A accountability do agente de tratamento de dados pessoais: uma análise sobre a autonomia da autoridade nacional de proteção de dados

Isadora Helena Gardés Cardoso¹ 

INTRODUÇÃO 

O objeto do presente estudo é analisar a dependência orçamentária, funcional e administrativa da Autoridade Nacional de Proteção dos Dados (ANPD) frente ao Poder Executivo, em particular, considerando que o órgão foi criado como mecanismo para promover a fiscalização da Lei Geral de Proteção de Dados (LGPD) no Brasil, além de ser responsável por sua implementação e zelo.  

O primeiro passo é compreender o conceito de accountability e as suas funções, modalidades e aplicações em relação ao Estado. Ainda neste tópico inicial, demonstrar-se-á como a accountability horizontal se insere no contexto das atribuições designadas para a ANPD pelo legislador desde a criação, especialmente no tocante à sua responsabilidade para aplicar sanções.  

Para tanto, analisar-se-á a criação da autoridade e as suas principais incumbências. Quanto a este segundo ponto, é válido o aprofundamento quanto à natureza jurídica da instituição. Por fim, em conclusão, verificar-se-á quais as possíveis consequências da Medida Provisória n 1.124 que promoveu a ANPD a autarquia, e de que modo esta mudança interferirá na aplicação da Lei Geral de Proteção de Dados, notadamente no que se refere à segurança e à proteção dos dados pessoais e à incidência da answerability e enforcement pela própria DPIA (Data Protection Authority). 

1. ACCOUNTATIBILITY  

Primeiramente, faz-se necessário entender o conceito de accountability e suas características vez que se trata de estrangeirismo e não existe uma expressão que consiga traduzir para o português a palavra de maneira íntegra.  

Existem três características primordiais para a compreensão da expressão no contexto deste trabalho. Em primeiro lugar, da perspectiva de quem atua com accountability, o termo pode ser compreendido de duas formas: o mandante – também chamado por principal e o mandatário, que é o agente. Este último é a pessoa física ou jurídica que realiza ações, respondem e devem prestar informações ao principal (ou ao agente com competência para tanto); e serão responsabilizados de forma positiva ou negativa por seus atos². 

A segunda característica da accountability são as suas formas de atuação, divididas entre a informativa/justificadora e a sancionadora. Ilton Noberto, sobre o tema, leciona que a estrutura da accountability ergue-se em duas formas: “answerability (necessidade de dar respostas) e enforcement (coação)³”.  

A necessidade de dar resposta decorre da competência do órgão de determinar que o agente apresente informações e justificativas para determinado ato. A coação, como se intui, tem a função de punir ou premiar as ações do agente e será implementada por quem tem competência para fazê-lo, seja um agente ou o principal⁴. 

Existem subtipos para a accountability: eleitoral, horizontal e judicial⁵. Para este trabalho. Este estudo tem o intuito de analisar a função da accountability na estruturação e aplicação da Autoridade Nacional de Proteção dos dados (ANPD), principalmente, a accountability horizontal.  

A accountability horizontal é aquela segundo a qual o agente deve prestar informações e justificativas dos seus atos e, a partir deste, o mandatário ou mandante, irá aplicar o enforcement. Este controle, por vezes, acontece de forma recíproca entre os agentes. É que o se observa, por exemplo, entre os Três Poderes da República, quando o agente “A” segue a lei por temor de ser sancionado pelo agente “B”. Este, a seu turno, aplica a sanção a “A” sob risco de ser ele mesmo sancionado por “C” que, finalmente, é fiscalizado por “A”⁶. 

Além da accountability horizontal ter o papel acima descrito, como um peso e contrapeso entre os três poderes, têm cada vez surgido mais atores – nacionais e internacionais – com competência para exigir informações, justificativas e aplicar as sanções. É o caso do Conselho Nacional de Justiça e da Autoridade Nacional de Proteção dos Dados.  

A Autoridade Nacional de Proteção de Dados é sujeito de accountability horizontal na medida em que pode responder a outras autoridades; e também possui competência para cobrar de outros agentes (answerability) e para sancioná-los (enforcement) em matéria de proteção de dados pessoais.  

2. A CRIAÇÃO DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS – ANPD  

A Autoridade Nacional de Proteção De Dados – ANPD foi instituída por meio da Lei 13.853/2019, legislação que alterou a Lei nº 13.709/2018 e possui como um dos seus principais encargos a criação do órgão.  

