A Autoridade Nacional de Proteção de Dados – ANPD e sua Agenda Regulatória para o Biênio 2021-2022

29.01.2021 – Nessa semana, a Autoridade Nacional de Proteção de Dados – ANPD, publicou a Portaria 11 de 28.01.2021, detalhando o planejamento de sua agenda regulatória para o biênio de 2021-2022, tornando claras quais serão suas 10 (dez) primeiras prioridades. É importante salientar que a ANPD, por uma questão de contenção de custos, acabou não se tornando uma agência, permanecendo na condição de órgão público subordinado à presidência… embora a própria Lei Geral de Proteção de Dados esclareça que a natureza jurídica da ANPD é transitória e poderá ser transformada pelo Poder Executivo em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República.

Segundo a ANPD, os projetos de regulamentação recebem as seguintes classificações de priorização na agenda regulatória:

Fase 1 – iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 1 ano;

Fase 2 – iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 1 ano e 6 meses;

Fase 3 – iniciativas da agenda regulatória cujo início do processo regulatório acontecerá em até 2 anos.

A partir daí, a ANPD dividiu o início de seus projetos de regulamentação nos semestres constantes do biênio referido acima, passando a focar nas questões de regulamentação da seguinte forma:

2021 – 1º SEMESTRE (FASE 1)
1. Regimento Interno da ANPD – Publicação do primeiro Regimento Interno da ANPD.
2. Planejamento Estratégico da ANPD – Publicação do Planejamento Estratégico de 2021-2023, contendo os objetivos a serem alcançados pela ANPD e os seus respectivos prazos e as ações estratégicas vinculadas.
3. Proteção de dados e da privacidade para pequenas e médias empresas, startups e pessoas físicas que tratam dados pessoais com fins econômicos – A LGPD prevê regulamentação diferenciada para microempresas e empresas de pequeno porte, com a edição de normativo sobre o assunto, conforme estabelece o art. 55-J da referida lei.
4. Estabelecimento de normativos para aplicação do art. 52 e seguintes da LGPD – O art. 53 da LGPD prevê que a ANPD deve definir, via regulamento próprio sobre sanções administrativas a infrações da referida lei, as metodologias que orientarão o cálculo do valor-base das sanções de multa. A regulamentação também estabelecerá as circunstâncias e as condições para a adoção de multa.
5. Comunicação de incidentes e especificação do prazo de notificação – De acordo com o art. 48 da LGPD, o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Muito embora a lei estabeleça critérios mínimos, é preciso que a ANPD regulamente alguns itens, como prazo, e defina o formulário e a melhor forma de encaminhamento das informações.
6. Relatório de Impacto à Proteção de Dados Pessoais – De acordo com as competências estabelecidas pelo art. 55-J, inciso XIII, cabe a ANPD editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais.

2021 – 2º SEMESTRE (FASE 2)
1. Encarregado de proteção de dados pessoais – Nos termos do art. 41, § 3º da LGPD, a ANPD pode estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
2. Transferência Internacional de Dados Pessoais – O art. 33, inciso I da LGPD, prevê que a transferência internacional de dados pessoais somente é permitida para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na referida lei. Por sua vez, o art. 34 explica que o nível de proteção de dados do país estrangeiro ou do organismo internacional poderá ser avaliado pela ANPD. O art. 35 da lei determina, ainda, que a definição do conteúdo de cláusulas-padrão contratuais, dentre outros, será realizada pela ANPD. Assim, é necessário regulamentar os arts. 33, 34 e 35 da LGPD, sem prejuízo dos demais temas tratados pelos artigos não mencionados neste texto.

2022 – 1º SEMESTRE (FASE 3)
1. Direitos dos titulares de dados pessoais – A LGPD estabelece os direitos dos titulares de dados pessoais, mas diversos pontos merecem regulamentação, que tratará desses direitos, incluindo, mas não limitado aos artigos 9º, 18, 20 e 23.

2022 – 2º SEMESTRE (FASE 3)
1. Hipóteses legais de tratamento de dados pessoais – Documento orientando o público sobre as bases e hipóteses legais de aplicação da LGPD sobre diversos temas, incluindo as hipóteses legais descritas no art. 7º mas não restritas a ele.

A Coordenação-Geral de Normatização da ANPD irá elaborar, a cada semestre um relatório de acompanhamento dos projetos de regulamentação, assim como avaliará a necessidade de readequação das iniciativas e metas constantes da agenda acima, por ocasião do último relatório de acompanhamento do ano de 2021.

Fica, por fim, ressalvado, que o Diretor Presidente poderá alterar essas metas mediante deliberação do Conselho-Diretor.