O presidente da Autoridade Nacional de Proteção de Dados (ANPD), Waldemar Gonçalves Ortunho Junior, afirmou em entrevista exclusiva ao JOTA que o principal foco de atuação da ANPD no primeiro momento será a educação, e não a aplicação de multas e sanções contra empresas detentoras de dados.

Segundo Ortunho, a recente experiência das agências reguladoras com multas aplicadas mostram que as penalidades e sanções são “pouco eficientes''.

“Retiram um valor financeiro de uma empresa e não há garantia que esse valor retornará para a nossa atividade. O valor vai para um caixa comum do governo e nem sempre retorna para área de dados, telecomunicações ou algo do tipo”, afirmou o presidente da ANPD. “Queremos tornar a fiscalização menos punitiva e mais educacional”, concluiu.

A entrevista ao JOTA também teve a participação de Miriam Wimmer, diretora do Conselho Diretor da ANPD. Segundo Wimmer, a experiência recente no Brasil mostra que o “chicote” não tem a mesma eficácia do que o diálogo. Ela cita o exemplo de agências reguladoras que possuem “algumas dezenas de bilhões de reais em multas judicializadas não pagas”.

Ela assevera a importância de usar o diálogo como forma de incentivar o compliance. “A lógica de co-regulação, introduzida pela LGPD, prevê a atuação não só no mandar e obedecer, mas também na lógica do diálogo, atribuindo ao ente regulado a responsabilidade de contribuir para as soluções. Esse tipo de regulação é imprescindível para o sucesso da nossa missão”, concluiu a diretora.

De acordo com Waldemar Gonçalves Ortunho Junior, os membros da ANPD já estão elencando os principais temas de regulação e normatização que merecem maior atenção no início de funcionamento do órgão. Segundo o presidente, os temas de maior risco terão preferência.

“Já temos nossa coordenadora geral de normatização elencando vários pontos para que em um segundo momento nós pontuarmos as prioridades”, afirmou Ortunho.

Para Miriam Wimmer, os temas “mais críticos, com maior impacto econômico e que se relacionem com direitos dos titulares” devem vir primeiro para a discussão de regulamentação.

“A LGPD tem mais de uma dezena de pontos que requerem regulamentação e são temas dos mais variados, desde proteção de crianças e adolescentes até regras para relatórios de impacto de proteção de dados pessoais”, afirmou Wimmer.

Leia a entrevista ao JOTA na íntegra abaixo.

Como está o processo de criação da ANPD?

Waldemar Gonçalves Ortunho Junior - no dia 6 de novembro, cinco diretores foram nomeados, que é a data de nascimento da autoridade. É o que tinha até então, mais nada. Não tínhamos acesso ao Serviço Eletrônico de Informação (SEI), espaço físico, cadeira, telefone, nada disso. Passamos a nos reunir no próprio Palácio do Planalto, já que no regime transitório de dois anos estamos vinculados diretamente à Presidência.

A lei foi aprovada em 2018, entrou em vigor agora e a autoridade foi criada agora. Buscamos fazer nosso dever de casa. Não entramos em 2021 com tudo pronto, mas a gente já está elencando tudo o que é necessário e vital para a autoridade e vamos precisar dar uma priorizada em relação às limitações, especialmente em termos de quantitativo de pessoal. Isso, entretanto, não justifica lentidão, falhas e coisas do tipo.

Estamos buscando as pessoas certas. Telebras é um foco, Anatel, outro. O governo de forma geral está ajudando bastante a autoridade. As agências que têm efetivo grande que podem ceder alguém para a ANPD neste momento entendem que pode haver prejuízos a elas, mas por outro lado veem que é importante para quem está começando receber pessoas com experiências de áreas como regulação, normatização e fiscalização.

