O Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD) publicou no dia 29/10, o regulamento que estabelece os procedimentos inerentes ao processo de fiscalização, bem como as regras a serem observadas no âmbito do processo administrativo sancionador pela referida autoridade pública.
As atividades da ANPD têm por finalidade, além da fiscalização, a orientação, prevenção e repressão de infrações à Lei Geral de Proteção de Dados Pessoais (LGPD), sendo que a aplicação das sanções ocorrerá em conformidade com a regulamentação específica, por meio de processo administrativo sancionador.
Assim, por meio da Resolução 1, a ANPFD detalha os procedimentos necessários para a aplicação de multas e sanções administrativas. Ou seja, são as regras procedimentais para conduzir esses processos após a entrada em vigor das sanções, embora ainda falte estabelecer as orientações sobre as penalidades, o que será fundamental para conferir segurança jurídica e previsibilidade, na adoção da LGPD.
A Resolução estabelece em seu Artigo 16 que a fiscalização poderá ocorrer: a) por meio de ofício, quando for provocada; b) em programas periódicos de fiscalização realizados pelo órgão; c) de forma coordenada com outros órgãos públicos, como o Procon; d) ou em cooperação com autoridades internacionais de proteção de dados. Ainda, o processo de fiscalização da ANPD deverá, entre outras premissas: (i) ser alinhado com o planejamento estratégico, com os instrumentos de monitoramento das atividades de tratamento de dados e com a Política Nacional de Proteção de Dados Pessoais e da Privacidade; (ii) priorizar a atuação baseada em evidências e riscos regulatórios, com foco e orientação para o resultado; (iii) estimular a promoção da cultura de proteção de dados pessoais; (iv) incentivar a responsabilização e a prestação de contas pelos agentes de tratamento; e (v) prever mecanismos de transparência, de retroalimentação e de autorregulação.
O regulamento prevê também a atividade de monitoramento pela ANPD, realizada por meio da Coordenação-Geral de Fiscalização, desde que observados os limites previstos nos artigos 3º e 4º da LGPD, para que entre outras atribuições: (i) planejar e subsidiar a atuação fiscalizatória com informações relevantes; e (ii) considerar o risco regulatório em função do comportamento dos agentes de tratamento, de modo a alocar recursos e adotar ações compatíveis com o risco.
No tocante ao recebimento de requerimentos da autoridade, nos termos da Resolução, serão verificados requisitos de validade, como a competência administrativa para apreciação do mérito, a identificação e legitimidade do requerente e a descrição do fato, sendo certo que, é preciso antes comprovar que houve tentativas, sem êxito, de solucionar a demanda diretamente com o controlador dentro do prazo estabelecido pelo próprio em suas políticas de privacidade.
Também é destacado no Regulamento a necessidade de orientação e prevenção pela ANPD, de forma que a autoridade deve adotar medidas orientativas para evitar que os controladores de dados cometam irregularidades, tais como realização de treinamentos e elaboração de ferramentas de autoavaliação de conformidade, que devem constar em plataformas públicas e de fácil acesso, além das ações preventivas, por meio de divulgação de informações pela própria ANPD, elaboração de avisos de privacidade e a solicitação à regularização ou plano de conformidade à LGPD do controlador.
Por fim, quanto as medidas repressivas, também contempladas na resolução no artigo 37, assevera-se que "o processo administrativo sancionador se destina à apuração de infrações à legislação de proteção de dados de competência da ANPD" e poderá ser instaurado, sem possibilidade de recurso, (i) de ofício; (ii) em decorrência de processo de monitoramento; e (iii) diante de requerimento em que a Coordenação-Geral de Fiscalização deliberar pela abertura imediata de processo sancionador.
Instaurado o processo administrativo, será garantido ao acusado o contraditório e a ampla defesa, sendo direito da ANPD "realizar diligências e poder juntar novas provas aos autos, independentemente do prazo de defesa do autuado, visando a celeridade processual e à mitigação de riscos". Ao final da instrução processual, a Coordenação-Geral de Fiscalização vai proferir a decisão de primeira instância, tendo o acusado chance de recorrer das decisões, em diferentes instâncias. Importante destacar, todavia que, mesmo em caso de condenação final, com trânsito em julgado, os processos administrativos "poderão ser revistos, a qualquer tempo, a pedido ou de ofício, quando surgirem fatos novos ou circunstâncias relevantes suscetíveis de justificar a inadequação da sanção aplicada".