Transferência internacional de dados: a importância de uma Autoridade Nacional de Proteção de Dados independente
Após um turbulento processo legislativo, a Autoridade brasileira de Proteção de Dados (ANPD) foi finalmente criada em julho de 2019. A autoridade foi vinculada à Presidência da República, sem orçamento próprio, sem mão de obra especializada e com natureza jurídica transitória. Dentro de dois anos, poderá ser transformada pelo Poder Executivo em entidade de regime autárquico especial, a exemplo das demais agências reguladoras brasileiras. Esse desenho institucional peculiar desperta dúvidas quanto à independência da nova Autoridade.
Tanto a Organização para a Cooperação e Desenvolvimento Econômica (OCDE) quanto as principais legislações internacionais sobre o tema estabelecem que uma autoridade nacional autônoma, independente e com alta especialização técnica é essencial para o equilíbrio entre proteção de dados e inovação, bem como para garantir a segurança jurídica. A independência também é imprescindível para proteger a autoridade nacional do próprio governo – um potencial violador bastante óbvio de dados pessoais.
Um nível adequado de proteção, incluindo a existência e funcionamento efetivo de uma ou mais de uma autoridade de proteção de dados independente é um dos requisitos para a transferência de dados pessoais para outros países. Ao lado de outras hipóteses legais que possibilitam a transferência internacional de dados pessoais - como por exemplo um instrumento juridicamente vinculante entre governos ou cláusulas contratuais aprovadas pela autoridade nacional - o Regulamento Europeu de Proteção de Dados (GDPR) prevê que uma decisão de adequação proferida pela Comissão Europeia possibilitará a transferência internacional de dados, sem que seja necessária autorização prévia específica.
O GDPR também estabelece condições para que uma autoridade seja autônoma: atuar com completa independência, possuir recursos humanos, técnicos e financeiros, instalações e infraestrutura necessárias à realização de suas competências.
A Lei Geral de Proteção de Dados (LGPD) brasileira seguiu um padrão semelhante ao europeu ao estabelecer o grau adequado de proteção que é exigido para liberação do fluxo internacional de dados; a exemplo da União Europeia, o Brasil também contempla outras hipóteses legais que ensejam a transferência internacional de dados. Dito isto, a questão que se impõe neste momento é quanto à solidez da independência da ANPD. Seu desenho institucional suscita preocupações quanto à sua permeabilidade a pressões políticas e quanto à suficiência dos mecanismos existentes para assegurar que as sanções que venha a impor serão efetivamente aplicadas.
Não há dúvidas de que a LGPD prevê mecanismos que contribuem para que a ANPD seja de fato independente. A lei garante expressamente autonomia técnica e decisória à ANPD, assegura a seus diretores mandatos fixos e veda a demissão discricionária. Além disso, a lei brasileira também garante freios e contrapesos entre o Executivo e o Legislativo ao estabelecer que o Senado deve aprovar as indicações do Presidente para o Conselho Diretor. Ou seja, o desenho institucional da ANPD parece ser suficiente para garantir sua autonomia.
Entretanto, a independência e a eficácia da ANPD não podem ser garantidas a priori. Disposições como “é assegurada autonomia técnica e decisória à ANPD” não são suficientes para assegurar a efetiva independência. Como já observado em outros países, a falta de autonomia financeira e administrativa pode comprometer o funcionamento de autoridades independentes. No Brasil, não foi assegurada à ANPD mão de obra especializada, tampouco orçamento próprio. Além disso, o Presidente da República vetou importante fonte de receita para a autoridade - a cobrança de taxas por serviços prestados – assim como penalidades que poderiam tornar a Agência mais eficaz.
Apenas a experiência demonstrará se a ANPD será independente de fato para alcançar o grau de proteção exigido para uma decisão de adequação que possibilite a livre transferência internacional de dados pessoais. Há razões para acreditar que o atual desenho institucional é suficiente para assegurar a independência da autoridade. No entanto, a prática pode demonstrar exatamente o oposto. Os dois próximos anos serão de máxima importância para analisar a atuação da ANPD.
Autores L&S
