Ana Amelia Menna Barreto

A Autoridade Nacional de Proteção de Dados aprovou regulamento disciplinando o processo de fiscalização e o processo administrativo sancionador.

O Regulamento estabelece os procedimentos do processo de fiscalização e as regras a serem observadas no âmbito do processo administrativo sancionador pela Autoridade Nacional de Proteção de Dados.

A aplicação de sanção ocorrerá em conformidade com a regulamentação específica, por meio de processo administrativo sancionador previsto no Regulamento.

O Regulamento vem planejar e subsidiar a atuação fiscalizatória da ANPD com informações relevantes, analisar a conformidade dos agentes de tratamento no tocante à proteção de dados pessoais, considerar o risco regulatório em função do comportamento dos agentes de tratamento, de modo a alocar recursos e adotar ações compatíveis com o risco, prevenir práticas irregulares, fomentar a cultura de proteção de dados pessoais e atuar na busca da correção de práticas irregulares e da reparação ou minimização de eventuais danos.

A resolução entra em vigor na data de sua publicação e o primeiro ciclo de monitoramento terá início a partir de janeiro de 2022.

Processo de Fiscalização

OBJETIVO

Estabelecer os procedimentos inerentes ao processo de fiscalização e as regras a serem observadas no âmbito do processo administrativo sancionador pela ANPD.

Facultado ao Conselho Diretor a edição de Portaria a fim de estabelecer  instruções complementares ao disposto neste Regulamento.

A QUEM SE APLICA

Aos titulares de dados, aos agentes de tratamento, pessoas naturais ou jurídicas, de direito público ou privado e demais interessados no tratamento de dados pessoais.

ATUAÇÃO DA ANPD

Para a proteção dos direitos dos titulares de dados, para promover a implementação da legislação de proteção de dados pessoais e para zelar pelo seu cumprimento.

DEFINIÇÕES

Agentes regulados: agentes de tratamento e demais integrantes ou interessados no tratamento de dados pessoais

Autuado: agente regulado que, uma vez identificados indícios suficientes de conduta infrativa, tem instaurado processo administrativo sancionador contra si, por meio de auto de infração

Denúncia: comunicação feita à ANPD por qualquer pessoa, natural ou jurídica, de suposta infração cometida contra a legislação de proteção de dados pessoais do País, que não seja uma petição de titular

Obstrução à atividade de fiscalização: ato, comissivo ou omissivo, direto ou indireto, da fiscalização ou de seus pressupostos, que impeça, dificulte ou embarace a atividade de fiscalização exercida pela ANPD, mediante o oferecimento de entrave à situação dos agentes, a recusa no atendimento, e o não envio ou envio intempestivo de quaisquer dados e informações pertinentes à obrigação do agente regulado

Petição de titular: comunicação feita à ANPD pelo titular de dados pessoais de uma solicitação apresentada ao controlador e não solucionada no prazo estabelecido em regulamentação, nos termos do inciso V do art. 55-J da LGPD

Requerimento: conjunto de tipos de comunicação, compreendendo a petição de titular e a denúncia.

DEVERES DOS AGENTES REGULADOS

. Fornecer cópia de documentos, físicos ou digitais, dados e informações relevantes para a avaliação das atividades de tratamento de dados pessoais, no prazo, local, formato e demais condições estabelecidas pela ANPD

. Permitir o acesso às instalações, equipamentos, aplicativos, facilidades, sistemas, ferramentas e recursos tecnológicos, documentos, dados e informações de natureza técnica, operacional e outras relevantes para a avaliação das atividades de tratamento de dados pessoais, em seu poder ou em poder de terceiros

. Possibilitar que a ANPD tenha conhecimento dos sistemas de informação utilizados para tratamento de dados e informações, bem como de sua rastreabilidade, atualização e substituição, disponibilizando os dados e as informações oriundos destes instrumentos

. Submeter-se a auditorias realizadas ou determinadas pela ANPD

. Manter os documentos físicos ou digitais, os dados e as informações durante os prazos estabelecidos na legislação e em regulamentação específica, bem como durante todo o prazo de tramitação de processos administrativos nos quais sejam necessários

. Disponibilizar, sempre que requisitado, representante apto a oferecer suporte à atuação da ANPD, com conhecimento e autonomia para prestar dados, informações e outros aspectos relativos a seu objeto.

