Começa em janeiro o ciclo de fiscalizações da ANPD
A Autoridade Nacional de Proteção de Dados (ANPD) aprovou a regulamentação dos procedimentos e normas relativas à atividade de fiscalização e processo administrativo sancionador em seu âmbito. A atividade de fiscalização compreende conceitos de monitoramento, orientação, prevenção e repressão. O primeiro ciclo de monitoramento começa em janeiro de 2022.
Em linhas gerais, o processo de fiscalização observará premissas como a adoção de medidas proporcionais aos riscos, a promoção de uma cultura de proteção de dados pessoais, o incentivo à responsabilização e prestação de contas por parte dos agentes, entre outros. O movimento indica uma coesão com as linhas seguidas por autoridades internacionais, que estimulam o diálogo entre as partes, valorizam a transparência e compreendem a proporcionalidade existente entre a capacidade dos agentes e o risco envolvido no tratamento.
Sobre a fiscalização, destacamos o dever de cooperação dos agentes de tratamento, concedendo o acesso às instalações, dispositivos e sistemas. Nesse ponto, pode – e deve – o agente alvo da fiscalização solicitar o sigilo de informações que entender como segredo de negócio. O não cumprimento desse dever de cooperação, obstruindo ou dificultando a fiscalização, faz com que o agente esteja sujeito a medidas repressivas.
Outro ponto importante é que a ANPD poderá atuar (i) de ofício, ou seja, por iniciativa própria, (ii) em decorrência de programas periódicos de fiscalização, (iii) de forma coordenada com órgãos e entidades públicas, e (iv) em cooperação com autoridades de proteção de dados de outros países. Isso significa, como esperado, que deverá haver uma comunicação (e colaboração) recíproca entre a ANPD e outros órgãos que já ensaiam certo interesse sobre a temática de proteção de dados, como o PROCON, o Ministério Público e o Ministério Público do Trabalho, por exemplo. Na mesma linha, a ANPD poderá ser provocada mediante denúncia – qualquer comunicação feita por pessoa natural ou jurídica sobre potencial violação à LGPD –, ou por meio de petição de titular, feita pela pessoa titular dos dados que não teve a sua questão solucionada pelo agente de tratamento no prazo devido.
Se da fiscalização resultar um processo administrativo, esse correrá por via digital (sistema SEI), com prazos gerais de dez dias úteis. Possuem legitimidade para participar do processo como interessados (i) as pessoas físicas ou jurídicas que o iniciem como titulares de direitos; (ii) aqueles que possuem direitos ou interesses que possam ser afetados pela decisão – aqui vale a atenção para o relacionamento entre controladores e operadores; (iii) organizações e associações de interesses coletivos; (iv) pessoas ou associações legalmente constituídas quanto a direitos difusos. A regulamentação publicada ainda não trata sobre a metodologia de cálculo de multas.