Maria Cecilia Oliveira Gomes

A Autoridade Nacional de Proteção de Dados (ANPD) publicou no dia 28 de janeiro de 2021 a Portaria nº 11, de 27 de janeiro de 2021, a qual tornou pública a sua agenda regulatória para o biênio 2021-2022.
A agenda propõe a regulamentação de 10 temas previstos na LGPD e a ordem de prioridade na análise deles foi dividida em 3 fases distintas que indicam quando deverá ocorrer o início do processo regulatório.
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>O relatório de impacto à proteção de dados pessoais (RIPD) está indicado na fase 1, com início previsto do seu processo regulatório para o 1 semestre de 2021. Considerando esse cenário, e a agenda de pesquisa da <a href="https://fgv.academia.edu/MariaCeciliaOliveiraGomes" target="_blank" rel="noopener noreferrer">autora neste tema</a>, decidimos mapear os principais desafios associados à análise, sistematização e desenvolvimento de diretrizes sobre o relatório de impacto e o segmentamos em 5 eixos.
Nosso objetivo com essa análise é esclarecer erros de compreensão, oferecer um panorama sobre o debate nacional e internacional e contribuir para a promoção do debate multissetorial dessa agenda.
Compreender as funções do relatório de impacto
Atualmente há no ecossistema de proteção de dados brasileiro uma incompreensão ou uma compreensão incompleta do que é o relatório de impacto e quais são as suas funções.
Isso porque ele tem sido utilizado por diferentes setores como uma avaliação de impacto regulatório, para avaliar o nível de conformidade da organização com a LGPD. Quando na verdade o instrumento correto para nesse tipo análise é o relatório de diagnóstico para avaliar os riscos da organização.
Este avalia a conformidade da organização e gera um plano de ação para mitigação de riscos e estruturação de um programa de governança, já o <a href="https://www.academia.edu/41160034/Relat%C3%B3rio_de_Impacto_a_Prote%C3%A7%C3%A3o_de_Dados_Pessoais_uma_breve_an%C3%A1lise_da_sua_defini%C3%A7%C3%A3o_e_papel_na_LGPD" target="_blank" rel="noopener noreferrer">relatório de impacto</a> vai analisar uma operação específica ou um conjunto de operações que podem gerar riscos aos direitos dos titulares (arts. 18, 19 e 20, LGPD), direitos fundamentais e liberdades civis (art. 5, CF) e indicar medidas, salvaguardas e mecanismos para prevenir e mitigar estes riscos.
Por vezes ainda, o relatório erroneamente tem sido compreendido como uma documentação semelhante e, muitas vezes complementar, ao Teste de Legítimo Interesse (art. 10, § 2º LGPD), quando na verdade ambos os instrumentos <a href="http://data-privacy-brasil.rds.land/ebook-legitimo-interesse" target="_blank" rel="noopener noreferrer">não são semelhantes</a> e guardam profundas diferenças em suas estruturas e funções.
Possuímos achados preliminares sobre o motivo dessas inconsistências interpretativas no Brasil, algo que parece ter relação com a adaptação do instrumento jurídico do Data Protection Impact Assessment (DPIA) da General Data Protection Regulation (GDPR) para a LGPD, especificamente através da sua inserção no Projeto de Lei 5276/16.
Diferentemente da GDPR que é um regulamento, a LGPD não procedimentalizou minimamente o RIPDP, e tão pouco é resultado de décadas de discussão que maturaram tal instrumento a partir do enquadramento da proteção de dados enquanto uma regulação de risco (risk-based approach).
Esse enquadramento com o passar do tempo contribuiu para o desenvolvimento de interpretações cada vez mais orientadas ao risco regulatório. Avaliar riscos em um relatório se transformou numa tarefa pura e simples de checar conformidade com a lei, avaliando se as operações de tratamento de dados possuem base legal, se elas atendem aos princípios, se os dados estão sendo eliminados ao final do tratamento, tudo isso, para mitigar o risco de sanções e para demonstrar accountability.
