Rafael Viana de Figueiredo Costa

Apesar de uma atuação ainda bastante tímida, a Autoridade Nacional de Proteção de Dados (ANPD) possui o importante mandato de zelar pela proteção dos dados pessoais no Brasil, inclusive decidindo, na esfera administrativa, em caráter terminativo sobre a interpretação da LGPD.
A ANPD é dotada de autonomia técnica e decisória para cumprir com o seu papel institucional, sendo que a aplicação das sanções previstas na Lei Geral de Proteção de Dados Pessoais cabe somente a tal autoridade. As competências da ANPD prevalecem, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.
A importância deste papel institucional no mundo contemporâneo da economia digital está bastante consolidada no mundo dos negócios e na academia, inclusive, sendo bastante reverberada a ideia de que “os dados são o novo petróleo”<a href="#_ftn1" name="_ftnref1">[1]</a>.
Ocorre que outros órgãos ou entidades da administração pública já possuíam mandatos de atuação amplos e capazes, por conseguinte, de produzir algum nível de sobreposição regulatória em relação às competências da ANPD. A crescente importância da informação no mundo atual faz com que cada vez mais entidades reguladoras setoriais intervenham na atuação das empresas reguladas no que se refere ao tratamento de dados, e, mais especificamente, no processamento de dados pessoais.
No caso específico dos mercados financeiro e de capitais, são alguns os exemplos de potenciais sobreposições de comandos normativos. Para ficar apenas em dois casos, citemos aqui a <a href="https://www.jota.info/wp-content/uploads/2022/01/res-4658-v1-o.pdf">Resolução CMN nº 4.658/18</a> e da <a href="https://www.in.gov.br/en/web/dou/-/instrucao-n-612-de-21-de-agosto-de-2019-211908951">Instrução CVM nº 612/19</a>, que alterou a Instrução CVM nº 505/11 (atualmente consolidada na Resolução CVM nº 35/21).
<h3>Quais sobreposições de competências existem e por que isso é relevante?</h3>
Tomando o exemplo de uma instituição corretora (ou distribuidora) de títulos e valores mobiliários, vamos notar que, no que se refere a regras sobre a proteção de dados pessoais de seus clientes pessoas naturais, tal entidade privada está sujeita à comandos normativos editados, inter alia, pelo Conselho Monetário Nacional (<a href="https://www.jota.info/tudo-sobre/CMN">CMN</a>), pelo Banco Central (<a href="https://www.jota.info/tudo-sobre/banco-central">BC</a>), pela Comissão de Valores Mobiliários (<a href="https://www.jota.info/tudo-sobre/CVM">CVM</a>) e, em tese, pela ANPD.
Assim, um eventual fato danoso aos dados pessoais dos clientes sob responsabilidade de tal instituição — que poderia, digamos, ter sido evitado com processos e controles internos mais rígidos —, pode representar uma violação concomitante à Resolução CMN nº 4.658/18, à <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cvm-n-35-de-26-de-maio-de-2021-322442797">Resolução CVM nº 35/21</a> e à <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei 13.709/2018</a>, apenas para ficarmos nos exemplos acima.
Casos de incidentes com dados pessoais de participantes dos mercados financeiro e de capitais não são meras hipóteses, já ocorreram no passado<a href="#_ftn2" name="_ftnref2">[2]</a> (no Brasil e no exterior) e certamente ocorrerão novamente no futuro. Com o avanço da cultura de proteção de dados, os órgãos reguladores começam a dar maior atenção ao risco cibernético e à responsabilidade das instituições atuantes no mercado de capitais em proteger seus clientes do risco de incidentes<a href="#_ftn3" name="_ftnref3">[3]</a>.
Alguns poderiam dizer, neste cenário, que não necessariamente a sobreposição de competências das entidades reguladoras seria um problema, mesmo porque quanto mais responsáveis por supervisionar a proteção dos dados pessoais, melhor, na medida em que isso representaria uma maior proteção ao titular dos dados.
A literatura destaca diversos casos de “delegações duplicadas” (pelo Congresso) a entidades reguladoras do Poder Executivo. No caso do direito norte-americano, um exemplo seria o caso da Environmental Protection Agency (EPA) e da Atomic Energy Commission (AEC), visto que ambas entendem que possuem competência para regular emissões radioativas de fábricas nucleares, nos termos de suas respectivas leis de criação<a href="#_ftn4" name="_ftnref4">[4]</a>. Resumidamente, o problema deste tipo de espaço de ação compartilhado entre as diferentes entidades reguladoras é que, se tais competências forem exercidas em sua plenitude, podem aumentar desnecessariamente os gastos estatais e os custos de observância dos regulados.