Não cumprimento dos deveres

Poderá caracterizar obstrução à atividade de fiscalização, sujeitando o infrator a medidas repressivas, sem prejuízo da adoção das medidas necessárias com o objetivo de concluir a ação de fiscalização obstruída por parte da ANPD.

DOCUMENTOS, DADOS E INFORMAÇÕES REQUISITADOS, RECEBIDOS, OBTIDOS E ACESSADOS PELA ANPD

São aqueles necessários ao exercício efetivo das suas atribuições, bem como aqueles sujeitos às regras de acesso e classificação de sigilo previstas em regulamentação específica. Os documentos apresentados sob a forma digitalizada deverão cumprir os requisitos estabelecidos pelo Decreto 10.278/2020.

SIGILO

Cabe ao agente regulado solicitar à ANPD o sigilo de informações relativas à sua atividade empresarial, como dados e informações técnicas, econômico-financeiras, contábeis, operacionais, cuja divulgação possa representar violação a segredo comercial ou a industrial. O procedimento preparatório poderá tramitar em sigilo, no interesse das investigações, a critério da Coordenação-Geral de Fiscalização.

DIVULGAÇÃO DE INFORMAÇÕES

A ANPD poderá divulgar informações e dados setoriais agregados e de desempenho em seu sítio eletrônico como medida preventiva, como a taxa de resolução de problemas e pedidos de titulares atendidos.

A ANPD poderá determinar ao agente regulado a divulgação das informações e dados setoriais agregados de que trata este artigo de forma agregada ou restrita às suas atividades.

AUDITORIA

O agente regulado, por intermédio de representante indicado, poderá acompanhar a auditoria da ANPD, ressalvados os casos em que a prévia notificação ou o acompanhamento presencial sejam incompatíveis com a natureza da apuração ou em que o sigilo seja necessário para garantir a sua eficácia.

FISCALIZAÇÃO

A atividade de fiscalização da ANPD terá por finalidade orientar, prevenir e reprimir as infrações à LGPD.

· Compreende as atividades de monitoramento, orientação e atuação preventiva.

· Deve promover junto aos titulares de dados e aos agentes de tratamento, o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança, de forma a disseminar boas práticas, nos termos da LGPD.

Meios de atuação

No exercício de sua competência fiscalizatória, a ANPD poderá atuar: De ofício – Em decorrência de programas periódicos de fiscalização – De forma coordenada com órgãos e entidades públicos – Em cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional.

Premissas da fiscalização

Alinhamento com o planejamento estratégico, com os instrumentos de monitoramento das atividades de tratamento de dados e com a Política Nacional de Proteção de Dados Pessoais e da Privacidade;

Priorização da atuação baseada em evidências e riscos regulatórios, com foco e orientação para o resultado;

Atuação integrada e coordenada com órgãos e entidades da administração pública;

Atuação de forma responsiva, com a adoção de medidas proporcionais ao risco identificado e à postura dos agentes regulados;

Estímulo à promoção da cultura de proteção de dados pessoais;

Previsão de mecanismos de transparência, de retroalimentação e de auto regulação;

Incentivo à responsabilização e prestação de contas pelos agentes de tratamento;

Estímulo à conciliação direta entre as partes e priorização da resolução do problema e da reparação de danos pelo controlador, observados os princípios e os direitos do titular previstos na LGPD;

Exigência de mínima intervenção na imposição de condicionantes administrativas ao tratamento de dados pessoais; e

Exercício das atividades fiscalizatórias que melhor se adequem às competências da ANPD.

Atuação responsiva

A ANPD adotará atividades de monitoramento, de orientação e de prevenção no processo de fiscalização e poderá iniciar a atividade repressiva.

ATIVIDADE DE MONITORAMENTO

Destina-se ao levantamento de informações e dados relevantes para subsidiar a tomada de decisões pela ANPD com o fim de assegurar o regular funcionamento do ambiente regulado.

