentes da operação.”

No capí­tu­lo 5, como parâmetro de análise para com­preen­são de cadeias mais com­plexas de trata­men­to de dados, traz o con­ceito de sub­op­er­ador: “é aque­le con­trata­do pelo oper­ador para aux­il­iá-lo a realizar o trata­men­to de dados pes­soais em nome do controlador.”

Há uma con­tradição sig­ni­fica­ti­va no Guia, pois ao mes­mo tem­po que a ANPD infor­ma que o “guia ori­en­ta­ti­vo bus­ca esta­b­ele­cer dire­trizes não-vin­cu­lantes”,  apre­sen­ta várias “recomen­dações”, entre elas para que o oper­ador, ao con­tratar o sub­op­er­ador, “obten­ha autor­iza­ção for­mal (genéri­ca ou especí­fi­ca) do con­tro­lador, a qual pode inclu­sive con­star do próprio con­tra­to fir­ma­do entre as partes”, com o obje­ti­vo de evi­tar que se enten­da que, ao con­tratar o sub­op­er­ador, o oper­ador ten­ha exe­cu­ta­do o trata­men­to de dados des­cumprindo ori­en­tações do con­tro­lador, o que pode­ria atrair para o oper­ador respon­s­abil­i­dades que nor­mal­mente são exclu­si­vas do controlador.

Assim, fica o ques­tion­a­men­to se as orga­ni­za­ções devem seguir as recomen­dações ou ape­nas tê-las como base, uma vez que não têm efeito vinculante.

No capí­tu­lo 6, traz a definição do encar­rega­do como o “indi­ví­duo respon­sáv­el por garan­tir a con­formi­dade de uma orga­ni­za­ção, públi­ca ou pri­va­da, à LGPD”. Por enquan­to, não há reg­u­la­men­tação sobre em que cir­cun­stân­cias uma orga­ni­za­ção deve indicar um encar­rega­do. Assim, deve-se assumir, como regra, que toda orga­ni­za­ção dev­erá indicar uma pes­soa para assumir esse papel.

Con­tu­do, nos ter­mos do § 3º do art. 41 da LPGD, nor­ma­ti­vas futuras da ANPD poderão traz­er hipóte­ses de dis­pen­sa da neces­si­dade de indi­cação do encar­rega­do, con­forme a natureza e o porte da enti­dade ou o vol­ume de oper­ações de trata­men­to de dados.

Com relação às qual­i­fi­cações profis­sion­ais do Encar­rega­do, estas devem ser definidas medi­ante um juí­zo de val­or real­iza­do pelo con­tro­lador que o indi­ca, con­sideran­do con­hec­i­men­tos de pro­teção de dados e segu­rança da infor­mação em nív­el que aten­da às neces­si­dades da oper­ação da organização.

Por fim, no capí­tu­lo 7, nas suas con­sid­er­ações finais a ANPD afir­ma que o: “guia ori­en­ta­ti­vo foi con­struí­do com o obje­ti­vo de traz­er maior segu­rança aos tit­u­lares de dados e agentes de trata­men­to, sanan­do algu­mas das prin­ci­pais dúvi­das que têm sido apre­sen­tadas à ANPD quan­to aos papéis dos agentes de trata­men­tos e do encarregado”.

A man­i­fes­tação da Autori­dade através do Guia Ori­en­ta­ti­vo é impor­tante para sanar dúvi­das sobre o tema, todavia, o fato de não esta­b­ele­cer efeito vin­cu­lante às suas próprias definições pode ger­ar ain­da mais dúvi­das e incertezas, pois a LGPD deixou espaços para inter­pre­tações e reg­u­la­men­tação a serem expe­di­das pela ANPD, e a ela incumbe o dev­er de zelar pelos dados pes­soais, bem como reg­u­la­men­tar a Lei e o seu enforce­ment, além de traz­er um dire­ciona­men­to para as organizações.

Para saber mais sobre este e out­ros temas rela­ciona­dos à Lei Ger­al de Pro­teção de Dados, a equipe do Assis e Mendes pos­sui espe­cial­is­tas pron­tos para aten­der as neces­si­dades de sua empre­sa. Entre em con­ta­to conosco pelo site www.assisemendes.com.br.

KELLY TAKAHASHI NOVAES é advo­ga­da da equipe de Dire­ito Dig­i­tal do Assis e Mendes Sociedade de Advogados. 

Convênios e termos de cooperação entre a ANPD e outras autoridades

por admin | maio 10, 2021 | Colunistas, LGPD

Tão logo a Lei Ger­al de Pro­teção de Dados (LGPD) entrou em vig­or, começaram os pedi­dos de tit­u­lares de dados e recla­mações de des­cumpri­men­to à lei. Além de posta­gens em redes soci­ais e sites espe­cial­iza­dos em avaliar a exper­iên­cia de clientes e con­sum­i­dores, já são várias as inves­ti­gações e ações judi­ci­ais com fun­da­men­to nas novas regras de pro­teção de dados.

