ANPD e sigilo: expor investigados 'já seria uma punição'

É com oito processos em fase final e outras 6 mil denúncias na fila, que a Autoridade Nacional de Proteção de Dados (ANPD) concluiu a norma que define as punições cabíveis pelas violações à Lei Geral de Proteção de Dados (LGPD) – o chamado “regulamento de dosimetria”. A princípio, os alvos de apuração não serão divulgados até que o processo seja concluído, caso contrário, seria uma “punição precoce”, diz o presidente, Waldemar Gonçalves Ortunho Júnior.

Em entrevista ao Tele.Síntese, o presidente da ANPD detalhou a dinâmica para analisar as denúncias que já chegaram à autoridade. Inicialmente, elas passarão por uma classificação de risco para identificar as mais graves e agilizar o procedimento.

A previsão é de que a equipe leve, aproximadamente, um ano para analisar as denúncias já protocoladas. Mas a primeira sanção deve ser concluída nos próximos três meses, dentre os oito processos que já estão em fase final de análise.

Para dar mais transparência à atuação, a autoridade pretende transmitir online as reuniões deliberativas, mas ainda sem previsão exata e quando começar. O presidente da ANPD foi questionado sobre transparência, cooperação com órgãos do direito do consumidor, obstáculos e o esperado concurso público. Veja os principais trechos:

Tele.Síntese: Neste início da fase de sanções, haverá alguma modulação para fins de adaptação das empresas? As primeiras punições serão mais brandas?

Ortunho: A LGPD foi aprovada em 2018 e entrou em vigor em 2020. Nós já tivemos dois anos de carência, que é justamente para todos os setores, órgãos públicos, já começarem a se adequar ali. Após entrar em 2020, entra em vigor em setembro e a ANPD só foi criada em novembro. Como a ação da ANPD demanda de ferramentas de Regimento Interno, nós tivemos mais uma carência, que foi exatamente a capacitação da ANPD.

[Para] o sancionamento, a própria lei já previa a partir de 1º de agosto de 2021. Mas ainda nos faltava a última ferramenta, que deu a musculatura, que é a dosimetria. Então, agora nós temos uma musculatura para completar esse processo de sancionamento.

As sanções leves, sem reincidências, estas sim, devemos ter medidas mais educativas, uma advertência, algo assim. Já aquela sanção mais grave e média, nós temos um titular de dados e, esse é o nosso principal objetivo: a proteção do titular e dos seus direitos fundamentais.

Os processos abertos são sigilosos. Como vai funcionar a transparência do cidadão aos processos?

Ortunho: Uma vez concluído o processo, torna-se totalmente público e todos terão acesso. Nós temos esse sigilo agora porque uma das sanções que nós temos é a publicização. Eu acho que é uma algo extremamente importante para uma empresa, ela constrói sua reputação e para a desconstrução é uma coisa rápida.

O simples fato de eu estar dizendo: ‘Olha, uma das oito empresas que estão aguardando a dosimetria é a empresa “X”‘, já seria uma punição prematura desta empresa “X”. Mas isso nós levamos para nossa Procuradoria Federal Especializada [PFE] para analisar essa proteção jurídica.

Temos um prazo para essa análise do limite do acesso do público aos processos?

Não temos um prazo. Adianto que tivemos um primeiro contato com a CGU [Controladoria-Geral da União], justamente para mostrar os limites e pontos que os dois órgãos têm para atuar em conjunto. Então, já iniciamos inclusive um acordo de cooperação técnica com a CGU. É uma negociação. Mas nos anos anteriores nós vimos que as duas leis [LGPD e Lei de Acesso à Informação] são complementares e, em algum caso concreto que gere alguma dúvida, os órgãos passaram a se reunir para um enunciado comum.

Há diferentes interpretações sobre o alcance das sanções. Ela poderá ser aplicada a qualquer processo desde a vigência da LGPD?

Ortunho: O 1° de agosto de 2021 [dia previsto na lei como início das sanções] é uma data importante. No entanto, nós tivemos algumas inconformidades [violações à LGPD] que ocorreram anteriormente e continuam. Então, é aquele ato contínuo, isso deverá ser considerado pela nossa fiscalização. Quer dizer: alguma coisa que aconteceu, atinge um titular, e essa ação não foi interrompida pelo controlador mesmo depois do 1º de agosto.

Como vai funcionar a análise de reincidência?

Ortunho: Como os processos começaram agora, e a reincidência envolve cinco anos, ela entra depois que tem alguma sanção. E temos duas reincidências. Temos a reincidência “específica”, que é quando aquela mesma infração ocorre novamente, ou aquela “genérica” que o controlador continua em inconformidade mesmo que em fatos distintos.

Uma infração cometida em data anterior à primeira sanção pode ser considerada no sentido de reincidência?

Ortunho: Casos concretos serão analisados. Terá todo o processo investigatório, consulta à PFE [Procuradoria Federal Especializada] para não gerar risco jurídico. Mas tudo o que ocorreu será analisado.

Algumas entidades criticam o fato das violações a direitos fundamentais estarem previstas como passíveis da classificação de gravidade “média”. O que envolve este entendimento?

