A Lei Geral de Proteção de Dados (Lei n.º 13.709/2018), publicada em 15 de agosto de 2018, foi modificada pela Medida Provisória n.º 869/2018, publicada em 28 de dezembro de 2018.
Como a Medida Provisória é norma com força de lei editada pelo Presidente da República em situações de relevância e urgência, apesar de produzir efeitos jurídicos imediatos, carecia de apreciação pelas casas do Congresso Nacional para se converter definitivamente em Lei.
Assim, houve formação de Comissão Mista (composta por membros da Câmara dos Deputados e do Senado Federal), que após inúmeros debates emitiu Relatório Final com novas modificações no texto da Medida Provisória, cujo teor foi aprovado pelo Congresso Nacional em 07 de maio de 2019.
Desde então, estava pendente a conversão de referida Medida Provisória em Lei, para finalização do processo legislativo.
A grande expectativa em torno da sanção desta Lei se dava não somente em razão da perspectiva de confirmação da criação da Autoridade Nacional de Proteção de Dados, mas também por conta de outros dispositivos que foram alterados quando da edição da Medida Provisória e das diversas emendas que sofreu até ser aprovada pelo Congresso Nacional e, não menos importante, pelo anseio de saber quais seriam os possíveis vetos aplicados pelo Presidente da República.
No último dia 08 de julho foi sancionada pelo Presidente da República a Lei n.º 13.853/2019, resolvendo esta questão. Foram diversos vetos ao texto da Medida Provisória que já incorporava as alterações feitas pelo Congresso Nacional.
Veja aqui nossas considerações de como era o texto da LGPD com as alterações feitas pelo Congresso Nacional decorrentes dos trabalhos da Comissão Mista e como ficou o texto final da LGPD com a sanção presidencial:
1) AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS
O primeiro ponto de maior relevância foi a confirmação da criação da Autoridade Nacional de Proteção de Dados, cuja natureza jurídica nesse momento será de órgão da administração pública federal, integrante da Presidência da República. No entanto, tal natureza jurídica terá caráter transitório, podendo ser transformada no futuro em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República.
A avaliação quanto à referida transformação deverá ocorrer em até 2 (dois) anos da data da entrada em vigor da estrutura regimental da ANPD. O provimento dos cargos e das funções necessários à criação e à atuação da ANPD está condicionado à expressa autorização física e financeira na lei orçamentária anual e à permissão na lei de diretrizes orçamentárias.
Sobre a receita da ANPD:
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD adicionaria o inciso V, ao artigo 55-L. Assim, dentre as sete possíveis fontes de receita da ANPD, seria também possível a cobrança de emolumentos por serviços prestados pela entidade.
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
O inciso V foi vetado, de modo que o texto final da LGPD não prevê a possibilidade de cobrança de emolumentos por serviços prestados pela ANPD, restando as outras seis possíveis fontes de receita, como, por exemplo, os recursos provenientes de acordos, convênios ou contratos celebrados com entidades, organismos ou empresas, públicos ou privados, nacionais ou internacionais.
2) ENCARREGADO DE PROTEÇÃO DE DADOS
O segundo ponto que merece destaque diz respeito à figura do Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer), cujas qualidades profissionais e conhecimentos especializados não estão definidos em Lei, sem prejuízo da ANPD estabelecer normas complementares sobre a definição e suas atribuições, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD estabeleceria no § 4º do art. 40 que o Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer) deveria ser detentor de conhecimento jurídico-regulatório. Ainda, os incisos do § 4º previam que a ANPD regulamentaria as seguintes situações: os casos em que o operador deveria indicar Encarregado (inc. I); a indicação de um único Encarregado, desde que facilitado o seu acesso, por empresas ou entidades de um mesmo grupo econômico (inc. II) e; a garantia da autonomia técnica e profissional no exercício do cargo (inc. III).
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
Foram vetados o § 4º do art. 41, bem como seus incisos I, II e III. Desse modo, o texto final da LGPD não exige mais que o Encarregado (Data Protection Officer) seja obrigatoriamente detentor de conhecimento jurídico-regulatório.
3) REVISÃO HUMANA DE DECISÕES AUTOMATIZADAS:
O terceiro ponto de grande importância é a questão da revisão humana de decisões automatizadas, que passou por várias discussões a respeito de qual seria o modelo mais adequado, sopesando os interesses dos titulares e a viabilidade de atendimento por parte dos agentes de tratamento. Por fim, definiu-se a não obrigatoriedade legal de realização por um ser humano.