Esta segunda lei, por sua vez, foi a responsável pela criação da Lei Geral de Proteção de Dados no Brasil, dispondo sobre o tratamento e proteção dos dados pessoais. Em seu art. 5º, inciso XIX, determinou-se que a ANPD seria um “órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional”⁷. 

A previsão inicial era de que a ANPD seria criada como agência reguladora⁸, porém, quando da promulgação da Lei Geral de Proteção de Dados, determinou-se que o órgão seria vinculado e integrado ao Poder Executivo; desprovido de independência plena para fins orçamentários e funcionais – sendo apenas natural que sua autonomia fosse questionada. 

A criação da autoridade nacional constava no artigo 55-A da lei nº 13.709/2018: “fica criada, sem aumento de despesa, a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública federal, integrante da Presidência da República“⁹. 

Com o advento da Medida Provisória nº 1.124, publicada no dia 13 de junho de 2022, ficou determinado que a Autoridade, mantidas suas competências e estruturas, seria transformada em autarquia de natureza especial (art. 1º)¹⁰. A nova redação do art. 55-A da Lei Geral de Proteção de Dados traz a seguinte redação: 

Art. 55-A.  Fica criada a Autoridade Nacional de Proteção de Dados – ANPD, autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e com sede e foro no Distrito Federal¹¹. 

Dessa forma, a transformação da autoridade em autarquia alterou um ponto essencial para a função administrativa do órgão, aproximando-a de agências reguladoras como a ANATEL e a ANAC. Resta por se observar se esta será a natureza jurídica da entidade na prática.  

As competências da ANPD, como o seu papel de editar os procedimentos e regulamentar a lei e as práticas para a proteção dos dados pessoais, passa pela orientação dos agentes de tratamento. Estas medidas têm sido tomadas na forma da agenda regulatória da DPA e já incluem manuais, orientações, consultas públicas, tomadas de subsídios, dentre outros¹².  

No âmbito sancionador, a autoridade regulamentou o processo administrativo próprio por meio da RESOLUÇÃO CD/ANPD nº 1¹³, estabelecendo as regras e circunstâncias para aplicação de penalidades face a eventuais infrações, consoante dispostas no art. 52 da Lei nº 13.709/2018. Deixou claro, contudo, que seu papel é antes educar e prevenir tratamentos de dados irregulares ou ilícitos.  

Do que se viu até aqui, sobretudo no que tange sobre o sistema de accountability horizontal, a ANPD tem, pois, a competência de fiscalizar, solicitar informações e justificativas (answerability) e aplicar sanções (enforcement) àqueles que descumprirem a Lei Geral de Proteção de Dados ou seus regulamentos próprios. Consequentemente, os agentes – inclusive os órgãos públicos – são obrigados a se reportar à autarquia quando provocados organicamente ou mediante denúncias.  

Em outras palavras, a ANPD é responsável por exercer a fiscalização do tratamento dos dados pelas entidades públicas e, inclusive, possui prerrogativa para a sancioná-las. É o que dispõe o art. 52, § 3º, da Lei 13.709, em vigor desde agosto de 2021:  

§ 3º O disposto nos incisos I, IV, V, VI, X, XI e XII do caput deste artigo poderá ser aplicado às entidades e aos órgãos públicos, sem prejuízo do disposto na Lei nº 8.112, de 11 de dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei nº 12.527, de 18 de novembro de 2011¹⁴.       

De outro lado, ainda não há relatos, nem na mídia, sobre a aplicação de multas pela instituição. O que existem são notícias sobre pedidos de esclarecimentos – como no episódio recente envolvendo o Serpro, buscando analisar a Portaria RFB 167¹⁵. 

Em regra, aplicam-se aos agentes de tratamento do poder público as mesmas regras aplicáveis aos privados. Todavia, a ANPD lançou recentemente, em janeiro de 2022, um Guia Orientativo para tratamento de dados pessoais pelo Poder Público¹⁶ cuja observância certamente será evidência de boa-fé. É importante também, no contexto do poder público, compreender que há regras de transparência que se aplicam a ele e que a Lei de Acesso a Informação, por exemplo, é perfeitamente conciliável com a LGPD. 

Ultrapassadas as questões conceituais e peculiaridades acima, o controlador ou o operador que tratem dados em nome do Poder Público serão responsabilizados pela violação à LGPD na forma dos seus artigos, incluídas as hipóteses de exclusão da responsabilidade de que trata o art. 43.  