Con­forme já trata­mos em arti­go ante­ri­or, a demo­ra na opera­cional­iza­ção da Autori­dade Nacional de Pro­teção de Dados (ANPD) causa diver­sos prob­le­mas que extrap­o­lam a ausên­cia de reg­u­la­men­tação da LGPD, sendo esse o caso do abo­can­hamen­to das funções da ANPD por out­ras autori­dades e órgãos de con­t­role, como aque­les respon­sáveis pela pro­teção do con­sum­i­dor, Min­istério Públi­co e o próprio Poder Judi­ciário. Questões como com­petên­cia e legit­im­i­dade são cada vez mais apro­fun­dadas, ao pas­so que começam as primeiras inves­ti­gações e apli­cação de sanções.

Mas e ago­ra que os Dire­tores foram nomea­d­os e a ANPD está final­mente começan­do a ser estru­tu­ra­da na práti­ca? Como vai ficar essa relação entre a autori­dade especí­fi­ca pre­vista pela LGPD e os demais órgãos de controle?

Quan­do pen­samos em temas de reg­u­lação — ain­da que con­sideran­do o con­ceito de for­ma ampla, envol­ven­do expe­dição de nor­mas e ações de fis­cal­iza­ção — é nat­ur­al que o foco reca­ia sobre deter­mi­na­da agên­cia reg­u­lado­ra ou órgão especí­fi­co. É assim com a defe­sa da con­cor­rên­cia, setores reg­u­la­dos como o de ener­gia elétri­ca, trans­porte aéreo de pas­sageiros, sis­tema finan­ceiro, mer­ca­do de cap­i­tais, den­tre outros.

Con­tu­do, ain­da que o Dire­ito seja divi­di­do em ramos especí­fi­cos, inclu­sive para fins de espe­cial­iza­ção e didáti­ca, a leg­is­lação como um todo for­ma um cor­po unifi­ca­do, que deve ser enten­di­do de maneira sistêmi­ca e em bus­ca de har­mo­nia entre as nor­mas. Deve haver um diál­o­go entre fontes e regras durante o exer­cí­cio de her­menêu­ti­ca jurídi­ca capaz de garan­tir a apli­cação ade­qua­da a um deter­mi­na­do con­tex­to práti­co, geran­do segu­rança jurídica.

Nesse sen­ti­do, é per­feita­mente esper­a­do — e comum — que um úni­co fato resulte na apli­cação de nor­mas de naturezas dis­tin­tas, mas que, em con­jun­to, dão con­ta da situ­ação como um todo. Aliás, vale diz­er, inúmeras leis cos­tu­mam pre­v­er expres­sa­mente a com­ple­men­tari­dade com out­ras nor­mas. É o caso, por exem­p­lo, de infrações à ordem econômi­ca, que podem orig­i­nar ind­eniza­ções civis aos afe­ta­dos, sanções admin­is­tra­ti­vas pelo Con­sel­ho Admin­is­tra­ti­vo de Defe­sa Econômi­ca (CADE) e até car­ac­teri­zar crime con­tra a ordem econômi­ca, pre­vis­to em leg­is­lação específica.

Com a nova leg­is­lação de pro­teção de dados no Brasil, o mecan­is­mo não será difer­ente. Em que pese mui­ta atenção reca­ia sobre a neces­si­dade de opera­cional­iza­ção da ANPD e de respeito aos lim­ites de com­petên­cias de out­ros órgãos — o que, claro, con­sti­tui um debate legí­ti­mo e impor­tan­tís­si­mo no atu­al con­tex­to — cer­to é que chegare­mos em um pon­to no qual dev­erá haver coop­er­ação entre a autori­dade pre­vista na LGPD e os demais órgãos de controle.

A própria LGPD quan­do fala da pos­si­bil­i­dade de o tit­u­lar peti­cionar jun­to aos organ­is­mos de pro­teção do con­sum­i­dor, bem como da manutenção das regras de respon­s­abil­i­dade pre­vis­tas por esse microssis­tema, já dá indi­cações de uma futu­ra atu­ação simultânea e coordenada.

Quan­do pen­samos em um inci­dente ou vaza­men­to de dados pes­soais, por exem­p­lo, é impos­sív­el pres­su­por que ape­nas a ANPD dará con­ta de respon­der a todas as par­tic­u­lar­i­dades e nuances do caso. Além da vio­lação da LGPD e de even­tu­al reg­u­la­men­tação especí­fi­ca que vier a ser expe­di­da, cer­ta­mente nos depararemos com a pos­si­bil­i­dade de ind­eniza­ções de âmbito civ­il, deman­das decor­rentes da relação de con­sumo entre tit­u­lar e empre­sa afe­ta­da, e, ain­da, per­se­cução penal em razão do come­ti­men­to de crimes cibernéticos.

