Agentes de tratamento para efeitos de LGPD na previdência complementar

Em virtude de suas peculiaridades, o tratamento de dados pessoais no âmbito das relações previdenciárias firmadas entre entidades fechadas de previdência complementar ("EFPC"), seus participantes, assistidos e beneficiários e as patrocinadoras dos planos de benefícios demanda uma análise casuística e específica para definição da posição dos agentes de tratamento para fins da Lei Geral de Proteção de Dados Pessoais - LGPD, cujo compartilhamento de dados pessoais entre a EFPC  e sua(s) patrocinadora(s) ocorre para fins de cumprimento de disposições legais, regulatórias, contratuais e até mesmo para suporte às operações previdenciárias.

Registre-se desde já que a importância da análise de cada tratamento para definição clara e bem delimitada dos agentes é apontada antes mesmo da entrada em vigor da LGPD por organizações europeias relevantes no âmbito da regulamentação europeia de proteção de dados (General Data Protection Regulation - "GDPR"), e utilizadas como referência para documentos e posicionamentos emitidos pela autoridade brasileira¹.

Especificamente em relação à necessidade de conformidade com as definições legais, a ICO - Information Commissioner's Office, autoridade de proteção de dados do Reino Unido, determina que a adequação da posição do agente de tratamento às definições impostas caracteriza-se como fator crucial para a adequação à lei, principalmente diante das diferentes obrigações determinadas ao controlador e ao operador, inclusive no que diz respeito a observação aos direitos dos titulares de dados².

A despeito da caracterização do agente de tratamento como controlador ou operador estar baseada em critérios diversos, sendo estes inclusive descritos/exemplificados por meio de checklist disponibilizada pela ICO³, a pergunta principal a se fazer para identificação da figura do controlador é: "Quem determina as finalidades para as quais os dados são processados e os meios de processamento?". Destarte, conforme ressalta a própria autoridade, uma empresa/organização não é por natureza controlador ou operador; o que determina a sua condição como um destes agentes de tratamento é a avaliação quanto à determinação dos objetivos/finalidade do tratamento de dados⁴.

Ainda na perspectiva europeia, destaca-se a definição de critério considerado essencial para a correta designação de um controlador pelo Comitê Europeu de Proteção de Dados Pessoais (European Data Protection Board - EDPB) em Guia sobre os conceitos de controlador e operador no GDPR⁵: a capacidade do agente de tratamento decidir sobre a finalidade e os elementos essenciais dos meios de tratamento. Vale ressaltar que a ideia de controle das decisões relacionadas às atividades de tratamento, no entanto, não significa que inexiste poder de decisão pelo operador⁶.

I. AGENTES DE TRATAMENTO NA LGPD E SUA APLICAÇÃO NA ATUAÇÃO DAS EFPC COM SUAS PATROCINADORAS

Conforme art. 5º, incisos VI e VII da LGPD - controlador é aquele "a quem competem as decisões referentes ao tratamento de dados pessoais" e operador aquele que "realiza o tratamento de dados pessoais em nome do controlador" e segundo suas instruções, conforme disposto no art. 39 da lei. Caberá ao controlador verificar se suas instruções e as normas pertinentes foram observadas pelo operador⁷, inclusive para fins de apuração de responsabilidade civil.

Não obstante a lei seja clara ao definir cada agente de tratamento, estas figuras não são fixas e, portanto, uma mesma pessoa poderá atuar na posição de controlador e/ou operador, a depender da operação de tratamento realizada, sendo fundamental diferenciar em quais atividades a pessoa jurídica está a desempenhar funções em cada papel, como esclarece a Autoridade Nacional de Proteção de Dados ("ANPD") no Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado ("Guia")⁸.