<blockquote>Ou seja, uma empreitada muito mais voltada ao risco (regulatório) da organização que trata dados pessoais, do que um exercício de mensuração dos possíveis efeitos adversos para o titular dos dados.</blockquote>
Contextos esses que provavelmente contribuíram para o relatório ser interpretado por alguns como um check list de compliance ou um creative compliance, algo que vale salientar não é exclusivo do Brasil, mas sim largamente debatido por acadêmicos que possuem essa agenda de pesquisa em outros países.
Para <a href="https://www.researchgate.net/publication/312652929_We_Have_Always_Managed_Risks_in_Data_Protection_Law_Understanding_the_Similarities_and_Differences_Between_the_Rights-Based_and_the_Risk-Based_Approaches_to_Data_Protection" target="_blank" rel="noopener noreferrer">Raphael Gellert</a> e <a href="https://www.cambridge.org/core/journals/european-journal-of-risk-regulation/article/abs/enhancing-compliance-under-the-general-data-protection-regulation-the-risky-upshot-of-the-accountability-and-riskbased-approach/C527DEE76C5E9F7D09830E218D1DCA8D" target="_blank" rel="noopener noreferrer">Claudia Quelle</a>, esse tipo de interpretação se distancia da natureza do relatório e da sua função primária que é a de prevenir e mitigar riscos aos direitos dos titulares. Ou seja, a lógica seria uma abordagem mais baseada em direitos do que puramente uma abordagem baseada em risco.
Em outras palavras, o processo regulatório precisará em um primeiro momento ser direcionado para a compreensão do que é esse instrumento jurídico, através da avaliação e mapeamento das suas funções, bem como estabelecer como essas funções dialogam com as previsões no texto da LGPD.
Podemos já antecipar algumas das funções que deverão ser analisadas: (i) prevenção e mitigação de riscos aos direitos fundamentais, liberdades civis e direitos dos titulares; (ii) atendimento ao princípio da responsabilidade e prestação de contas (accountability); (iii) atendimento ao princípio da transparência na publicização do relatório; e (iv) garantia da tutela individual e coletiva dos direitos dos titulares.
Para além disso, não podemos nos esquecer que o Brasil já possui instrumentos jurídicos semelhantes, mas com natureza e funções diferentes, como a Avaliação de Impacto Ambiental (AIA) e o Estudo de Impacto Ambiental (EIA) previstos na Lei 6.938/81 e a Avaliação de Impacto Regulatória (AIR) prevista no Decreto nº 10.411/2020.
Sendo necessária também, a compreensão do instituto do relatório através de outros instrumentos jurídicos já existentes no país e que bebem de uma fonte comum que é a regulação de risco.
Antes da obrigatoriedade, precisamos falar sobre o que é risco
Primeiramente, cumpre ressaltarmos que a LGPD não conceitua risco e na nossa percepção essa foi uma decisão correta. O risco compreendido em seu sentido ontológico, como ameaça e perigo, guarda semelhanças, mas não equivalência quando é analisado como um elemento normativo no sistema de proteção de dados.
Por essa razão, uma definição equivocada de risco na lei, no rol do artigo 7º por exemplo, potencialmente traria mais prejuízos do que iria contribuir para a compreensão da noção desse conceito e a sua aplicação no cotidiano dos agentes de tratamento e titulares de dados.
No texto da LGPD existem 11 menções ao elemento risco, e em praticamente todas percebe-se que “risco” está associado ao Relatório de Impacto à Proteção de Dados Pessoais (RIPDP) ou à Governança de Proteção de Dados.
No artigo “<a href="https://www.academia.edu/44022945/Entre_o_m%C3%A9todo_e_a_complexidade_compreendendo_a_no%C3%A7%C3%A3o_de_risco_na_LGPD" target="_blank" rel="noopener noreferrer">Entre o método e a complexidade: compreendendo a noção de risco na LGPD</a>” debatemos as implicações associadas a compreensão do risco como elemento do relatório e indicamos a necessidade da ANPD elaborar estudos de caso sobre o tema.