A Coordenação-Geral de Fiscalização da ANPD realizará o monitoramento das atividades de tratamento de dados pessoais, observados os limites previstos nos arts. 3º e 4º da LGPD, com intuito de:

Planejar e subsidiar a atuação fiscalizatória com informações relevantes; Analisar a conformidade dos agentes de tratamento no tocante à proteção de dados pessoais; Considerar o risco regulatório em função do comportamento dos agentes de tratamento, de modo a alocar recursos e adotar ações compatíveis com o risco; Prevenir práticas irregulares e fomentar a cultura de proteção de dados pessoais; Atuar na busca da correção de práticas irregulares e da reparação ou minimização de eventuais danos.

ATIVIDADE DE ORIENTAÇÃO

Caracteriza-se pela atuação baseada na economicidade e na utilização de métodos e ferramentas que almejam a promover a orientação, a conscientização e a educação dos agentes de tratamento e dos titulares de dados pessoais.

A ANPD promoverá medidas visando à orientação, à conscientização e à educação dos agentes de tratamento, dos titulares de dados pessoais e dos demais integrantes ou interessados no tratamento de dados pessoais.

Os agentes regulados, ou suas associações representativas, poderão sugerir a adoção das medidas de orientação listadas acima, sujeita à avalição da ANPD.

As medidas aplicadas ao longo da atividade de orientação não constituem sanção ao agente regulado.

Constituem medidas de orientação:

elaboração e disponibilização de guias de boas práticas e de modelos de documentos para serem utilizados por agentes de tratamento; sugestão aos agentes regulados da realização de treinamentos e cursos; elaboração e disponibilização de ferramentas de autoavaliação de conformidade e de avaliação de riscos a serem utilizadas pelos agentes de tratamento; reconhecimento e divulgação das regras de boas práticas e de governança; recomendação de: utilização de padrões técnicos que facilitem o controle pelos titulares de seus dados pessoais; implementação de Programa de Governança em Privacidade e observância de códigos de conduta e de boas práticas estabelecidas por organismos de certificação ou outra entidade responsável.

Poderão ser adotadas outras medidas desde que compatíveis com os arts. 27 e 28.

ATIVIDADE PREVENTIVA

Consiste em uma atuação baseada, preferencialmente, na construção conjunta e dialogada de soluções e medidas que visam a reconduzir o agente de tratamento à plena conformidade ou a evitar ou remediar situações que possam acarretar risco ou dano aos titulares de dados pessoais e a outros agentes de tratamento.

Visa reconduzir o agente de tratamento à plena conformidade ou evitar ou remediar situações que acarretem risco ou dano aos titulares de dados pessoais.

As medidas aplicadas pela Coordenação-Geral de Fiscalização ao longo da atividade preventiva não constituem sanção ao agente regulado.

Exemplos: divulgação de informações; aviso; solicitação de regularização ou informe e plano de conformidade.

Poderão ser adotadas outras medidas não previstas neste artigo, se compatíveis com o disposto nos arts. 30 e 31.

ATIVIDADE REPRESSIVA

Caracteriza-se pela atuação coercitiva da ANPD, voltada à interrupção de situações de dano ou risco, à recondução à plena conformidade e à punição dos responsáveis mediante a aplicação das sanções previstas no artigo 52 da LGPD, por meio de processo administrativo sancionador.

CICLO DE MONITORAMENTO

Instrumento de avaliação, prestação de contas e planejamento da atividade de fiscalização da ANPD.

Periodicidade anual, podendo ser estabelecido prazo superior por decisão do Conselho Diretor.

Relatório de Ciclo de Monitoramento

O Relatório de Ciclo de Monitoramento e o Mapa de Temas Prioritários são instrumentos de monitoramento.

O primeiro ciclo de monitoramento terá início a partir de janeiro de 2022. Será submetido à deliberação do Conselho Diretor ao final do ciclo e poderá indicar outras necessidades de atuação da ANPD, além de suas competências fiscalizatória e sancionadora.

Avaliará as atividades de fiscalização realizadas no ciclo de monitoramento, inclusive dos temas prioritários, apresentando indicadores e resultados;

Direcionará a estratégia de atuação orientativa, preventiva e repressiva e as medidas a serem adotadas, inclusive ao longo do ciclo seguinte; e

Consolidará as informações obtidas a partir de requerimentos e comunicações de incidentes, bem como de outras fontes de insumos recebidos pela Coordenação–Geral de Fiscalização.