Sobre o tema, a autoridade já se posicionou informando que a intenção da instituição não é torna-se meramente arrecadatória: 

6) Qual abordagem terá a ANPD quanto a eventuais infrações cometidas? Segundo a proposta de regulamento submetida à Consulta Pública, ainda sujeita a alterações em razão das contribuições recebidas, prevê-se que a atuação da ANPD se dê conforme uma abordagem responsiva, ou seja, de maneira gradual, baseada no comportamento do regulado e alicerçada em um plano de monitoramento do setor que permita a priorização de temas segundo seu risco, gravidade, atualidade e relevância. Assim, a proposta de regulamento prevê etapas de monitoramento, orientação, prevenção e repressão de infrações, levando em consideração as informações recebidas a partir de reclamações, denúncias, representações e notificações de incidentes para estabelecer prioridades a serem incluídas na agenda de fiscalização.¹⁷ 

A LGPD é uma lei nova e suas sanções entraram em vigor há pouco tempo.  É importante para a efetiva aplicação da accountability que a ANPD não sirva unicamente como um aplicador penalidades, sendo louvável que desde o início tenha se proposto a ser mais do que isso. 

1.  A ANPD E ALTERAÇÃO DE SEU STATUS FACE À ADMINISTRAÇÃO PÚBLICA 

Como visto no tópico anterior, a ANPD conquistou sua independência em relação ao Poder Executivo, seja financeiramente, administrativamente e funcional. Esta mudança é considerada um importante marco porque afasta as desconfianças de que a instituição poderia ser condicionada na sua tomada de decisões, especificamente quando o Poder Público fosse o sancionado.  

Neste sentido, o General Data Protection Regulation (GDPR), que é a norma inspiradora da LGPD, expressamente dispõe que para validação da autoridade (DPA), é necessário que haja autonomia técnica e financeira.¹⁸ Sendo assim, a autonomia da autarquia quanto a ambos os simboliza também a derrubada de um obstáculo para que o Brasil viesse a ser considerado um país adequado – o que é fundamental no panorama das transferência internacionais de dados. 

A Presidente Suplente do Conselho Nacional de Proteção de Dados, Stefani Juliana Vogel, declarou que a independência da autoridade auxiliaria na compatibilização e harmonização com os órgãos de proteção de dados dos outros países¹⁹. Natasha Nunes, diretora da Conexis Brasil Digital, também se manifestou sobre a importância da independência da ANPD:  

“A independência é um passo a mais nesse processo de maturidade da autoridade. Trazemos nosso apoio ao alcance dessa autonomia. Acreditamos que a autonomia administrativa, funcional e orçamentária permite à ANPD maior a capacidade de priorizar suas ações, dar vazão aos seus resultados pretendidos, claro que com muita responsabilidade. E a ANPD tem mostrado responsabilidade em seus atos²⁰”. 

Por isso, a edição da Medida Provisória nº 1.124 pelo Presidente da República, transformando a ANPD em uma autarquia de natureza especial, é importante conquista para todos que atuam e se dedicam à proteção de dados pessoais, representando a segunda vitória do setor em um período relativamente curto, considerando também a Emenda Constitucional nº 115 que elevou o direito ao status constitucional.  

O art. 62 da Constituição Federal determina que a edição da MP é ato com eficácia imediata após a sua publicação. O passo subsequente é a submissão da norma ao Congresso Nacional para a aprovação de ambas as casas legislativas, Câmara dos Deputados e Senado Federal. Para tanto, o Poder Legislativo tem sessenta dias, prorrogáveis por igual período, para aprovar (com ou sem alterações) ou reprovar o texto da lei. Caso contrário, esta perde a sua validade.  

Considerando a produção de efeitos imediatos da medida editada, a ANPD já passa a atuar como uma autarquia de natureza especial. A conselheira Miriam Wimmer, diretora da autoridade manifestou-se sobre a questão: 

Considerando a abrangência das competências da ANPD, que fiscaliza tanto setor público como privado a transformação em autarquia é importante para juridicamente assegurar independência. A ANPD já tinha autonomia técnica e decisória, prevista pela LGPD, já tinha uma estrutura de colegiado, com mandatos fixos, mas a transformação da natureza jurídica, transferindo ANPD para a administração indireta, vem consolidar esses requisitos de independência e autonomia, que são tão importantes à luz das melhores práticas internacionais²¹ 

Além dos benefícios já mencionados, a alteração do regime jurídico da ANPD possibilitará que a instituição atue em Ações Civis Públicas de forma autônoma perante o Poder judiciário.  