No Guia, além de enfatizar que é o controlador o agente responsável pelas principais decisões referentes aos dados pessoais, a ANPD indica que a este agente cabe também definir a finalidade do tratamento⁹ e, consequentemente, a base legal que fundamenta cada operação. Ainda, o controlador possui, na prática, responsabilidades específicas, dispostas em lei e enfatizadas pela ANPD, que abrangem:

14. [...] a de elaborar relatório de impacto à proteção de dados pessoais (art. 387), a de comprovar que o consentimento obtido do titular atende às exigências legais (art. 8º, § 2º8) e a de comunicar à ANPD a ocorrência de incidentes de segurança (art. 48). Além disso, a atribuição de responsabilidades em relação à reparação por danos decorrentes de atos ilícitos é distinta de acordo com a qualificação do agente de tratamento, isto é, se controlador ou operador, conforme o disposto nos arts. 42 a 45.

15. Vale mencionar ainda que os direitos dos titulares (art. 18) são, em regra, exercidos em face do controlador, a quem compete, entre outras providências, fornecer informações relativas ao tratamento, assegurar a correção e a eliminação de dados pessoais, receber requerimento de oposição a tratamento [...]

Para além da definição legal dos agentes de tratamento, sem afastar a margem de decisão do próprio operador, a ANPD considera, como principal elemento distintivo entre operador e controlador, o poder de decisão do controlador, especialmente em relação aos elementos essenciais do tratamento, apontando que o tratamento não precisa ser realizado diretamente pelo controlador:

Muito embora o controlador também trate dados pessoais, o elemento distintivo é o poder de decisão, admitindo-se que o controlador forneça instruções para que um terceiro ("operador") realize o tratamento em seu nome (art. 5º, VII; art. 39)¹⁰.

Dentre os elementos decisórios principais, os quais devem estar sob responsabilidade do controlador, encontram-se a definição da finalidade do tratamento (objetivos e base legal), a natureza dos dados pessoais tratados, a duração do tratamento, dentre outros. Sendo assim, caracteriza-se como essencial a análise, no caso concreto, de qual organização efetivamente realiza e decide a respeito dos principais fatores relativos ao tratamento de dados, não bastando mero instrumento legal ou relação aparente:

[...] O papel de controlador pode decorrer expressamente de obrigações estipuladas em instrumentos legais e regulamentares ou em contrato firmado entre as partes. Não obstante, a efetiva atividade desempenhada por uma organização pode se distanciar do que estabelecem as disposições jurídicas formais, razão pela qual é de suma importância avaliar se o suposto controlador é, de fato, o responsável pelas principais decisões relativas ao tratamento¹¹.

Portanto, no âmbito da LGPD, a definição do agente de tratamento decorre do tratamento de dados pessoais realizado e não da origem dos dados pessoais.  Por isso, sabendo-se que o vínculo jurídico previdenciário firmado com a EFPC é autônomo em relação ao vínculo jurídico empregatício existente com a patrocinadora, o tratamento de dados relativo a cada um desses vínculos ensejará controladores de dados diferentes para cada finalidade (previdenciária ou empregatícia).

Sendo a finalidade do tratamento dos dados o elemento determinante para o papel de controlador e não quem possui acesso aos dados cronologicamente antes, a EFPC figurará, a rigor, na posição de controladora dos dados pessoais de participantes, assistidos e beneficiários dos planos por ela administrados. Para tanto, a natureza dos dados pessoais (quais dados pessoais) a serem tratados também são definidos pela referida entidade (a partir dos limites regulatórios impostos pela PREVIC), porque a esta cabe dispor sobre os elementos necessários para implementar o objetivo do tratamento voltado ao vínculo previdenciário com o titular de dados.

Nesta posição a entidade age como única tomadora de decisões relativamente aos tratamentos de dados pessoais de participantes, assistidos e beneficiários; vale dizer, não compartilha com nenhum outro controlador a definição da finalidade do tratamento (objetivos e base legal), a natureza dos dados pessoais tratados, a duração do tratamento ou outro elemento da relação firmada com a pessoa física - de modo que não se configura o fenômeno da controladoria conjunta.

