A Autoridade Nacional de Proteção de Dados (ANPD) divulgou, em 23 de março, a lista dos processos sancionatórios instaurados pela Coordenação-Geral de Fiscalização (CGF) contra empresas e órgãos públicos. São, inicialmente, oito processos administrativos.

Em linhas gerais, entre as oito entidades fiscalizadas, sete são órgãos do setor público e somente uma do setor privado. Apesar de a lista indicar que a fiscalização priorizou o setor público, ainda não é possível afirmar se a ANPD manterá esse critério ou voltará seu foco para empresas privadas a partir de agora.

Quanto às condutas investigadas, elas envolvem, em sua grande maioria:

  • ausência de comunicação a titulares sobre incidente de segurança; e
  • ausência de medidas de segurança.

Era de se esperar que a ANPD, pelo menos a princípio, concentrasse suas investigações na ocorrência de incidentes, devido ao dano que essa conduta pode causar aos titulares.

Contudo, a lista divulgada evidencia que a ANPD não pretende atuar somente para remediar situações resultantes de incidentes de segurança. O caráter preventivo fica evidente quando se verificam investigações sobre:

  • ausência de comprovação de hipótese legal;
  • ausência de registro de operações;
  • não envio de Relatório de Impacto de Proteção de Dados; e
  • ausência de encarregado de dados pessoais.

Todas essas medidas são previstas pela Lei Geral de Proteção de Dados (Lei 13.709/18 – LGPD) como obrigatórias e o seu não cumprimento caracteriza infração à legislação. Por esse motivo, a ANPD poderá fiscalizar as empresas, mesmo sem a ocorrência de incidente que gere dano direto aos titulares.

Sobre o Relatório de Impacto de Proteção de Dados (RIPD) – um dos tópicos de fiscalização –, a ANPD deve publicar em breve um documento com perguntas e respostas para ajudar a elaborá-lo.

Ainda que a íntegra das orientações não tenha sido divulgada até o momento, o voto do conselho diretor divulgado recentemente, além de indicar que um documento sobre o assunto deverá ser publicado, demonstrou que, possivelmente:

  • o RIPD deverá ser feito somente em casos de alto risco à garantia dos princípios gerais de proteção de dados pessoais e às liberdades civis e direitos fundamentais do titular, já que todo tratamento envolve risco aos titulares em alguma medida;
  • a ANPD não se manifestará individualmente sobre consultas jurídicas relacionadas a situações concretas. Contudo, eventuais dúvidas e questionamentos enviados serão utilizados para fins estatísticos e para direcionar a atuação regulatória e emissão de orientações;
  • não haverá necessidade de indicar exaustivamente os dados tratados no RIPD, para evitar informação excessiva e pouco eficiente.

O documento oficial deverá ser publicado no site da ANPD e, provavelmente, trará mais informações sobre os critérios e o conteúdo que a autarquia espera encontrar no RIPD.