Publicada no último dia de atividades políticas de 2018 (28/12), a Medida Provisória nº 869/2018 ("MP 869") preencheu uma das principais lacunas deixadas pela Lei nº 13.709/2018 – Lei Geral de Proteção de Dados ("LGPD") e criou a Autoridade Nacional de Proteção de Dados ("ANPD"), órgão responsável pela implementação e fiscalização do cumprimento da LGPD no Brasil.
Vetada no momento da publicação da LGPD por suposta inconstitucionalidade no processo legislativo, a criação da ANPD se tornou uma pendência na agenda política do país e uma incerteza para o mercado como um todo. No entanto, com a publicação da MP 869, a ANPD foi finalmente criada como um órgão da Administração Pública Federal, integrante da Presidência da República e dotada de autonomia técnica.
Dentre as competências conferidas à ANPD no âmbito da proteção de dados pessoais, estão a edição de normas e procedimentos; a deliberação em esfera administrativa sobre a interpretação da LGPD; a requisição de informações de agentes que realizem operações de tratamento de dados pessoais; a fiscalização e aplicação de sanções em caso de descumprimento da LGPD; e a difusão na sociedade de conhecimento sobre normas e políticas públicas de proteção dados pessoais e medidas de segurança.
Além de criar a ANPD e estabelecer os aspectos da sua atuação, a MP 869 promoveu diversas alterações ao texto original da LGPD, dentre as quais destacam-se as seguintes:
- Alteração do conceito de "Encarregado" (o equivalente ao Data Protection Officer – DPO), não havendo mais a indicação de que tal função deve ser ocupada exclusivamente por pessoa natural;
- Permissão da comunicação de dados pessoais sensíveis referentes à saúde com o objetivo de obter vantagem econômica quando tal comunicação for necessária à adequada prestação de serviços de saúde suplementar;
- Possibilidade de atender a solicitações de revisão de decisões tomadas com base em tratamento automatizado de dados pessoais sem que tal revisão precise necessariamente ser feita por pessoa natural;
- Desnecessidade de se informar à ANPD o uso compartilhado ou a comunicação de dados pessoais entre pessoas jurídicas de direito público e pessoas de direito privado;
- Desnecessidade de se informar aos titulares de dados as hipóteses em que o tratamento de seus dados pessoais será admitido, quando tal tratamento (i) for baseado na necessidade do cumprimento de obrigação legal ou regulatória ou (ii) for necessário à execução de políticas públicas.
A MP 869 ainda acrescentou à LGPD um importante esclarecimento quanto à divisão de competências na aplicação das sanções previstas na lei, estabelecendo que a ANPD terá competência exclusiva para aplicar as sanções previstas na LGPD e que essas e as suas demais competências relacionadas à proteção de dados pessoais prevalecerão sobre as competências correlatas de outras entidades ou órgãos da administração pública.
Por fim, a MP 869 também alterou o prazo para a entrada em vigor da LGPD, antes previsto para fevereiro de 2020. Agora, todas as atividades de tratamento de dados pessoais sujeitas à LGPD terão até agosto de 2020 para serem adequadas. É imprescindível que as empresas aproveitem esse período para garantir a organização de suas políticas internas e a adequação de todas as suas práticas comerciais às novas regras.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.