MP cria a Autoridade Nacional de Proteção de Dados e adia a entrada em vigor da Lei Geral de Proteção de Dados Pessoais
Foi publicada hoje no Diário Oficial da União a Medida Provisória (MP) nº 869, de 27 de dezembro de 2018 que cria a Autoridade Nacional de Proteção de Dados (ANPD), órgão integrante da Presidência da República dotado de autonomia técnica e competência para zelar pela proteção de dados no Brasil.
A MP vem alterar aspectos da Lei nº 13.709, de 14 de agosto de 2018, chamada Lei Geral de Proteção de Dados Pessoais (LGPD). O projeto de lei que deu origem à LGPD já previa a criação da ANPD, mas foi objeto de veto presidencial em virtude de suposto vício de iniciativa. A alternativa encontrada foi a instituição da ANPD por meio de medida provisória.
A inexistência do órgão colocava em risco a plena efetividade da LGPD. A MP confere à ANPD diversas atribuições, dentre as quais a competência para editar normas e procedimentos sobre proteção de dados pessoais, deliberar sobre a interpretação da LGPD na esfera administrativa, difundir o conhecimento sobre as normas e as políticas públicas de proteção de dados pessoais e sobre as medidas de segurança, promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, requisitar informações sobre operações de tratamento de dados a operadores e controladores. A ANPD terá também competência exclusiva para aplicar sanções na hipótese de descumprimento da LGPD (art. 55-J da LGPD). Suas competências prevalecem sobre aquelas correlatas de outras entidades ou órgãos da administração pública, no que se refere à proteção de dados pessoais (art. 55-K da LGPD).
A ANPD é composta por (i) Conselho Diretor; (ii) Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; (iii) Corregedoria; (iv) Ouvidoria; (v) órgão de assessoramento jurídico próprio; e (vi) unidades administrativas e unidades especializadas necessárias à aplicação do disposto na LGPD. O Conselho Diretor, órgão máximo de direção, será formado por cinco diretores, dentre eles um Diretor-Presidente, nomeados pelo Presidente da República para mandatos de quatro anos1. Já o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será formado por vinte e três representantes e respectivos suplentes, oriundos de diversos órgãos e entidades e designados pelo Presidente da República. Compete-lhe a propositura de diretrizes estratégicas e o fornecimento de subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD (art. 58-B da LGPD).
A estrutura regimental da ANPD será estabelecida por ato da Presidência da República. Até que isso ocorra, o órgão receberá o apoio técnico e administrativo da Casa Civil para o exercício de suas atividades.
Demais alterações
Além de instituir a ANPD, a MP promoveu outras alterações relevantes. Pessoas jurídicas passarão a poder desempenhar, ao lado de pessoas naturais, o papel de encarregado pelo tratamento de dados pessoais – agente que atua como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
A MP estabelece uma nova hipótese em que se admite a comunicação entre controladores de dados pessoais sensíveis referentes à saúde, ainda que com objetivo de obter vantagem econômica. A saber, nos casos em que for necessária para a adequada prestação de serviços de saúde suplementar.
O art. 20 da LGPD – norma que garante ao titular de dados o direito de solicitar a revisão de decisões que afetem seus interesses tomadas unicamente com base em tratamento automatizado – também foi alterado. De acordo com a redação original, tal revisão deveria ser feita por pessoa natural, o que não é mais exigido.
A MP também ampliou o rol de hipóteses em que o Poder Público está autorizado a transferir a entidades privadas os dados pessoais constantes de bases de dados a que tenha acesso, o que passa a ser admitido, por exemplo, caso seja indicado um encarregado pelo tratamento de dados pessoais (art. 26, § 1º, III da LGPD).
A MP eliminou a vedação, contida no § 4º do art. 4º da LGPD, agora revogado, a que a totalidade dos dados pessoais de banco de dados constituídos para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais fosse tratada por pessoas jurídicas de direito privado, desde que controladas pelo Poder Público.
Foram também revogados os § 1º e § 2º do art. 7º da LGPD, que exigiam a comunicação aos titulares dos dados quando o tratamento fosse realizado pelo controlador para o cumprimento de obrigação legal ou regulatória ou pela administração pública no âmbito da execução de políticas públicas, ora dispensada.
A MP adiou a entrada em vigor da LGPD para 15 de agosto de 2020. Exceção é feita às normas relativas à criação e organização da ANPD, que entram em vigor desde já.
1 Especificamente com relação aos primeiros membros do Conselho Diretor, os prazos de mandato serão excepcionalmente de dois, três, quatro, cinco e seis anos (art. 55-D § 4º da LGPD).
Autores L&S