Os nossos cinco diretores foram uma seleção muito feliz. Têm experiência boa em gestão, negociação e vêm da área técnica. A Miriam, por exemplo, respira proteção de dados desde que nasceu, é uma das pessoas mais experientes no Brasil em proteção de dados, um ganho violento. O professor Joacil Basilio Rael, que tem mestrado e doutorado, idealizou o primeiro curso de proteção de dados no Brasil. Alguém que tem um foco acadêmico muito importante para a autoridade. Arthur Pereira Sabbat, com expertise em cyber security, também vem atuando há bastante tempo na área. E a Nairane Farias Rabelo Leitão, que vem do mercado privado e para nós é fundamental esse conhecimento do mercado privado. Nossas decisões serão sempre em termos de colegiado, então é importante termos diretores com visões diferentes para termos uma discussão e considerarmos vários pontos interessantes na tomada de decisão.

Já estamos preparando um edital para a formação do nosso Conselho Nacional de Proteção de Dados e Privacidade. A sociedade anseia pela formação e pela primeira reunião do grupo. Será uma data bem marcante, definida no início do próximo ano.

Miriam Wimmer - o clima é de muito entusiasmo, todos os diretores têm noção do privilégio que é ajudar a construir algo tão importante do zero. São desafios enormes de todas as ordens. Tem diretor que está visitando galpões de móveis empoeirados para mobilar a sede. Ao mesmo tempo, temos perfeita dimensão desse trabalho e da importância da construção de um arcabouço normativo que dê segurança jurídica para todos: empresário, cidadão e poder público, ainda mais no momento que começamos a ver uma judicialização bastante intensa nesses assuntos.

O nosso entusiasmo tem a ver com a ideia de contribuir com uma solução e resolver uma série de problemas, contribuir para o aumento da competitividade brasileira na medida em que consigamos aos poucos promover essa mudança de cultura para adoção de padrões mais elevados de proteção de dados pessoais, que já é um imperativo dessa economia digital. É uma realidade em muitos países e é um caminho que o Brasil deve trilhar.

Já tem sido feito algo em torno da questão de regulamentação de alguns temas? Quais serão as prioridades nesse começo?

Waldemar - esse trabalho já está sendo feito. Estamos elencando o que merece e deve ser regulado, regulamentado e normatizado. Já estamos dialogando tanto com o próprio governo como com a sociedade. Alguns exemplos muito citados, como a transferência internacional de dados, micro e média empresa, startups, estamos ouvindo tudo isso. Já temos nossa coordenadora-geral de normatização elencando vários pontos para que em um segundo momento nós pontuarmos a prioridade um, dois e assim por diante. O que tiver mais riscos é o que vamos trabalhar de uma forma preferencial. Isso já estamos fazendo, apesar de poucas nomeações já temos um grupo praticamente definido.

Miriam - nosso esforço também é trabalhar em harmonia com todo mundo que está inserido na questão de dados pessoais. A LGPD tem mais de uma dezena de pontos que requerem regulamentação e são temas dos mais variados, desde proteção de crianças e adolescentes até regras para relatórios de impacto de proteção de dados pessoais. Com a nossa equipe enxuta, temos que estabelecer um planejamento, uma agenda regulatória para sinalizar à sociedade o que será tratado primeiro e para podermos concentrar os esforços.

Vale a pena lembrar que a LGPD é bastante rigorosa em termos de requisitos formais da produção normativa. Precisamos fazer uma avaliação de impacto regulatório, consulta pública e audiência pública antes da edição de qualquer ato normativo. São regras até mais rígidas do que outras agências reguladoras, que fazem consulta pública mas não necessariamente audiência pública. Temos que fazer o pacote completo. Por conta disso, o que tem sido feito é primeiro o mapeamento da lei: o que a lei requer que seja regulamentado? E, depois, quais os outros pontos que precisaremos tratar para dar segurança. Então, por exemplo, notificação de incidente de segurança: qual é o processo? Como notificar? Qual é o prazo? Todos esses itens foram elencados e nós estamos nesse momento deliberando o que vem primeiro e quais áreas da ANPD vão tratar dos diferentes pontos.

Existem questões de padrões técnicos, por exemplo, e isso provavelmente ficará com uma coordenação, enquanto relações institucionais ficará com outra. Vamos priorizar e organizar as tarefas que estão em andamento neste momento e temos noção que os temas mais críticos, com maior impacto econômico, que se relacionem com direitos dos titulares naturalmente precisam vir primeiro. Antes de mergulhar em questões muito específicas de setores.

