Nesse contexto, a expectativa é de que a atuação da ANPD deverá se orientar pela promoção da conscientização social em relação aos tipos de tratamento de dados realizados, a percepção dos riscos daí advindos e a compreensão pela sociedade do papel da LGPD. Na prática, esta busca estabelecer regras gerais para o fluxo adequado do tratamento de dados pessoais na sociedade com base em premissas éticas e patamares mínimos de consistência e coerência. Exatamente por isso, a LGPD não deve ser vista como uma fonte de custos e dificuldades, mas sim como uma norma que habilita a sociedade a vivenciar o processo de transformação digital em curso de uma forma mais segura, orientada por princípios e bases internacionalmente aceitos e pacificados.
Ainda com relação ao aspecto de conscientização da sociedade, é importante ter em mente que a adoção de uma lei de proteção de dados pelo Brasil não é um caso isolado. Essa providência se insere em um ciclo evolutivo global marcado pela interconexão entre as economias digitais movidas a dados. Estes devem ser vistos tanto sob a perspectiva de insumos (para o desempenho de atividades econômicas), como de um direito fundamental da personalidade humana (5). Nesse sentido, a ANPD deve intensificar esforços direcionados à construção de caminhos e procedimentos para que a LGPD dialogue com legislações internacionais e continue viabilizando a inclusão do Brasil na economia global.
Com relação ao dever atribuído ao controlador pelo artigo 48 da LGPD, de notificar a ANPD e os titulares sobre eventuais incidentes de segurança e vazamento de dados pessoais, ressalta-se a importância de regulamentação pela ANPD (do dever de notificação e do respectivo procedimento), esclarecendo questões ainda nebulosas como: Em quanto tempo o incidente deve ser comunicado à autoridade? Quais informações serão notificadas e mediante qual canal?
A exemplo de situações enfrentadas por outras autoridades de proteção de dados no exterior, a autoridade brasileira deverá cuidar para evitar o fenômeno conhecido como fadiga de notificação. Este consiste no envio excessivo de notificações à autoridade de proteção de dados, nos casos de incidentes de segurança/vazamento de informações sem riscos de danos significativos. Isso dificulta (ou mesmo impede) a atuação prioritária da autoridade em casos realmente significativos e com potencial danoso.
Para contornar essa dificuldade, é possível adotar um critério para orientar em quais casos essa notificação seria obrigatória, consistente na avaliação do risco ou a possível ocorrência de dano relevante. Por exemplo, diante da reduzida possibilidade de ocorrência de danos nos casos de vazamento de base de dados criptografada, ou mesmo de lista de e-mails de domínio público, seria razoável dispensar a comunicação à ANPD e aos titulares mediante a adoção de procedimentos específicos a serem estabelecidos.
Com o propósito de zelar pela proteção dos dados pessoais, outra providência esperada da ANPD é a sugestão das melhores práticas no mercado levando em consideração o que já deu certo em outros países. Nessa linha de raciocínio, espera-se que a atuação da ANPD busque muito mais uma melhora da cultura de proteção de dados do que a aplicação de sanções, entendimento corroborado pela Diretora da ANPD, Sra. Miriam Wimmer (4). A possibilidade de aplicação de sanções administrativas permanece prevista a partir do dia 1º de agosto de 2021, conforme a Lei Federal nº 14.010/2020.