Assim, é muito impor­tante que todos — tit­u­lares, empre­sas e profis­sion­ais que tra­bal­ham de per­to com a pro­teção de dados pes­soais — enten­dam e se pre­parem para a futu­ra com­ple­men­tari­dade de atu­ação entre out­ros órgãos de con­t­role, Poder Judi­ciário e a ANPD. Cer­ta­mente isso ocor­rerá medi­ante a cel­e­bração de con­vênios, ter­mos de coop­er­ação, inter­câm­bio de exper­iên­cias e con­hec­i­men­to, tro­ca doc­u­men­tal em inves­ti­gações, den­tre out­ros. É só uma questão de tempo.

A equipe do Assis e Mendes acom­pan­ha de per­to a estru­tu­ração da pro­teção de dados pes­soais no Brasil e está pronta para ori­en­tar você e sua empre­sa sobre as mudanças que estão surgin­do e como mel­hor se preparar para elas. Se quis­er con­ver­sar com um espe­cial­ista, entre em con­ta­to conosco pelo site www.assisemendes.com.br.

Letí­cia Crivelin.

UPDATE LGPD: DIRETORES DA ANPD SÃO NOMEADOS

por admin | maio 10, 2021 | Colunistas, LGPD

Depois de mui­ta expec­ta­ti­va, foram ofi­cial­mente pub­li­cadas hoje as nomeações dos 5 mem­bros do Con­sel­ho Dire­tor da Autori­dade Nacional de Pro­teção de Dados (ANPD), garan­ti­n­do mais um pas­so impor­tante na imple­men­tação da Lei Ger­al de Pro­teção de Dados (LGPD) no Brasil.

Os dire­tores, ago­ra, podem tomar posse e ini­ciar os mandatos que vari­am de 2 a 6 anos:

Com a nomeação do Dire­tor-Pres­i­dente, o Decre­to nº 10.474/2020 tam­bém entra em vig­or, fazen­do valer as regras de estru­tu­ração da ANPD. Os próx­i­mos pas­sos serão a nomeação de profis­sion­ais para ocu­parem os car­gos opera­cionais da autori­dade, bem como a definição de quais enti­dades e class­es com­porão os car­gos ain­da vagos do Con­sel­ho Nacional de Pro­teção de Dados (CNPD), que con­ta com 23 cadeiras para rep­re­sen­tar os setores de toda a sociedade.

Já foram mapea­d­os mais de 50 pon­tos da LGPD que pre­cisam de reg­u­la­men­tação especí­fi­ca, incluin­do dire­itos dos tit­u­lares, princí­pio do livre aces­so, trans­fer­ên­cia inter­na­cional de dados, uti­liza­ção de cook­ies, padrões e téc­ni­cas de anon­i­miza­ção e segu­rança da infor­mação, trata­men­to autom­a­ti­za­do de dados pes­soais, comu­ni­cação e com­par­til­hamen­to de dados, den­tre out­ros (sai­ba mais em: https://assisemendes.com.br/impactos-da-demora-da-anpd/).

Con­tu­do, ain­da que ess­es pon­tos ain­da pre­cisem de reg­u­la­men­tação, o pas­so dado hoje com a nomeação dos Dire­tores da ANPD reforça o aler­ta para que as empre­sas ini­ciem o quan­to antes os seus assess­ments e tra­bal­hos para a con­formi­dade à LGPD.

Sem pre­juí­zo do mapea­men­to de flux­os de dados e assess­ments de segu­rança da infor­mação, no âmbito jurídi­co o momen­to é de ver­i­ficar as Políti­cas de Pri­vaci­dade, Ter­mos de Uso, con­tratos de tra­bal­ho e con­tratos com os demais agentes de trata­men­to. Além dis­so, é cru­cial a imple­men­tação de mecan­is­mos para atendi­men­to dos dire­itos dos tit­u­lares de dados.

Todo esse tra­bal­ho exige atenção e assertivi­dade, para que não se caia no erro do exagero e da solução pronta que não fun­ciona na práti­ca. Por isso, o Assis e Mendes pos­sui uma equipe espe­cial­iza­da em Pri­vaci­dade e Pro­teção de Dados pronta para aju­dar a sua empre­sa por todo o cam­in­ho de ade­quação, respei­tan­do as par­tic­u­lar­i­dades e a pro­teção do seu negócio.

Para nos con­hecer e saber mais sobre nos­so tra­bal­ho, acesse o site: www.assisemendes.com.br.