Sabemos que a cultura de proteção de dados ainda é muito nova no Brasil. Muitas pessoas estão ouvindo sobre esse assunto somente agora. Neste começo da atuação da ANPD podemos esperar uma atuação mais educacional, com objetivo de esclarecer e difundir alguns princípios para a população, empresas e órgãos públicos?

Waldemar - essa é a pergunta que mais tenho respondido nos vários painéis que tenho participado desde nossa fala no Senado. Nosso principal foco no primeiro momento será educação. A gente viu o resultado que multas e sanções provocam nas diversas áreas, que são pouco eficientes. Retira um valor financeiro de uma empresa e não tem garantia que esse valor retornará para a nossa atividade. Vai para um caixa comum do governo e nem sempre retorna para área de dados, telecomunicações ou algo do tipo. Não tenha dúvidas que a empresa vai distribuir para os seus clientes essa multa, ela será rateada. Ou seja: a eficiência de sanção é muito pequena, vai surtir efeito naquelas empresas que são totalmente alienadas às orientações e regras do jogo.

Neste primeiro momento a educação é extremamente importante em termos que não só o titular de dados mas as empresas passem a valorizar a proteção de dados pessoais, o objetivo é uma mudança de cultura. A gente sabe que isso não é uma coisa rápida, leva-se tempo.

O mercado mundial, que está há mais tempo trabalhando nisso, mostrou que é um processo mais lento, mas é algo que temos que batalhar bastante, com parceria da ANPD com as diversas empresas, com bastante campanha educativa para o titular que questione o porquê de estar fornecendo essa dado, se é justificável à empresa estar solicitando vários dados. Vemos depois que o objetivo era outro. A parte educativa é o principal objetivo da autoridade nos primeiros anos.

Miriam - justamente por conta do nosso diálogo com outras agências reguladoras, temos observado que a experiência delas é que a condição da eficácia da regulamentação não é o chicote, mas o diálogo. Então, olhamos para o caso da Anatel que tem algumas dezenas de bilhões de reais em multas judicializadas, não pagas, aí precisa fazer acordo. O que isso melhorou na vida do cidadão? É bastante questionável. Grande parte das agências agora trabalha com a ideia de regulação responsiva, que é uma linha de pensamento que aposta muito no diálogo para incentivar o compliance. A lógica de co-regulação, introduzida pela LGPD, que prevê que atuamos não só no mandar e obedecer, mas também na lógica do diálogo, atribuindo ao ente regulado a responsabilidade de contribuir para as soluções. Esse tipo de regulação é imprescindível para o sucesso da nossa missão.

Vocês citaram a interação com outras agências e órgãos reguladores. Como será a interação, por exemplo, com o setor bancário e o de saúde, duas das áreas que são sempre mais citadas pelas empresas? Com que a ANPD vai fazer relação com o consentimento de dados que o Banco Central dá em relação ao PIX e Open Banking, por exemplo? No setor de saúde, há algumas questões relacionadas ao consentimento de dados sensíveis. Como está sendo essa interação?

Waldemar - Temos uma coordenação geral de relações institucionais e internacionais. Neste primeiro momento é muito importante essa relação e negociação. Só não podemos atrapalhar. A autoridade chega para melhorar essa troca e vivência de dados. Temos que fazer com que a coisa continue andando e caminhando quanto aos compartilhamentos, mas com responsabilidade. Isso é muito importante deixar claro para empresas e sociedade. Com o uso responsável de dados todos vão ganhar.

Esta negociação e troca de experiências já está acontecendo, e vemos a experiência de outras autoridades. Estamos às vésperas de o Reino Unido voltar a negociar com a União Europeia sobre como ficará a negociação de dados pessoais.