Sendo esta no nosso entendimento a melhor forma de conseguir avaliar e orientar os agentes a identificar quando há alto risco nas operações de tratamento de dados. Criando assim critérios para que os próprios agentes possam avaliar se uma operação envolve ou não alto risco, na linha, portanto, de uma regulação responsiva.
O que se discute nesse eixo não é a questão hipotética “tem ou não tem risco”, o risco é um elemento inerente as operações de tratamento de dados, o ponto aqui é como identificar esses riscos, compreender e avaliar o seu impacto e, assim mitigá-los, preservando e protegendo os direitos dos titulares.
Afinal, é ou não é obrigatório?
A obrigatoriedade do instituto do relatório de impacto está bastante relacionada às situações que envolvem operações de tratamento que são consideradas de alto risco por uma autoridade, isto por um motivo simples, todas as operações de tratamento envolvem algum nível ou espécie de risco.
Portanto, se a regra fosse de elaboração do RIPD quando houvesse risco, então, todas as operações de tratamento de dados iriam precisar elaborar um relatório de impacto.
O debate sobre esse tópico é longo e o espaço aqui é curto (vide <a href="https://fgv.academia.edu/MariaCeciliaOliveiraGomes" target="_blank" rel="noopener noreferrer">outros artigos da autora</a> sobre o tema), então, em síntese a análise sobre a obrigatoriedade de um relatório de impacto pode seguir 2 caminhos: (i) que eles são obrigatórios de maneira ampla; ou (ii) que eles são obrigatórios apenas nos casos em que a ANPD considerar de alto risco as operações de tratamento, além das hipóteses previstas na LGPD – que ainda cabe esclarecimento – em que a ANPD poderá ou deverá solicitar a elaboração e apresentação do relatório.
É possível saber quais operações apresentam um alto risco através de 3 formas: (i) quando elas estão previstas expressamente em Lei; (ii) quando elas estão previstas em uma resolução, diretriz ou orientação da autoridade de proteção de dados que está vinculada aquela jurisdição; e (iii) através da análise e classificação interna por parte do próprio Controlador quando o tipo da operação não está prevista em lei ou não está prevista também em uma orientação da autoridade de dados.
Em qualquer uma das três situações, caso o risco em qualquer uma delas persista mesmo com a elaboração do relatório de impacto, é possível, pelo menos não há uma restrição na LGPD que impeça isso, que o Controlador busque auxílio da ANPD para encontrar medidas de mitigação do risco.
O procedimento administrativo para a realização desse tipo de auxílio poderá ser elaborado pela ANPD no futuro, bem como ela poderá buscar na cooperação institucional com outros órgãos reguladores, apoio para eventuais análises setoriais sobre o tema.
Metodologias: formas criativas de analisar riscos e por que não benefícios?
Estar imerso no modelo regulatório de risco, às vezes dificulta perceber o leque de opções metodológicas que vão muito além da abordagem baseada em risco, que é a metodologia clássica de análise de risco em relatórios de impacto.
A abordagem baseada em risco vem sofrendo muitas críticas, seja por sua análise que parece enxergar apenas uma parte do todo ou ainda por estar sendo erroneamente interpretada como um check list de compliance, situações essas que tem aberto espaço para a discussão sobre outros métodos de abordagem.
E algo que já ocorre há anos no campo de dados abertos e que vem ganhando força mais recentemente são as análises metodológicas focadas na abordagem de riscos e benefícios, como é o caso do <a href="https://fpf.org/in-the-news/new-future-of-privacy-forum-study-finds-the-city-of-seattles-open-data-program-a-national-leader-in-privacy-program-management/" target="_blank" rel="noopener noreferrer">City of Seattle Open Data Risk Assessment</a> elaborado pelo Future of Privacy Forum.
