Daniela Monte-Serrat Cabella
Acaba de ser sancionada a Lei Geral de Proteção de Dados Pessoais (LGDP). Pouco mais de um mês da aprovação do PLC 53/2018 no Senado, o país passa a ter regulamentação específica para a proteção do direito fundamental à privacidade. Um dos pontos que mais gerou repercussão no período de aguardo pela sanção foi a possível criação de uma Autoridade Nacional de Proteção de Dados (ANPD), ao final vetada pelo presidente Michel Temer.
Houve muita expectativa e debate sobre a validade de tal medida, uma vez que o projeto de lei tem origem no Congresso Legislativo, e a criação de um órgão da Administração Indireta (autarquia especial vinculada ao Ministério da Justiça) é prerrogativa do Poder Executivo. Por outro lado, havia quem entendia que o Congresso poderia sim prever a criação da entidade, sendo a função do Executivo justamente definir sua estrutura, dotação orçamentária e todos os detalhes necessários para sua efetiva criação e funcionamento.
Vale destacar que a criação desta entidade não envolve apenas a questão procedimental/legal, mas o impacto econômico para o país. Afinal, no início (quando criada), irá contribuir para aumentar o “custo Brasil”. Este tipo de órgão precisará alcançar eficiência e sustentabilidade, e isso ocorrerá com a aplicação das multas, mas levará algum tempo. Logo, será necessário afetar recursos para esta finalidade. Algo que o país não dispõe agora. Logicamente, querer correr para realizar em alguns meses o que a Europa levou alguns anos gera um alto custo, mesmo que seja pelo bem comum.
De todo o modo, é fundamental que o país crie o quanto antes sua autoridade nacional independente, inclusive para estar de acordo com o General Data Protection Regulation (GDPR) e obter decisão de adequação positiva da União Europeia em favor do Brasil. E qual nosso interesse em ser beneficiado com uma decisão de adequação? A vantagem é ser comparado a um país-membro da UE no que diz respeito ao tratamento de dados pessoais e, com isso, não ser necessário utilizar nenhum outro tipo de salvaguarda ou requisito para o envio, compartilhamento ou recebimento de dados pessoais com países da UE. Esse é um importante aspecto competitivo, especialmente para as pequenas e médias empresas, pois reduz custos.
Sendo assim, apenas a legislação específica em proteção de dados e que segue os parâmetros do GDPR não é suficiente para que o Brasil tenha uma decisão de adequação: é necessário ter uma ANPD em plena atividade! Agora, olhando para a União Europeia (UE), é possível observar que há diferenças não apenas culturais e entre os sistemas jurídicos dos países-membros, mas também entre suas autoridades supervisoras, quando comparadas entre si, e o modo como desempenham suas atividades – algumas estão melhor equipadas, como a da Alemanha, e outras estão com algumas dificuldades, como a de Portugal. Semelhantemente, o Brasil também constituirá uma autoridade que reflete seu sistema jurídico e sua cultura. Dessa forma, quais os critérios que a Comissão Europeia levará em consideração no momento de analisar uma autoridade nacional independente brasileira tendo em vista uma decisão de adequação?
Foi a pergunta que fiz a Bruno Gencarelli, Chefe da Unidade de Proteção e Fluxo de Dados Internacionais da Diretoria-Geral para Justiça e Consumidores da Comissão Europeia, durante o IX Seminário de Proteção à Privacidade e aos Dados Pessoais, promovido pelo Comitê Gestor da Internet no Brasil (CGI.br) e o Núcleo de Informação e Coordenação do Ponto BR (NIC.br), nos dias 7 e 8 deste mês de agosto. Segundo Gencarelli, a resposta está no próprio atributo da autoridade: “independência”. Dessa forma, a Comissão Europeia irá analisar três aspectos de independência da ANPD para decidir se ela está ou não em conformidade com as diretrizes de proteção de dados estabelecidas pelo GDPR, quais sejam: (1) estrutura / organização; (2) função, e (3) poderes.
No primeiro aspecto, a Comissão Europeia irá analisar se a autoridade nacional está organizada de modo a não sofrer influência externa (direta ou indireta) do Poder Executivo, por exemplo, e se lhe são fornecidos recursos humanos, técnicos, financeiros e infraestrutura adequada para o efetivo desempenho de suas atividades. Também irá verificar se a ANPD não é controlada financeiramente por outro órgão, ou seja, se possui dotação orçamentária própria, separada dos demais órgãos. Já no que diz respeito às funções, a Comissão Europeia levará em consideração se os membros da autoridade nacional estão ou não sujeitos, direta ou indiretamente, à influência de terceiros. Quando estiverem investigando casos, decidindo se uma violação merece ou não uma sanção ou emitindo diretrizes, por exemplo, eles não podem buscar nem receber instruções de ninguém – devem ser livres para exercer suas funções sem qualquer tipo de pressão externa. Por fim, com relação aos poderes, a ANPD precisa demonstrar, na prática, que está investida de poderes investigativos, corretivos e consultivos que asseguram o exercício pleno de suas funções.
Fica claro, portanto, que, apesar das particularidades e dos diferentes níveis de maturidade de cada país, o requisito fundamental que a Comissão Europeia vai analisar em uma ANPD para fins de uma decisão de adequação favorável é a prática de independência na sua organização, exercício de funções e poderes. E para que o Brasil tenha uma decisão de adequação, além da LGPD já aprovada, precisamos torcer para que seja criada, tão logo possível, a nossa Autoridade Nacional de Proteção de Dados. Precisamos avançar com um Brasil Digital sustentável, ético, onde a transformação digital está suportada pelos valores da proteção de dados e da segurança da informação. Avante!