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD estabeleceria, no § 3º do art. 20, que o titular dos dados teria o direito de solicitar revisões de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetassem seus interesses, devendo tal revisão ser feita por pessoa natural (pessoa física), conforme seria previsto em regulamentação da Autoridade Nacional, que levaria em consideração a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
Foi vetado o § 3º do art. 20, desse modo o texto final da LGPD estabelece que o titular dos dados continua tendo o direito de solicitar revisões de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, porém não há mais o dever dessa revisão ser realizada por pessoa natural (pessoa física).
4) DADOS REFERENTES À SAÚDE
O quarto ponto de extrema relevância aponta para tratamento de dados pessoais sensíveis, incluindo aqueles referentes à saúde, discutindo-se a necessidade de ajuste na base legal da tutela da saúde a qual agora deve ser aplicada exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
Adicionalmente, aponta para a possibilidade de comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica e define hipóteses de exceção.
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD estabeleceria, no § 4º do art. 11, a vedação da comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares de dados, e para permitir a portabilidade de dados quando solicitada pelo titular; ou as transações financeiras e administrativas resultantes do uso e da prestação dos serviços supra mencionados.
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
O texto final incorporou à LGPD a redação das alterações feitas na MP pela Comissão Mista do Congresso Nacional.
5) TRATAMENTO DE DADOS PELO PODER PÚBLICO
O quinto ponto de extrema importância remete ao tratamento de dados pessoais realizados pelo Poder Público, que permanecerá sujeito ao atendimento da finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público. A discussão residia na possibilidade de o Poder Público compartilhar ou não dados pessoais de requerentes de acesso à informação, nos termos da Lei de Acesso à Informação, na esfera do poder público ou de pessoas jurídicas de direito privado.
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD estabeleceria, no inciso IV do artigo 23, que o Poder Público deveria garantir que dados pessoais de requerentes de acesso à informação, nos termos da Lei de Acesso à Informação, fossem protegidos e preservados, vedando seu compartilhamento na esfera do poder público e com pessoas jurídicas de direito privado.
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
Foi vetado o inciso IV do artigo 23. Desta forma, no texto final da LGPD não há previsão específica de tratamento de dados pessoais pelo Poder Público, quando relativo às requisições de acesso à informação. Porém, continuam valendo as demais restrições e proteções aos dados pessoais tratados por pessoas jurídicas de direito público, bem como a necessidade de indicação de um Encarregado pelo Tratamento de Dados Pessoais.
6) SANÇÕES APLICADAS PELA ANPD
O sexto ponto relevante refere-se à ampliação do rol de sanções administrativas que poderiam ser aplicadas pela Autoridade Nacional de Proteção de Dados aos agentes de tratamento de dados, em razão das infrações cometidas à Lei.
COMO ERA O TEXTO DO CONGRESSO NACIONAL?
Com as alterações feitas na MP pela Comissão Mista do Congresso Nacional, a LGPD incrementaria a lista de possíveis sanções que poderiam ser aplicadas pela Autoridade Nacional de Proteção de Dados, com a inserção dos seguintes incisos no art. 52: inciso X (traria a possibilidade de suspensão parcial do funcionamento do banco de dados a que se refere a infração por até seis meses, prorrogável por igual período, até que a operação de tratamento fosse regularizada pelo controlador); inciso XI (adicionaria a possibilidade da ANPD suspender do exercício da atividade de tratamento dos dados pessoais a que se refere a infração por no máximo seis meses, prorrogável por igual período); e inciso XII (possibilitaria à ANPD proibir total ou parcialmente o exercício de atividades relacionadas ao tratamento de dados pessoais).
COMO FICOU O TEXTO FINAL SANCIONADO PELO PRESIDENTE?
Foram vetados os incisos X, XI e XII, assim, o texto final da LGPD permanece com as seis possíveis penalidades previstas originalmente na Lei, quais sejam, advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais referentes à infração.
O parágrafo terceiro, que havia sido alterado para possibilitar que as novas sanções previstas nos incisos acima apontados também se aplicassem ao Poder Público, retornou à sua redação original em razão de tais vetos.
Por sua vez, o parágrafo sexto do mesmo artigo foi vetado, uma vez que trazia regras condicionantes à imposição das novas sanções acima mencionadas.
Diante do exposto, com a sanção da Lei n.º 13.853/2019 pelo Presidente da República, o próximo passo será a composição oficial da Autoridade Nacional de Proteção de Dados, o que se espera venha a ocorrer nos próximos meses. Vale dizer que muitos pontos da Lei serão objeto de regulamentação por referido órgão.
