Os gaps entre a LGPD e a Autoridade Nacional de Proteção de Dados
Cinthia Obladen de A. Freitas*
Cinthia Obladen de A. Freitas. FOTO: DIVULGAÇÃO
2020 começou e a discussão continua! A LGPD vem aí e não é enredo de Carnaval, mas realidade a ser enfrentada tanto pelo setor público quanto pelo setor privado. Se alguém pensou que não precisa se preocupar e mudar sistemas e processos ou rever o negócio como um todo, sob a ótica da privacidade e da proteção de dados, muito se engana e corre o risco de ficar desatualizado e sem garantir direitos fundamentais a seus clientes ou cidadãos.
A grande pergunta que não quer calar é sobre a ANPD (Autoridade Nacional de Proteção de Dados) e os gaps a serem enfrentados quando da função principal da Autoridade, ou seja, zelar pela proteção dos dados pessoais. Porém o art. 55-J da Lei No. 13.853/2019, aponta 24 competências cabíveis à ANPD. Se você pensou: É muita coisa para fazer! Realmente, é muita atribuição para um corpo diretor, técnico e administrativo reduzido.
Portanto, escolhemos três gaps que a ANPD precisará definir e estabelecer métodos e técnicas para efetivar suas competências. A primeira lacuna é como a ANPD interpretará a LGPD e como norteará os trabalhos na prática de "fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso" (art. 55-J, IV), a fim de garantir a segurança dos dados pessoais dos brasileiros.
Lembrando que estão sob os cuidados da LGPD não somente os dados em formato digital, mas em qualquer formato (manuscrito, analógico, eletrônico, magnético ou ótico). A depender da interpretação dos meandros da LGPD alguns conceitos e princípios poderão ser mais ou menos elásticos, a exemplo do interesse legítimo.
A segunda lacuna é a relação da ANPD com os titulares de dados (art. 5º-V e art. 18 – LGPD), visto que caberá à ANPD "apreciar petições de titular contra controlador após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação" (art. 55-J, V). Aqui tem-se muitas lacunas: a comprovação pelo titular de reclamação não solucionada, sendo que uma reclamação pode estar relacionada com qualquer um dos direitos dos titulares (art. 18 – LGPD). Por exemplo, o controlador precisará comprovar que anonimizou, bloqueou ou eliminou dados pessoais e sensíveis do titular interessado. Aí, surgem duas outras lacunas: o tipo de resposta e comprovação por parte do titular e o entendimento das explicações pelo titular.
A depender das explicações os termos técnicos, métodos e mecanismos aplicados são complexos e dependem de conhecimento especializado para serem compreendidos e, adequadamente, aceitos como válidos pelo titular. A cadeia de lacunas não é pequena e tão pouco simples. E se o tratamento de dados envolver "decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade" (art. 20 – LGPD)?
Deve-se ter em mente que a caracterização de perfil (profiling) refere-se aos métodos e técnicas computacionais aplicados aos dados pessoais ou não dos usuários. E, em tempos de Big Data, dados não faltam para serem processados. As técnicas de perfilamento têm como objetivo determinar o que é relevante dentro de um determinado contexto, por exemplo, quem pode estar interessado em um determinado produto. Além disto, estas técnicas auxiliam na representatividade estatística, ou seja, na determinação da qualidade de uma amostra constituída de modo a corresponder à população no seio da qual ela é escolhida. Assim, busca-se generalizar a partir de uma amostra de indivíduos e dos seus respectivos interesses. Alguns reflexos da caracterização de perfil são o credit score e credit exposure, health score, Pink Tax, discriminação de gênero, religiosa, política, genética ou filosófica. A não discriminação é princípio básico da LGPD (art. 6º, IX), portanto, deve ser observado de perto pela ANPD.
A terceira lacuna é a dependência que a LGPD possui da ANPD, visto que a LGPD não será eficaz sem a ANPD, uma vez que o texto legislativo da LGPD está ligado diretamente com as atribuições da ANPD. Além disto, espera-se que a ANPD diminua a distância entre titulares de dados e as partes que realizam o tratamento de dados (deve-se ter em mente que o tratamento envolve um extenso rol de operações que podem ser realizadas com os dados, desde a coleta até a transferência internacional de dados – art. 5º, LGPD).
Neste sentido, espera-se que a ANPD trabalhe para facilitar a comunicação não somente entre titulares e partes (setores público e privado brasileiros), mas também entre países visto que os dados são fluidos e deles depende a obtenção de informação para que se possa agir com conhecimento e decidir com sabedoria. Caberá à ANPD constituir-se em um fator de transformação da cultura da coleta desmedida de dados para o tratamento responsável de dados.
Os desafios são muitos e o iNPD – Instituto Nacional de Proteção de Dados – estará atuando e fazendo seu trabalho para auxiliar nesta transformação e conscientizar os brasileiros que seus dados são seus tesouros.
*Cinthia Obladen de A. Freitas, diretora acadêmica de Pesquisa do Instituto Nacional de Proteção de Dados (iNPD), professora titular da Pontifícia Universidade Católica do Paraná para os cursos de Direito e Ciência da Computação, pesquisadora do Grupo de Pesquisa – Direito do Consumo e Sociedade Tecnológica (PUCPR/CNPq), Mestre em Engenharia Elétrica e Informática Industrial