Alterações à Lei Geral de Proteção de Dados pela Medida Provisória 869/2018

No dia 28 de dezembro de 2018 foi publicada a Medida Provisória 869/18, que altera a Lei n 13.709 de 14 de agosto de 2018 (Lei Geral de Proteção de Dados ou LGPD).

A mudança de maior repercussão resultante da MP foi a criação da Autoridade Nacional de Proteção de Dados (ANPD), que já existia na versão da LGPD aprovada pelo Congresso, mas que foi vetada pelo então Presidente Michel Temer em razão de vício de iniciativa.

Em sua nova estrutura, a ANPD será vinculada à Presidência da República, mas possuirá autonomia técnica. Seu Conselho Diretor será formado por cinco diretores que serão nomeados pelo Presidente da República e terão mandato de quatro anos, salvo pelos primeiros membros, que serão nomeados por mandatos de dois a seis anos, conforme estabelecido no ato de nomeação.

Também foi criado pela Medida Provisória o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, formado por 23 representantes multissetoriais e que será um dos departamentos da ANPD, possuindo funções consultivas, incluindo propor diretrizes estratégicas, elaborar estudos e sugerir ações.

Com base no texto aprovado, a ANPD perde sua competência para realizar auditorias em agentes de tratamento tanto públicos quanto privados, mantendo, contudo, o poder de requisitar informações a qualquer momento bem como fiscalizar e aplicar sanções na hipótese de tratamento de dados realizado em descumprimento à legislação. Adicionalmente, a ANPD deverá articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação.

A MP estabelece expressamente que a ANPD terá competência exclusiva para aplicar as sanções previstas na LGPD, prevalecendo a ANPD sobre outras entidades ou órgãos da administração pública no que se refere à proteção de dados.

Consequências para as empresas

Em relação às alterações mais relevantes para empresas, destacam-se ainda:

1. a) A modificação da definição de encarregado (o equivalente brasileiro ao Data Protection Officer) para permitir o exercício de tal função por pessoas jurídicas, abrindo espaço para a terceirização de tais atribuições;
2. b) A possibilidade de comunicação ou uso compartilhado entre controladores de dados pessoais sensíveis com o objetivo de obter vantagem econômica quando necessário para a adequada prestação de serviços de saúde suplementar;
3. c) A alteração das regras para revisão de decisões baseadas unicamente em tratamento automatizado para afastar a necessidade de revisão por pessoa física; e
4. d) A remoção da exigência de informar ao titular as hipóteses em que será admitido o tratamento de seus dados pessoais, quando tal tratamento ocorrer (y) para fins de cumprimento de obrigação legal ou regulatória pelo controlador ou (z) pela administração pública quando necessário para a execução de políticas públicas.

LGPD em vigor: agosto de 2020

Adicionalmente, a MP alterou a vacatio legis da LGPD, que passa a entrar em vigor em agosto de 2020 e não mais em fevereiro do mesmo ano, exceto no que se refere às disposições relativas à Autoridade Nacional de Proteção de Dados e ao Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, que entraram em vigor na data da publicação da MP.

A extensão do prazo para entrada em vigor da LGPD será de grande utilidade para a adaptação às novas regras pelas empresas. Ademais, os agentes de tratamento contarão com o auxílio e orientação da ANPD durante o processo de adequação.

Por ser uma medida provisória, a MP 869/2018 possui eficácia imediata, mas deverá ser apreciada pelo Congresso dentro do prazo de 60 dias, prorrogável uma única vez por igual período, para que possa ser convertida definitivamente em lei.

Por Isabela Vilhalba, sócia do Saiani & Saglietti Advogados e especializada em Propriedade Intelectual