Após três anos da aprovação da Lei Geral de Proteção de Dados (LGPD), começou, nesta segunda-feira (2/8), a fase em que violações a dados pessoais passam a ser sujeitas a sanções. A observação do cumprimento das medidas pelas empresas é feita pela Autoridade Nacional de Proteção de Dados (ANPD), que trabalha para aplicar o que estabelece a lei.
As prioridades da agenda regulatória da ANPD e os efeitos da nova fase de sanções da LGPD foram discutidos em webinar da CASA JOTA nesta segunda-feira (2/8). Para as empresas que ainda estão se adaptando à nova realidade, os níveis de entendimento são distintos.
“Qualquer violação à LGDP é passível de sanção, não apenas vazamento de dados, mas também compartilhamento de dados sem base legal, por exemplo. Porém, vazamento não necessariamente vai gerar uma sanção, se for constatado que todas as medidas foram tomadas pela empresa. O uso de biometria por si só não é passível de sanção, apenas se não houver respeito à LGPD”, complementou, respondendo a algumas das principais dúvidas sobre o que pode render punições.
Por enquanto, a autoridade ainda não estabeleceu dosimetria para aplicação de multas, portanto dificilmente essa deve ser uma modalidade de sanção no momento. “A metodologia das multas merece uma atenção cuidadosa, porque é difícil determinar parâmetros e cálculos. Vamos abrir o debate público muito em breve para defini-los. Sanções já estão valendo, como advertências”.
Segundo a diretora, a adoção de conduta setoriais, que eventualmente podem ser reconhecidos pela ANPD, é uma possibilidade que contribui para a atuação do órgão. “Temos visto essas iniciativas com bons olhos, demonstram boa-fé. E é muito difícil que a ANPD conheça todas as particularidades de cada setor”, disse.
Como um dos objetivos principais da autoridade, Wimmer apontou a demanda por transformar o órgão em uma autarquia especial, como acontece com outras agências reguladoras: “Somos ligados à Presidência da República e entendemos que existe a necessidade de caminhar para atuar tanto no setor privado quanto no público. Vamos atuar para que essa transformação por mais independência se dê o mais rápido possível”.
Há ainda uma série de pontos da lei a serem interpretados e normatizados pela autoridade. Um dos que devem despertar especial cautela é a transferência internacional de dados, conforme explicou Wimmer.
“Temos um diálogo muito construtivo com a Comissão Europeia, em que ambas as partes pensam no futuro em fazer adequação, que é uma das possibilidades. Esse é um processo demorado. Começamos a estudar as cláusulas contratuais padrão, mas não são fáceis, porque precisam avaliar também o país destinatário. Agora, olhamos para possibilidades mais simples”, afirmou.
As multas da LGPD e o papel da ANPD
Na avaliação de Thiago Sombra, especialista em tecnologia e proteção de dados, a atuação da autarquia até aqui tem sido positiva. “O que mais me chamou nesses meses de atuação da ANPD foi a atenção, a clareza de propósitos e a definição de prioridades que a agência se propôs; não é uma agenda ultra-audaciosa, é muito bem estruturada”, avaliou.
“Acredito que se as autoridades de fora que tiverem que olhar a ANPD hoje vão ter a melhor impressão possível. Neste momento, a Comissão Europeia faz uma avaliação do Brasil para entender o nível de comprometimento”, adicionou.
Para ele, a postergação do início das sanções teria servido para fomentar a cultura de privacidade e proteção de dados pessoais pelas empresas. “Olhando pra trás, as sanções entrando em vigor hoje talvez não tenha sido tão ruim. Tivemos oportunidade de gerar engajamento do setor, soltar processos, itens normativos”, afirmou.
“É natural que as empresas não estejam adaptadas. Isso não aconteceu na União Europeia, onde houve uma mudança mais incisiva. Temos uma cultura em desenvolvimento, e não apenas uma adaptação pontual para atender às sanções. É um processo que precisa de revisões e amadurecimentos”, complementou.
Ele destacou o que imagina que deve ser a postura sancionadora por parte da ANPD. “Uma autoridade que quer ganhar relevância não vai colocar sanções em primeiro plano, mas seu papel educativo. A preocupação do setor privado deve ser rapidamente incorporar a cultura e as mensagens que a agência vêm passando”, disse.