Miriam - quando olhamos para a complexidade de nossa administração pública, tanto federal quanto estadual e municipal, vemos que precisamos articular com outros órgãos. Não queremos substituir as regulações do Banco Central ou da ANS, por exemplo. Mas quando pensamos na importância do dado em todos os setores, nosso papel é de articulação e ser o eixo central desse sistema de proteção de dados pessoais. Justamente por isso a LGPD diz que a ANPD é um órgão articulador em setores regulados, não por acaso existe uma coordenação-geral que tem esse papel. Exatamente porque lidamos com um cenário de enforcement complexo e fragmentado, dada a multiplicidade de órgãos públicos, aí está a importância do diálogo para o papel educador e de regulação responsiva.

Como podemos contribuir para a segurança jurídica? Dando orientações, indicando procedimentos a serem observados, tecnologias mais seguras… Nosso papel é entabular um diálogo para compreender as necessidades, tanto no governo como no setor privado, e achar soluções para estabelecer esse ponto de equilíbrio.

Recentemente, tivemos tentativa de ataque ao TSE e ao STJ. Como será o tratamento da ANPD ao uso de dados no poder público?

Waldemar - vamos tratar caso a caso. No setor público, já que o caixa é o mesmo, não há necessidade de aplicar uma sanção e a multa voltar para o governo. Essa nossa atuação é em forma pró-ativa, para evitar que aconteça irregularidades e falhas. E, se acontecer, o tratamento será o mesmo, de apontar falhas para que não se repita em outros organismos, seja público ou privado, e atuar para proteger ao máximo o cidadão.

A parte técnica é importante, várias medidas podem ser tomadas em banco de dados de forma sempre a dificultar ataques. A tecnologia sempre vai ser viva. Um hacker tem um procedimento no ataque e, no seguinte, já há outro. Então, o que você viu, já está ultrapassado. Ele sempre estará inovando. É importante atuar como faz o sistema financeiro, que compartilha com as outras instituições qual a forma que o invasor tem para que se evite ao máximo a repetição de ocorrências. Já temos ciência de casos de falhas e invasões, e estamos vendo onde o titular dos dados está sendo lesionado.

Vamos normatizar quais são as ações e medidas que as empresas têm de adotar; visualizar se as regras adotadas por tal empresa são só para atender o que a LGPD determina ou se a companhia de fato abraça e as adota sendo seu mecanismo de defesa. No setor privado, a reputação é muito importante, o dano é muito pior que uma sanção, e notamos que as empresas estão conscientes disso. Montar um nome no mercado leva anos, e em poucos segundos pode se desfazer. Quando temos notificação de vazamento de dados, diretores e a área jurídica já ficam preocupados com os efeitos para empresa no mesmo momento.

Como será a participação popular na normatização? Propostas de autorregulação serão aproveitadas?

Waldemar - temos aproveitado tudo o que os setores tiveram como iniciativa. Na demora do governo em colocar sua autoridade de pé, alguns setores já lançaram cartilhas e até cursos de aprimoramento na área jurídica para a figura dentro da companhia que será responsável pelo controle de dados pessoais. O mercado não fica parado, ele é atuante, tem inovação sempre e vai vendo as oportunidades e as necessidades que a LGPD apresentou. Ninguém ficou de braços cruzados desde a aprovação da lei, as empresas sabem que será um diferencial no futuro. É importante estarmos atentos ao que vem acontecendo no mundo e no Brasil.

Miriam - concordo integralmente. Ninguém melhor do que o próprio agente para saber o que é factível de ser feito dentro da organização. Vemos com bons olhos essas propostas de autorregulação e busca de conformidade. É algo que a própria LGPD prevê, que os controladores vão formular essas regras de boas práticas de governança e submetê-los à autoridade para aprovação e ciência. Pode ser considerado um fator mitigador de eventuais sanções a serem aplicadas. A lei vale à despeito da ANPD.

A ANPD pode eventualmente expedir alguma regulamentação ou norma que pode ensejar em necessidades de ajustes, mas isso será feito com tranquilidade. A gente vê tanto no Poder Público e também em ambiente empresarial onde há associações mais fortes. É algo muito positivo. Precisamos conhecer e incorporá-las à luz da LGPD.