Quando você deixa de entrar em conformidade [à LGPD] e atinge um direito fundamental, a gente vê que é uma ação grave. Mas se nós classificarmos todas as ações como graves não precisaria nem de dosimetria, seria alguma coisa única.

Ortunho: Então, esta classificação que nós damos leva em consideração o dano que aquela infração cometeu. Eu posso ter um vazamento de dados que não deveria ocorrer, mas ocorreu, não causou nenhum dano ao titular, e outro que causou algum desconforto – pode ser um dano financeiro ou algum constrangimento. Então, essa classificação é justamente para nós aplicarmos uma dose proporcional à gravidade do dano causado ao titular.

A má-fé também será analisada nesta avaliação da gravidade, certo?

Ortunho: [Por exemplo], se a empresa teve um incidente de dados, logo que detectou isso comunicou à ANPD e já comunicou o titular para mitigar os riscos e danos, você está vendo uma boa-fé, uma boa prática da empresa e política de governança. Tudo isso será considerado atenuante para a sanção.

Ainda não temos um conceito de “larga escala” [definição de número relevante de pessoas afetadas por determinada violação]. Como a ANPD vai garantir segurança jurídica ao julgar os incidentes sem definir isso?

Ortunho: Nós entendemos que não vai ser mais um ou menos um [indivíduo afetado] que vai alterar a classificação de larga escala ou não. Nós vamos considerar no caso concreto e isto ao longo do tempo vai gerar uma jurisprudência e a própria definição desses valores.

Uma das ferramentas que a ANPD utiliza – e é uma prática da OCDE [Organização para a Cooperação e Desenvolvimento Econômico] – é aquela avaliação de riscos regulatórios. Estamos usando a norma, mas nós estamos avaliando se a norma atingiu o resultado que desejávamos. Então, pode ser que daqui a algum tempo a gente defina um valor [de larga escala].

De que forma a estrutura da ANPD – ainda pequena – pode interferir no amadurecimento da norma de sanções? Porque quanto mais processos analisados, mais maduro fica o regulamento, certo?

Ortunho: Claro. Isso daí é um amadurecimento necessário. Quando você fala em fortalecer a ANPD, eu acho que eu tenho um limite.

Não adianta me mandar mil novos servidores e vai causar um caos aqui para a gente. Ainda não tem estrutura [para tanto], não tem espaço físico, não tem computadores para receber. Então, é um passo que a gente quer fazer, um passo intermediário, de acordo com a capacidade que nós temos para assumir.

E tem a diferença entre norma e guia. O guia sim, tem várias atualizações, mas a nossa norma foi bem pensada, ela teve todo aquele processo de tomada de subsídios, onde a gente coletou tudo o que era possível. Construímos um primeiro texto, tivemos a nossa consulta pública, foram surpreendentes 2.504 contribuições, então a gente entende que ela [a norma de sanções] está bem madura, mas nada está imune a ter algum realinhamento.

Considerando as mais de 6 mil denúncias e o pessoal disponível, leva quanto tempo para analisar esse material?

As 6 mil denúncias que chegaram, nós passamos a fazer a leitura e a classificação. Nós não vamos tratar nada individualmente, seria praticamente inviável com a nossa equipe fazer isto. Então, nós classificamos e atuamos naquelas denúncias que têm maior gravidade à sociedade, é desta forma que a gente vai agilizar.

Ortunho: O ideal para a fiscalização é ter mais processos correndo em paralelo. Então, quando chegar a denúncia, tem alguém aqui penalizando, mas pode chegar uma outra denúncia e não tem ninguém disponível. Então, esse fortalecimento da ANPD é interessante justamente na fiscalização.

Na nossa normatização, por exemplo, várias normas paralelamente sendo executadas. E com isso eu teria um lançamento de mais normas por ano em relação aos anos anteriores. […] Queremos tratar a parte de transferência internacional e outras que possam vir a compor ainda este ano.

Mas e quanto ao tempo para fiscalizar as primeiras 6 mil denúncias? Existe uma meta de produtividade?

Ortunho: Nós já temos um passivo de atuações que nós recebemos, e já vimos que, com a nossa equipe, levaria um ano para analisar o que nós temos atualmente.

Este início de ano, com a mudança de governo, nós tivemos uma procura grande pela ANPD. Então, nós estamos fazendo entrevistas, vendo os diversos currículos e acreditamos que devemos engordar o nosso time. Nós já temos mostrado isso aos diversos órgãos, da necessidade da ANPD agora trabalhar. A gente já montou toda a estrutura, agora é trabalho e, para isso, nós temos que ter pessoas.

Então já apresentamos esta demanda e acreditamos que será considerada e deve gerar até mesmo um concurso público. Essa mão de obra é necessária para aumentar essa produtividade.

Claro que, em um concurso, após o lançamento, até chegar o primeiro concursado leva um tempo. E chegando os concursados, nós temos que fazer uma parte essencial que é a capacitação. Ainda não existe uma carreira de proteção de dados no governo, isso a gente consegue capacitando o nosso servidor.