2.  A IMPORTÂNCIA DA AUTORIDADE COMO AGENTE DE ACCOUNTABILITY HORIZONTAL  

Como visto, a ANPD é responsável por fiscalizar os atos das pessoas físicas e jurídicas, de direito público e privado em termos de proteção dos dados – educando-os, advertindo-os e sancionando-os, conforme for o caso. Foi conferido à autoridade a competência para solicitar informações a quem for necessário, o que a torna um agente com poderes de demandar respostas (answerability). O art. 52 da LGPD concedeu também ao órgão a responsabilidade de aplicar as sanções (enforcement) necessárias aos sujeitos que descumprirem a lei e os regulamentos aplicáveis à proteção dos dados pessoais. 

Um exemplo prático desta atribuição foi quando, em abril de 2022, a autoridade informou a abertura de um processo administrativo para analisar a Portaria RFB 167 que versa sobre decisão da Receita Federal de disponibilizar o acesso a dados que estavam em sua posse a terceiros, por meio do Serpro²². De tal modo, a ANPD determinou que o agente fornecesse informações para analisar se o ato estaria ou não violando o direito à proteção de dados das pessoas.  

Porém, é necessária uma reflexão sobre as dificuldades deste enforcement pela ANPD diante da Administração Pública.  

Mesmo com a conquista da autonomia face ao Executivo (pendente de confirmação pelo Legislativo) há se de considerar também a aplicabilidade das sanções previstas no art. 52 da LGPD em face da Administração Pública. Afinal, entre as penalidades previstas na lei estão o bloqueio, a suspensão e a proibição do tratamento:  

LGPD, Art. 52 

V – bloqueio dos dados pessoais a que se refere a infração até a sua regularização; VI – eliminação dos dados pessoais a que se refere a infração; e X – suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador; XI – suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;  XII – proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.   

Para desempenhar as funções administrativas, o Estado precisa tratar os dados da população, seja para a oferta de um serviço público, seja para a execução de políticas públicas, entre outras atividades essenciais para o funcionamento do país.  

Da leitura do dispositivo acima transcrito, é observa-se que as penalidades acima descritas de bloqueio, eliminação, proibição parcial ou total dos tratamentos de dados, são, de certa forma, inexequíveis pelo poder público. Outra dúvida diz respeito ao poder de autodeterminação dos titulares: há situações em que a exclusão ou a oposição serão inviáveis. 

Desta análise, percebe-se que será preciso deliberação cuidadosa antes de a autoridade aplicar determinadas sanções ao Governo sob pena de inviabilização da atividade estatal. Para resolver este dilema, fala-se na possibilidade de um enforcement soft pela DPA. 

CONCLUSÃO 

A accountability da ANPD é de suma importância para a proteção dos dados pessoais, especialmente após a Emenda Constitucional n. 115/2022 que promoveu o direito ao status de constitucional e fundamental²³, alterando o teor do inciso LXXIX, art. 5º da Constituição Federal. 

Considerando a juventude da LGPD, ainda é cedo para saber ao certo como será o enforcement da lei pela ANPD, ainda mais porque não transcorreu sequer um ano da entrada em vigor dos artigos que disciplinam a aplicação das penalidades previstas na norma (agosto de 2021). Vive-se, ainda, a expectativa sobre os termos em que a autoridade exercerá o seu papel de agente sancionador.  

Afinal, para que a accountability se opere de modo integral – answerability e enforcement – é preciso que ambas as atribuições sejam exercidas de modo proporcional (fiscalização, pedidos de esclarecimento, apuração de denúncias e sanção). O processo fiscalizatório e sancionador que não é equilibrado implica em um accountability fraco.  

A mesma preocupação se aplica ao enforcement soft, circunstância na qual há a punição, mas não na medida adequada – o que significa que a atuação não terá a coercitividade necessária. 

Por isso é necessário um contrapeso com a aplicação das penalidades pela autoridade, especialmente para prevenir que qualquer espécie de alegação de violação à proteção de dados resulte em sanção. Tal tipo de conduta acabaria por criar uma indústria de indenização que, ao final, pode tornar descabida a lei.  

Outro risco, no mesmo sentido, é o atropelamento da DPA pelo Poder Judiciário, considerando a cultura brasileira de resolver tudo no contencioso, sobretudo nas relações de consumo, sob o benefício da gratuidade judiciária e inversão do ônus da prova. A admissão de demandas para apuração de tratamento irregular de dados sem diálogo com os agentes de tratamento e com a ANPD pode esvaziar a autoridade privilegiada do órgão para interpretar a LGPD e decidir de que modo gerenciar a cultura de proteção de dados no Brasil. 