Waldemar - a normatização tem três fases importantes. A Consulta Pública, Audiência Pública e a análise de impacto regulatório, de como nossa regulação vai impactar as empresas e as sociedades. Estaremos bem maduros de tomar as decisões de forma mais rápida possível, observando essas fases.

Como a LGDP avalia o uso da lei para abusos por parte das empresas no Judiciário e, no futuro, em reclamações à própria agência?

Waldemar - o Judiciário já está preparado para ações. Vão ter aproveitadores de um certo enriquecimento de ações em grande quantidade. O Judiciário já disse que está acostumado, não vai surpreender. Está sendo considerado. Quando a sociedade perceber que não é por aí, é algo que precisa ser levantado de forma consciente. O objetivo é o dado do titular, e não aproveitar a lei para outra finalidade.

Miriam - de um lado temos o contencioso de massa, de pessoas que não conseguem os dados e entram no juizado especial. Não queremos que os tribunais fiquem assoberbados de ações judiciais, e nesse sentido o papel da ANPD é importante para estabelecer os parâmetros, contribuindo para trazer segurança jurídica. E outro tipo de judicialização é a de grandes teses, com decisões importantes nos tribunais estaduais. Esse tipo de judicialização tem como raiz a falta de clareza de como interpretar a lei, de como pode, não pode, então em ambos os casos a ANPD contribui não para eliminar, mas diminuir o impacto da judicialização. Na medida em que as regras do jogo fiquem claras, tende-se a diminuir.

A ANPD tem uma atuação horizontal, abrangendo todos os setores da economia. Ao mesmo tempo, há um déficit de servidores. Assim, como será o começo da agência principalmente em relação à fiscalização, em termos de foco? Será um olhar para grandes empresas, setores?

Waldemar - queremos tornar a fiscalização menos punitiva e mais educacional. Pelo nosso efetivo pequeno, o que pudermos automatizar, será, dado nosso efetivo pequeno. O que será prioritário não definimos ainda, mas vamos considerar onde houver mais riscos. A Coordenação-geral de Fiscalização foi composta por membros que já têm experiência em fiscalização, e aos poucos vamos crescendo. Num curto espaço de tempo atingiremos o tamanho necessário para atuar em todo o país.

Miriam - para além desses pontos, o caminho das parcerias com outros órgãos pode ser interessante. Não iniciamos esse trabalho, já que as sanções só serão aplicadas a partir de agosto do próximo ano, e antes disso precisamos de regulamento de sanções, metodologia, tudo submetido aos regulados antes. Nosso papel inicial é orientação e menos fiscalização e sanção. E também não faz sentido crer que a ANPD terá um fiscal na porta de cada data center, é uma coisa totalmente fora da realidade.

Como está a interação da ANPD com autoridades de dados de outros países?

Waldemar - entramos naquela fala que estamos assistindo bastante ao que as autoridades têm feito. Não poderemos fugir de uma negociação país a país, ou então com a União Europeia. Vamos aprender muito na negociação do Reino Unido com a UE, é um dos temas mais polêmicos e urgentes que estamos observando na agência. Trocar experiências e conversar com outras autoridades será bastante importante.

Miriam - quando olhamos para nossa moderna economia digital é quase clichê dizer que ela é movida a dados. Ela tem uma escala global, e os fluxos transnacionais de dados são elementos imprescindíveis para essa economia digital. Por isso, para o Brasil é importante estabelecer um regime jurídico que possibilite participar desses fluxos transacionais. Nesse sentido, a LGPD segue uma sistemática muito parecida com a europeia ao estabelecer um conjunto de medidas que viabilizem a questão do fluxo de dados pessoais de um país para o outro. De um lado a adequação, que é quando um país reconhece o outro como tendo o mínimo adequado de proteção de dados, e medidas de natureza contratual, certificações, cláusulas contratuais padrão, onde qualquer entidade possa retirar da prateleira e colocar no contrato, sejam cláusulas contratuais específicas para operações, bem como também tratado e cooperação internacional.