MAPA DE TEMAS PRIORITÁRIOS

O Mapa de Temas Prioritários será bianual e estabelecerá os temas prioritários que serão considerados pela ANPD para fins de estudo e planejamento da atividade de fiscalização no período.

A Coordenação-Geral de Fiscalização elaborará o Mapa de Temas Prioritários com o apoio das demais áreas técnicas da ANPD e o submeterá à aprovação do Conselho Diretor.

A Coordenação-Geral de Fiscalização ou os Diretores poderão, na hipótese de ocorrência de fatos novos e urgentes, motivadamente, propor alterações no Mapa de Temas Prioritários para deliberação pelo Conselho Diretor.

Utilizará como critérios o risco, a gravidade, a atualidade e a relevância e englobará:

A memória do processo decisório do qual decorreu a seleção e priorização dos temas, inclusive as metodologias de priorização empregadas

Os objetivos a serem alcançados e os parâmetros ou indicadores usados para medir a consecução desses objetivos, quando cabível

Cronograma de sua execução

A indicação da necessidade de interação com outros entes ou órgãos da administração pública, bem como com autoridades de proteção de dados de outros países.

REQUERIMENTOS

Os requerimentos serão analisados de forma agregada e as eventuais providências deles decorrentes serão adotadas de forma padronizada.

A Coordenação-Geral de Fiscalização poderá, excepcionalmente, determinar a análise individualizada de requerimento por meio de decisão motivada, considerando as circunstâncias relevantes do caso e sua potencial repercussão sobre interesses coletivos e difusos.

O tratamento de requerimentos individuais pela ANPD será endereçado em regulamentação própria.

Os requerimentos integrarão o cálculo dos indicadores do ciclo de monitoramento vigente na data de seu registro nos sistemas da ANPD.

Recebimento

A ANPD estabelecerá e divulgará os meios para recebimento dos requerimentos.

Admissibilidade

Será realizada pela Coordenação-Geral de Fiscalização, que verificará:

A competência da ANPD para apreciar a matéria; A identificação do requerente ou se cabível o anonimato na hipótese; A legitimidade do requerente; A identificação do suposto agente de tratamento, quando for o caso; e A descrição do fato certo.

Petição do titular

Além dos requisitos de admissibilidade acima indicados a petição de titular deverá ser acompanhada de comprovação de que foi previamente submetida ao controlador e não solucionada no prazo estabelecido em regulamentação, admitida a auto declaração do titular quando não for possível apresentar outro meio de prova.

Denúncia anônima

Será recebida e processada quando for verificada a verossimilhança das alegações nela constantes e não for necessária a identificação do denunciante para a apuração dos fatos.

Em caso de apresentação de denúncia, a identificação do requerente poderá ser considerada informação pessoal protegida com restrição de acesso, na forma da legislação em vigor.

PLANO DE CONFORMIDADE

Deverá conter, no mínimo: objeto çprazos çações previstas para reversão da situação identificada çcritérios de acompanhamento ç trajetória de alcance dos resultados esperados.

O plano de conformidade não exime o agente de tratamento do cumprimento das obrigações previstas na regulamentação.

Caberá ao agente de tratamento comprovar o atendimento ao resultado esperado, além das medidas adotadas para reversão da situação dentro do prazo estabelecido.

O não cumprimento do plano de conformidade enseja a progressão da ANPD para a atuação repressiva, com a adoção das medidas compatíveis, e será considerado agravante caso seja instaurado procedimento sancionador.

TERMO DE AJUSTAMENTO DE CONDUTA

O termo de ajustamento de conduta seguirá regulamentação própria da ANPD e legislação aplicável.

O interessado poderá apresentar à Coordenação-Geral de Fiscalização proposta de celebração de termo de ajustamento de conduta.

A proposta será submetida ao Conselho Diretor para deliberação, observando-se as disposições do Regimento Interno da ANPD.

A suspensão do processo terá início após a assinatura do termo de ajustamento de conduta.

O processo administrativo sancionador será arquivado após verificado o cumprimento integral do termo de ajustamento de conduta.