Com relação à Medida Provisória que alterou o regime da autoridade, desvinculando-a em relação ao Poder Executivo, esta lhe trouxe a necessária independência que será de suma importância ao seu fortalecimento – consequentemente auxiliando e ampliando na função de garantidora da accountability.  

Daí porque é importante urgir ao Congresso Nacional pela conversão da MP em Lei, permitindo que o Brasil esteja cada vez mais próximo ao que se põe, mundialmente, como adequado em termos de proteção de dados. 

REFERÊNCIAS 

BRASIL; Guia orientativo. Tratamento de Dados Pessoais pelo Poder Público. Gov.Br. Presidência da República; Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-poder-publico-anpd-versao-final.pdf. Acesso em 06 de jul de 2022. 

BRASIL; Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD).  Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Lei/L13709.htm. Acesso em 30 de abr. de 2022. 

BRASI; Lei nº 13.853, de 8 de julho de 2019. Altera a Lei nº 13.709, de 14 de agosto de 2018, para dispor sobre a proteção de dados pessoais e para criar a Autoridade Nacional de Proteção de Dados; e dá outras providências. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/lei/l13853.htm. Acesso em 30 de abr. de 2022. 

BRASIL; Medida Provisória n 1.124, de 13 de junho de 2022. Altera a Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais, transforma a Autoridade Nacional de Proteção de Dados em autarquia de natureza especial e transforma cargos em comissão. Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2019-2022/2022/Mpv/mpv1124.htm.  

BRASIL; Mesa redonda ressalta a importância da independência da ANPD. Gov.Br. Presidência da República. Mar. 2022. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/mesa-redonda-ressalta-a-importancia-da-independencia-da-anpd. Acesso em 07 de maio de 2022. 

BRASIL; Nota Técnica nº 25/2022/CGN/ANPD; Gov.Br. Presidência da República; Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/auditorias-acoes-de-supervisao-e-correicao/sei_00261-000027_2021_64-nt-n-25-relatorio-de-acompanhamento.pdf. Acesso em 10 de jul de 2022 

BRASIL. Resolução CD/ANPD nº 1, de 28 de outubro de 2021. Presidência da República. Diário Oficial da União; Edição 205; Seção 1; Pág. 06. Disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-1-de-28-de-outubro-de-2021-355817513. Acesso em 9 de jul de 2022. 

BRASIL; Sanções administrativas o que muda após o 1º de agosto de 2021. Gov.Br. Presidência da República; Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/sancoes-administrativas-o-que-muda-apos-1o-de-agosto-de-2021 Acesso em 24 de out de 2021 

GROSMANN, Luís Osvaldo; ANPD ganha independência e vira autarquia especial. Convergência Digital. Disponível em: https://www.convergenciadigital.com.br/Governo/ANPD-ganha-independencia-e-vira-autarquia-especial-60577.html?UserActiveTemplate=mobile. Acesso em 04 de jul de 2022 

MENDES, Laura Schertel. Privacidade, proteção de dados e defesa do consumidor: linhas gerais de um novo direito fundamental. São Paulo: Saraiva, 2014 

Motta, Clara Amédée Péret. A ANPD e a preocupação com sua natureza jurídica. Migalhas. abr. 2021 Disponível em: https://www.migalhas.com.br/depeso/344752/a-anpd-e-a-preocupacao-com-sua-natureza-juridica. Acesso em 27 de abr. de 2022. 

Nonato, Alessandro Anilton Maia. A Autoridade Nacional de Proteção de Dados Pessoais (ANPD) é uma agência reguladora?. DireitoNet. Set. 2020. Disponível em: https://www.direitonet.com.br/artigos/exibir/11871/A-Autoridade-Nacional-de-Protecao-de-Dados-Pessoais-ANPD-e-uma-agencia-reguladora. Acesso em 05 de maio de 2022. 

QUEIROZ, Luiz. ANPD fiscaliza compartilhamento de dados da Receita Federal para terceiros via Serpro. Capital Digital. Disponível em:https://capitaldigital.com.br/anpd-fiscaliza-compartilhamento-de-dados-da-receita-federal-para-terceiros-via-serpro/. Acesso em 29 de jun de 2022 

Robl Filho, Ilton Norberto. Conselho Nacional de Justiça : Estado democrático de direito e accountability, 1ª Edição.. Disponível em: Minha Biblioteca, Editora Saraiva, 2012