É um dos pontos que estava sendo discutido na MP… Muita gente questionava de que forma podemos garantir que essas pessoas vão estar preparadas para a função. Então, a ideia é capacitar quem chega?

Ortunho: Na própria requisição nós buscamos. Proteção de dados é algo novo, mas diversas atividades são repetitivas em agências, como fiscalização, lançamento de normas, então nós colocamos essas pessoas exatamente nas funções que nós necessitamos. Para capacitar o assunto proteção de dados pessoais, a gente tem feito cursos internos e externos.

O senhor falou na expectativa de “engordar” a ANPD. Mas engordar quanto? Incluindo o concurso público.

Ortunho: Nós temos duas ações. Como autarquia especial, nós temos que ter uma estrutura que ainda não temos, então… Por um exemplo, eu teria que ter uma auditoria, eu não tenho auditoria, eu não tenho uma assessoria parlamentar, são estruturas importantes para uma autarquia especial. Nós temos rompido essas faltas com habilidades internas.

Mas existe um trabalho junto [aos Ministérios da] Economia e à Casa Civil, de fortalecimento da nossa estrutura, a criação destes cargos para receber os concursados. Então, são duas ações: uma é ter uma estrutura mais adequada à autarquia especial e um concurso público.

Nesse concurso público, não adianta querer em um ano nos igualarmos a algo como uma autoridade do Reino Unido, que tem mil pessoas. Então, o nosso número foi de 215 profissionais e distribuiremos principalmente na fiscalização, normatização, são nossos órgãos finalísticos que necessitam com mais urgência de um fortalecimento mesmo. 215 é o primeiro número que nós temos e que nós podemos abarcar, que já temos material e suporte para receber.

E o que está faltando para esse concurso? Quando deve sair?

Ortunho: Foi feito o pedido, o novo governo está se reestruturando, com novos ministérios, agora nós temos que negociar com a Economia, Casa Civil, com o próprio Congresso Nacional sobre esse PL de fortalecimento.

Então, o concurso segue sem previsão e não tem nada que dependa da ANPD?

Ortunho: Não temos previsão. Por parte da ANPD, estamos fazendo todo esse suporte, apresentando justificativas e mostrando a necessidade em função do tamanho do desafio da ANPD.

Como será a atuação da ANPD com os Procons?

Ortunho: Nós chamamos de titular de dados o que o Procon chama de consumidor. Então, os dois órgãos têm a mesma finalidade de proteção. Depende da onde vai vir uma denúncia. Então, muitos ainda não conhecem a ANPD e dão entrada em um processo através do Procon ou dos dois órgãos.

O Procon é estadual e nós estamos no âmbito federal, mas essa atuação existe. A gente busca uma proximidade ao Procon, nos disponibilizamos para esclarecer alguma coisa em termos de proteção de dados. É uma parceria que está sempre aberta. Poderá ter uma ação conjunta ou separada.

Mas não há termo de cooperação formalizado com os Procons?

Ortunho: Não tem. O Procon tem a sua independência. Com a Senacon, nós já firmamos um acordo de cooperação. Nós já fizemos até a ação em conjunto, no caso Meta [envolvendo o WhatsApp]. [clique aqui para saber mais]

Agora, sobre LGPD Penal. Sabemos que é um tema que compete ao Congresso, mas a lei dá margem para que a ANPD possa intervir. A autoridade pretende atuar nesse tema de alguma forma antes de passar pelo Congresso?

Ortunho: A própria lei já prevê que a ANPD será ouvida em algum momento. Nós não ficamos aguardando. Então, qualquer texto relativo à proteção de dados, nós procuramos o Congresso. Já tem um anteprojeto tratando de LGPD Penal, então nós já trouxemos o texto, nós temos uma equipe já avaliando os pontos de atenção e aí a gente procura a equipe do Congresso, o relator do PL e passamos a conversar.

É importante não deixar a coisa acontecer pra poder atuar. Desde o início nós estamos atuando. Eu não tenho uma assessoria parlamentar. Mas nós entendemos a importância do fato e a nossa Coordenação-Geral de Relações Institucionais passa a abarcar esse tema e enviar ao Congresso

Atualmente há um debate paralelo sobre as plataformas digitais, no Congresso e no Poder Executivo. E não dá para falar de plataformas digitais sem falar de proteção de dados. De que forma a ANPD vai participar do debate?

Ortunho: […] Plataformas digitais é um tema que trouxemos para nossa última reunião e provavelmente nós vamos constituir um grupo de trabalho e atuar nesse tema também, acho que é extremamente importante. Onde tiver dado pessoal, nós temos que ser inseridos, independente de solução de estrutura.

Esse GT vai fazer o quê exatamente?

Ortunho: A finalidade é nós discutirmos isso, ver onde a proteção de dados pode ser relativa às plataformas digitais e termos gente especializada para quando surgir algum grupo, por exemplo, no Congresso, nós já termos pessoal capacitado para fazer a defesa relativa aos dados pessoais.

Eu não tenho uma assessoria parlamentar. Mas nós entendemos a importância do fato e a nossa Coordenação-Geral de Relações Institucionais passa a abarcar esse tema e enviar ao Congresso.