<blockquote>Ou seja, para além de enxergar os riscos em uma operação de tratamento, é possível mapear os benefícios que ela pode gerar no âmbito coletivo, ao inovar e fazer uso dos dados para gerar benefícios a população.</blockquote>
Na LGPD não há previsão de que a elaboração do relatório está condicionada a utilização obrigatória da abordagem baseada em risco, há a indicação no art. 38, parágrafo único de que a metodologia é parte integrante do relatório, contudo, não há uma obrigação de seguir esse ou aquele método.
Esse ponto, na nossa percepção, é algo bastante positivo, uma vez que não engessa o processo de análise e permite a utilização de referenciais metodológicos diversos.
Esse é um ponto importante e uma oportunidade para a ANPD inovar como autoridade ao estabelecer uma possibilidade mais ampla de uso de recursos metodológicos que podem funcionar melhor na análise de operações de tratamento específicas. Como é o caso da abordagem de riscos e benefícios, que é o método mais adequado para avaliar tratamento de bases de dados abertos por exemplo.
Accountability e publicização: parâmetros e sistematização do relatório
 Por fim, passado o percurso de: (i) funções; (ii) análise de risco; (iii) classificação de operações em que o relatório será obrigatório; e (iv) indicação de metodologias. Chega-se ao ponto de finalizar a sistematização do relatório com o estabelecimento de parâmetros para a demonstração de accountability e indicação de quando e de que forma é recomendada a publicização do relatório.
Primeiramente é importante ter em mente que a accountability do relatório é focada na operação ou conjunto de operações que são objetos de análise dele e não na prestação de contas da organização como um todo.
Já no tocante à publicização, a LGPD traz algumas hipóteses em que a ANPD poderá ou deverá solicitar o relatório de impacto, mas não toca no ponto da publicação do relatório, para estabelecer quando e de que forma esta poderá ou deverá ocorrer.
Tanto a accountability quanto a publicização atuam também no exercício da tutela individual ou coletiva de direitos dos titulares, uma vez que analisando o relatório é possível que representantes dos titulares atuem para coibir irregularidades e disparidades no tratamento dos dados existentes naquela operação.
Isso acaba tendo uma relevância ainda maior quando estamos falando de políticas públicas que possuem como eixo central a utilização do tratamento massivo de dados sensíveis, como é o caso por exemplo do <a href="https://irisbh.com.br/programa-embarque-seguro-questionamentos-sobre-reconhecimento-facial-em-aeroportos-no-brasil/" target="_blank" rel="noopener noreferrer">Programa Embarque Seguro</a>, cujo relatório de impacto e a publicização dele não foram confirmadas pelo Governo Federal, antes do Programa começar a ser operacionalizado no Aeroporto de Florianópolis em 2020.
Dessa forma, a sistematização do relatório com o estabelecimento de parâmetros e procedimentos para a publicização e demonstração de accountability contribui para gerar uma maior transparência no ecossistema e possui um papel fundamental perante a administração pública.
Como é possível perceber essa missão não é fácil e vai exigir uma profunda análise sobre o tema, a fim de ser elaborada uma resolução de excelência sobre relatório de impacto no Brasil.
O que podemos adiantar é que a pressa é inimiga da perfeição e mesmo que sejam necessárias urgentes orientações sobre o tema, apressá-las irá certamente esvaziar a profundidade e ignorar a complexidade existente no debate que envolve esse instrumento.
Portanto, a nossa recomendação nessa análise resumida é que o debate sobre esse instrumento seja segmentado em eixos de análise, a partir dos desafios aqui mapeados.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE

antitruste

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

ANPD publicou portaria que tornou pública a sua agenda regulatória para o biênio 2021-2022

LGPD: Desafios da regulamentação do relatório de impacto

ANPD publicou portaria que tornou pública a sua agenda regulatória para o biênio 2021-2022