De outro lado, em situações específicas, as entidades fechadas de previdência complementar poderão figurar como operadora de dados, quando realizarem tratamento de dados sob controle de outra pessoa jurídica, inclusive em situações nas quais atua como controladora a patrocinadora. São os casos por exemplo, dos seguros, planos de saúde e outros benefícios firmados pelo indivíduo com a patrocinadora (sua empregadora) e que sejam arcados mediante desconto nos benefícios previdenciários pagos pela entidade, e demais hipóteses nas quais a EFPC não atua ou realiza operações de tratamento em relação à sua atividade fim e não terá poder decisório sobre os elementos essenciais do tratamento de dados pessoais.

II. CONTROLADORIA CONJUNTA E RISCOS INERENTES À ASSUNÇÃO IRREGULAR DESTA POSIÇÃO PARA PATROCINADORAS EM RELAÇÃO AOS PLANOS DE PREVIDÊNCIA COMPLEMENTAR

Embora a definição de controlador para cada atividade seja uma tônica usual pela abordagem legal, a LGPD prevê a possibilidade de controladoria conjunta nas hipóteses em que controladores estiverem conjuntamente incumbidos das decisões de tratamento de dados pessoais, sujeitando-se, portanto, ao regime de responsabilidade solidária¹². Neste sentido, a ANPD define¹³ que a controladoria ocorrerá quando, cumulativamente:

i. mais de um controlador possui poder de decisão sobre o tratamento de dados pessoais;

ii. há interesse mútuo de dois ou mais controladores, com base em finalidades próprias, sobre um mesmo tratamento; e

iii. dois ou mais controladores tomam decisões comuns ou convergentes sobre as finalidades e elementos essenciais do tratamento.

Com base nisto, as decisões relacionadas às atividades de tratamento de dados para o cumprimento de contrato previdenciário e de obrigações legais/regulatórias decorrentes de tal contrato ou relação jurídica com o titular de dados pessoais (participante, assistido ou beneficiário) somente configurariam controladoria conjunta nas hipóteses em que além da EFPC administradora do plano de benefícios, outra pessoa jurídica estivesse, com esta, à frente das decisões do tratamento de dados do plano¹⁴.

Nos termos da LC 109, de 29 de maio de 2001, que disciplina o Regime de Previdência Complementar, porém, apenas entidades de previdência complementar e sociedades seguradoras estão autorizadas legalmente a operar planos de benefícios, e, por conseguinte, somente perante estas o contrato previdenciário poderá ser firmado pela pessoa física contratante¹⁵.

Patrocinadoras e instituidoras, segundo o art. 12 da referida lei, são pessoas jurídicas que instituirão os planos para que seus empregados ou associados possam a ele se filiar - por meio de contrato com a entidade de previdência, exclusivamente. Ou seja, a patrocinadora não é sequer parte contratante no termo de adesão ao qual o indivíduo (participante) adere ao plano, mas tão somente a entidade de previdência complementar.

Não por outro motivo, a LC 109/2001 expressamente consigna que "As contribuições do empregador, os benefícios e as condições contratuais previstos nos estatutos, regulamentos e planos de benefícios das entidades de previdência complementar não integram o contrato de trabalho dos participantes" (art. 68).

Eventual assunção de controladoria conjunta entre EFPC e patrocinadora acarreta consequências significativas para as obrigações e responsabilidades das partes envolvidas: poder de decisão sobre os elementos essenciais do tratamento (finalidade, fundamentos legais) e terão, consequentemente, iguais responsabilidades em relação às obrigações determinadas pela LGPD, inclusive a elaboração de relatórios de impacto à proteção de dados, gerenciamento de consentimento nas hipóteses cabíveis, notificação à autoridade e aos titulares sobre incidentes de segurança, atendimento à requisição de titulares e, inclusive, responsabilidade civil por danos decorrentes de atos ilícitos.

Por fim, pode-se concluir que as EFPC atuam em nome próprio e exclusivamente no tratamento de dados pessoais de participantes, assistidos e beneficiários para exercício de atividade previdenciária, de forma autônoma e dissociada da relação trabalhista mantida entre patrocinadora e seus colaboradores (relação empregatícia), não se configurando a controladoria conjunta para efeitos de LGPD.