Se a atuação entre as diferentes entidades for descoordenada, pode vir a ocorrer no âmbito de CMN, BC, CVM e ANPD, o que já acontece com os órgãos da administração pública responsáveis pelo combate à corrupção, em que se destaca o “risco de determinada empresa ser apenada duas ou mais vezes pelo mesmo fato, a despeito de não ser evidente a pluralidade de bens jurídicos tutelados pelas distintas esferas de responsabilização”.<a href="#_ftn5" name="_ftnref5">[5]</a>
<h3>Mecanismos de cooperação como forma de resposta às sobreposições normativas</h3>
Em vista deste cenário e da necessidade de ganhos de escala e de efeitos, a literatura costuma apontar que é fundamental uma cooperação entre as entidades reguladoras<a href="#_ftn6" name="_ftnref6">[6]</a>.
No caso das entidades às quais aludimos aqui, a inspiração pode vir do Reino Unido, onde já existem mecanismos de cooperação regulatória entre o Information Commissioner (ICO) e a Financial Conduct Authority (FCA)<a href="#_ftn7" name="_ftnref7">[7]</a>. Referido instrumento estabelece parâmetros de cooperação regulatória em áreas em que tais entidades possuem funções e poderes complementares, tanto na fase da investigação, quanto na fase do “enforcement”.
A ANPD já possui alguns acordos de cooperação técnica firmados em 2021 — como por exemplo o celebrado com o Tribunal Superior Eleitoral (TSE) —, e poderia estender esse tipo de instrumento com as instituições reguladoras dos mercados financeiro e de capitais. Isto seria importante para aumentar a troca de conhecimento entre tais entidades, melhorar a qualidade das investigações e evitar o desperdício de recursos com ações de supervisão e de “enforcement” duplicadas.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> ‘Meglena Kuneva - European Consumer Commissioner - Keynote Speech - Roundtable on Online Data Collection, Targeting and Profiling’ (European Commission - European Commission) &lt;<a href="https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_09_156">https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_09_156</a>&gt;. Acesso em 23 Dez. 2021.
<a href="#_ftnref2" name="_ftn2">[2]</a> Ver: <a href="https://valor.globo.com/financas/noticia/2017/01/23/hackers-roubam-dados-de-clientes-da-xp.ghtml">https://valor.globo.com/financas/noticia/2017/01/23/hackers-roubam-dados-de-clientes-da-xp.ghtml</a>. Acesso em 15 Jan. 2022.
<a href="#_ftnref3" name="_ftn3">[3]</a> <a href="https://www.sec.gov/news/press-release/2021-169">https://www.sec.gov/news/press-release/2021-169</a>. Acesso em 15 Jan. 2022.
<a href="#_ftnref4" name="_ftn4">[4]</a> MARISAM, Jason. Duplicative Delegations. Digital Commons @ American University Washington College of Law. Disponível em: &lt;<a href="https://digitalcommons.wcl.american.edu/alr/vol63/iss2/1/">https://digitalcommons.wcl.american.edu/alr/vol63/iss2/1/</a>&gt;. Acesso em: 15 Jan. 2022.
<a href="#_ftnref5" name="_ftn5">[5]</a> MENDES, Gilmar Ferreira; FERNANDES, Victor Oliveira. Disponível em: <a href="https://www.jota.info/especiais/acordos-de-leniencia-e-regimes-sancionadores-multiplos-13042021">https://www.jota.info/especiais/acordos-de-leniencia-e-regimes-sancionadores-multiplos-13042021</a>. Acesso em 15 Jan. 2022.
<a href="#_ftnref6" name="_ftn6">[6]</a> Kloza D and Galetta A, ‘Towards Efﬁcient Cooperation between Supervisory Authorities in the Area of Data Privacy Law’, p. 5 (2015) 1 25.
<a href="#_ftnref7" name="_ftn7">[7]</a> <a href="https://ico.org.uk/media/about-the-ico/documents/2614342/financial-conduct-authority-ico-mou.pdf">https://ico.org.uk/media/about-the-ico/documents/2614342/financial-conduct-authority-ico-mou.pdf</a>. Acesso em 14 Jan. 2022.

Códigos

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Uma ação descoordenada dessas entidades pode elevar gastos estatais e custos de observância dos regulados

ANPD, Banco Central e CVM: pensando mecanismos de coordenação regulatória

Uma ação descoordenada de ANPD, BC e CVM pode elevar gastos estatais e custos de observância dos regulados