A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 29 de outubro, a primeira resolução¹ editada por seu Conselho Diretor, destinada a regulamentar o processo fiscalizatório, bem como o processo administrativo sancionador daquela agência. Suas atividades englobam expressamente: monitoramento, orientação e atuação preventiva, sem se descuidar da aplicação de sanções administrativas (art. 2º, caput e parágrafos)².  

Com a publicação e imediata entrada em vigor do regulamento, tanto os titulares de dados pessoais cujos direitos são objeto de proteção pela ANPD, quanto os "agentes regulados", sujeitos à fiscalização e às sanções, passam a conhecer as regras do jogo, desde os deveres de quem realiza o tratamento de dados pessoais de terceiros, até o trâmite do processo administrativo sancionador em todas suas fases, com destaque para as regras processuais e procedimentais.

As definições surgem em boa hora, pois a ausência de uma cultura de proteção de dados no Brasil, aliada à possibilidade de punições em diversas frentes - administrativas e judiciais - em razão de um mesmo fato e à inexistência de parâmetros para a aplicação de penalidades trazia ansiedade e insegurança jurídica aos agentes de tratamento de dados (controladores e operadores)³. Neste sentido, importantíssima a definição de que a ANPD irá promover "a orientação, a conscientização e a educação" de pessoas e empresas, assim como buscará "a construção conjunta e dialogada de soluções" (art. 15, §§ 2º e 3º).

Isso porque, em que pese o considerável prazo de vacatio legis - aumentado no capítulo relativo às sanções administrativas - é certo que grande número das empresas ainda não se adequou totalmente à Lei Geral de Proteção de Dados Pessoais (LGPD) e, mesmo as que já finalizaram a adequação, a falta de critérios bem definidos sobre as infrações e a aplicação de sanções faz com que a função educativa e de conscientização por parte da ANPD seja essencial neste primeiro momento.

Na mesma linha, também adequada a indicação de que a Autoridade Nacional trabalhará com ciclos anuais de monitoramento e mapas dos temas prioritários que serão objeto de estudo e planejamento da atividade de fiscalização, com definição de objetivos e cronograma de execução (arts. 19 a 23).

No âmbito processual, um dos destaques é a contagem dos prazos apenas em dias úteis, excluído o dia do começo e incluído o do término do prazo, (art. 8º), regra que se encontra em total consonância com o Código de Processo Civil e que já deveria ter sido objeto de alteração na Lei 9.784/99, que regula o processo administrativo federal⁴. Para as intimações (art. 12), são previstas desde a forma eletrônica, com leitura da determinação constante diretamente nos autos eletrônicos, até a publicação de edital, meio de comunicação fictício em que se sabe - desde os bancos da faculdade - que não é atingido o objetivo primordial da intimação, que é dar ciência às partes do que ocorre no processo⁵.

Traçando certo paralelismo com o interesse processual⁶, o regulamento exige que a apresentação de requerimentos à ANPD seja acompanhada da comprovação de que o requerente submeteu previamente seu pedido ao controlador e que o problema não foi solucionado no prazo estabelecido (art. 25, § 1º). Ou seja, se o titular dos dados pessoais ou o interessado sequer procurou o agente de tratamento para resolver a situação, não poderá bater às portas da ANPD com sua reclamação.

No capítulo da atividade preventiva, destaca-se o plano de conformidade para evitar ou remediar situações de risco ou de dano aos titulares de dados pessoais. Tal plano deve prever o objeto, as ações a serem adotadas, o prazo, os critérios de acompanhamento e finalmente a verificação dos resultados. Seu descumprimento tem como consequência o início da atuação repressiva da ANPD e pode ainda ser considerado agravante em procedimento sancionador (art. 36).

De ofício ou após processo de monitoramento ou de fiscalização, com ou sem a realização de procedimento preparatório pela Coordenação-Geral de Fiscalização da ANPD, pode finalmente ser instaurado o processo administrativo sancionador (art. 37 e seguintes), que deverá seguir uma série de princípios da Administração Pública, tais como legalidade, finalidade, motivação e busca de fins de interesse geral.

As garantias processuais da ampla defesa e do contraditório também se encontram presentes, além de ser expressamente "vedada a imposição de obrigações, restrições e sanções em medida superior àquelas estritamente necessárias ao atendimento do interesse público". Esta última previsão, embora salutar, terá difícil aplicação, pois a definição do que seria estritamente necessário ao interesse público envolve grande dose de subjetivismo e discricionariedade, podendo-se desde já imaginar que o Judiciário será chamado a se manifestar sobre eventuais exageros na imposição de sanções administrativas.

Como tópico derradeiro, o regulamento - ao contrário da previsão genérica do artigo 65 da Lei nº 9.784/1999 - traça as hipóteses e o procedimento do pedido de revisão administrativa das sanções, pleito que não terá efeito suspensivo relativo ao crédito decorrente da aplicação das punições (arts. 68 e 69).

Com a edição do regulamento, a ANPD privilegiou a segurança jurídica, possibilitando que as empresas tenham conhecimento prévio do que as aguarda em casos envolvendo o tratamento de dados pessoais.

_____________

1 Resolução CD/ANPD 1/2021.