Mudanças importantes na Lei Geral de Proteção de Dados

Em um de seus últimos atos como presidente da República, Michel Temer editou a MP 869, de 27 de dezembro de 2018, publicada no DOU de 28 de dezembro de 2018, que alterou a lei 13.709 de 14 de agosto de 2018 (a Lei Geral de Proteção de Dados - LGPD).

A primeira alteração relevante foi o aumento do prazo para entrada em vigor da lei de 18 (dezoito) para 24 (vinte e quatro) meses contados da publicação da LGPD.

O adiamento da entrada em vigor da LGPD representa um prazo adicional importante para que as empresas se adequem à legislação, tendo em vista que o prazo anteriormente estabelecido de dezoito meses era curto, mesmo em comparação com a vacatio legis do General Data Protection Regulation ­- GDPR (a lei europeia de proteção de dados).

Importante ressaltar, no entanto, que, apesar do prazo adicional concedido pela MP, é essencial que as empresas que realizam tratamento de dados deem início aos seus projetos de conformidade o quanto antes, tendo em vista que os requisitos colocados pela Lei são bastante rigorosos e demandam um trabalho amplo e complexo que poderá envolver diversos setores da empresa, desde o de tecnologia da informação ao jurídico, passando por recursos humanos, marketing, e todos os outros que lidem com dados pessoais.

Outra novidade introduzida pela MP, foi a criação - ou recriação - da ANPD. A criação da ANPD estava prevista no projeto de lei aprovado pelo Congresso Nacional, e foi vetada em agosto de 2018 pelo presidente Michel Temer; a alegação foi de vício de iniciativa legislativa, posto que é de inciativa privativa do Presidente da República as leis que criam órgãos da administração pública (vide artigos 61, § 1º, II, 'e', e artigo 37, XIX da CF), e o projeto de lei que deu origem à LGPD foi de inciativa do Legislativo. No entanto, já à época, o Presidente sinalizou que a ANPD deveria ser criada ainda em 2018.

A existência da ANPD robustece a sistemática de proteção de dados criada pela LGPD, na medida em que, dentre outras atribuições, ela será responsável pela edição de normas e regulamentos sobre proteção de dados, fornecendo parâmetros de interpretação da lei. Será a autoridade que fiscalizará a aplicação da lei e aplicará as sanções cabíveis, deverá criar mecanismos para que os titulares dos dados pessoais possam registrar reclamações e promoverá ações de disseminação da cultura de proteção de dados e de privacidade.

A composição e as atribuições da ANPD e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade são detalhadas nos artigos 55-A a 58-B:

a) Diferentemente do que previa o projeto de lei que deu origem à LGPD, a MP vincula a ANPD à presidência da República, e não ao Ministério da Justiça.

b) O art. 55-B criado pela MP garante "independência técnica" à autoridade, de certa forma limitando a autonomia da autoridade em relação ao texto do projeto de lei vetado em agosto que garantia à ANPD "independência administrativa, ausência de subordinação hierárquica, mandato fixo e estabilidade de seus dirigentes e autonomia financeira".

c) O Conselho Direito da ANPD terá 5 (cinco) diretores, incluindo o Diretor Presidente, serão nomeados pelo Presidente da República, com mandato de 4 (quatro) anos, sendo que os primeiros membros poderão ter mandato de 2 (dois) até 6 (seis) anos, conforme ato de nomeação;

d) A estrutura regimental da ANPD será definida por ato do presidente da República;

e) O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto por 23 (vinte e três) membros, representantes do poder executivo e do poder legislativo, dos Conselhos Nacional de Justiça e do Ministério Público, do Comitê Gestor da Internet do Brasil, da sociedade civil, do setor empresarial e de instituições científicas, tecnológicas e de inovação.

Dentre outras alterações introduzidas pela MP, destacamos:

i) A MP alterou o inciso VII do art. 5º, retirando da definição de encarregado (figura similar ao Data Protection Officer) a necessidade de ser pessoa natural, possibilitando, assim, que pessoas jurídicas ou até mesmo comitês ou grupos exerçam tal atividade.

ii) Em relação aos dados sensíveis, a MP alterou a LGPD para autorizar o seu compartilhamento pelo controlador quando da necessidade de comunicação para adequada prestação de serviços de saúde suplementar.

iii) O direito do titular dos dados de ter revisada as decisões totalmente automatizadas que afetem seus interesses permanece, no entanto, tal revisão não mais necessariamente deverá ser feita por pessoa natural.

iv) O Poder Público poderá transferir a entidades privadas os dados pessoais constantes de bases de dados não só nos casos em que a execução descentralizada de atividade pública que exija a transferência a que tenha acesso, ou em que os dados sejam acessíveis publicamente, mas também quando o ente privado tiver nomeado um encarregado, quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres e para prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados.

Por fim, cabe ressaltar a MP deverá ser apreciada pelo Congresso Nacional para que seja convertida em lei no prazo de 60 (sessenta) dias, prorrogável por igual período.

_____________________

 

*Daniel Avila Failla é sócio do escritório Dannemann Siemsen.