Isso é importante para o Brasil para fazer parte dessa economia global, bem como a entrada do país na OCDE, que há 40 anos expedia sua primeira diretriz sobre esse tema de dados. Pretendemos ao máximo explorar esses mecanismos que a LGPD dispõe. Esses dispositivos da LGPD dependem de regulamentação. Temos olhado com atenção e prioridade.

Como avaliam o modelo da ANPD vinculada à presidência em vez de ser uma autarquia independente?

Waldemar - eu acho que melhor do que se adiar a criação foi esse modelo. A independência decisória nos foi dada com o mandato, já que todos têm um tempo de agência. Daqui a quatro anos, teremos a renovação de um quarto dos diretores, como fazem outras agências. O próprio decreto é temporal, e em dois anos devemos partir para uma solução como o Conselho Administrativo de Defesa Econômica (Cade) ou outras agências reguladoras do Brasil. Já estamos atuando dessa forma. Concurso público demora mais de um ano para chamar o concurso e dar posse. Estamos atuando em convencimento do governo no sentido de que isso será necessário, já que têm que ser desencadeadas ações para, em dois anos, estarmos em total independência.

A ligação com a presidência em termos orçamentários é necessária, pois precisamos estar vinculados a algum órgão, e vejo de uma forma bem tranquila e independente a nossa atuação.

Miriam - todos os diretores têm presente essa percepção que é importante mudarmos nosso modelo para nos tornarmos independentes, em linha com as recomendações da OCDE. E, até agora, temos tido total independência na contratação dos servidores, com análise de currículo e entrevistas com todos da diretoria. Também não temos tido dificuldade com outros órgãos. Mais do que discutir a natureza jurídica é ter credibilidade por meio de nossas ações.

O que podemos esperar em 2021 em relação a prazos para a regulamentação? As sessões de julgamento serão públicas?

Waldemar - o espaço inicial permite reuniões até um determinado número de participantes, mas com a pandemia isso será resolvido por videoconferência. Temos alternativas no espaço físico, para médio e grande porte. Na reunião do conselhão, são 23 pessoas, então isso requer um espaço razoável. Estamos considerando, e não vamos ter nenhum problema. Vejo bem a parte que a pandemia nos ensinou, sobre o home office, o que mostrou que a tecnologia é bem importante e causa uma economicidade e rapidez grande em termos de reuniões.

Já temos batido o martelo com nossas instalações. Estamos recebendo mobiliário e preparando para ter um endereço fixo da autoridade, que será em Brasília. Em breve vamos publicar.

Esses prazos, nossa equipe de normatização está formada, estamos trabalhando para dar prioridades neste primeiro momento, mas não estamos fixando prazos. Nossa agenda regulatória é prioridade em termos de ação.

Miriam - estamos terminando de produzir nosso regimento interno, que foi inspirado em agências reguladoras e autoridades de outros países, prevendo a participação da sociedade no processo decisório da entidade, como dispõe, por exemplo, a lei de processo administrativo, para ser transparente. Exploraremos isso ao máximo, por instrumentos formais, como o Conselho Nacional de Proteção de Dados, e informais, como workshops, grupos de trabalho e reuniões. É uma dinâmica positiva, pois quanto mais a gente ouve, menos erraremos. Nossa intenção é ser o mais transparente e aberto possível. Só essa fase de criação requer que a gente se feche um pouco para depois, com mais propriedade, olhar pra fora e incentivar o diálogo.

Deixo o espaço aberto para considerações finais.

Waldemar - neste primeiro momento, o que gerará maior impacto é a educação, a busca de uma mudança de cultura. Não será do dia para a noite, leva-se algum tempo, e todas as ações que estamos preparando e planejando é nesse sentido. Esse respeito e essa credibilidade que queremos conquistar é em função de ações, e não de planos e palavras. Em pouco tempo vamos mostrar nossa seriedade e eficiência.

Foco inicial será criar cultura de dados, diz presidente da ANPD

Em entrevista ao JOTA, presidente do órgão diz que a fiscalização das empresas não terá a 'punição' como prioridade