Ao fim do mês de setembro de 2020, o Brasil debruçava-se sobre a Lei Geral de Proteção de Dados (LGPD). Mesmo com a medida entrando em vigor àquela época, as dúvidas eram muitas, desde o próprio texto legislativo até os desafios impostos a empresas, de todos os portes, na adequação ao tratamento dos dados de seus usuários. De lá para cá, foram definidos os nomes de diretores para a Autoridade Nacional de Proteção de Dados (ANPD), responsáveis por toda a regulamentação e aplicação da LGPD. Além disso, entretanto, pouco do cenário de incerteza mudou. O País viveu na última semana o que já passa a ser considerado o maior vazamento de dados da população brasileira na história. A nova legislação já irá protagonizar uma resposta à altura a essa situação e garantir o não acontecimento de novos episódios como esse? Segue-se sem resposta. 

Nesta quinta-feira (28) é comemorado o Dia Internacional da Proteção de Dados. A data foi instituída em 2006 pelo Comitê de Ministros do Conselho da Europa (CE). Em vez de comemorar os avanços com o Brasil replicando aos seus moldes legislações europeias de proteção aos dados, representantes de mais de 3.500 empresas do setor de TI e a Federação Assespro resolveram aproveitar a data para alertar que ainda faltam 153 pontos a serem regulamentados na LGPD para que ela funcione na prática. 

"Sem a regulamentação da LGPD não é possível determinar quem é o responsável pela investigação, nem há regras claras para se fazer isso. Se a LGPD estivesse em pleno vigor, um caso como esse (megavazamento de dados) não poderia passar sem investigação”, afirma o presidente da Assespro Nacional, Italo Nogueira.

Entre os pontos ainda a serem regulamentados pela LGPD está está a definição do que fazer com a base de dados legados (obtidos antes da lei entrar em vigor) e como integrá-los à LGPD. Se não há regulamentação, como ter alguma garantia que o governo brasileiro tomará medidas eficazes em relação ao último megavazamento? 

O vazamento dos dados de mais de 220 milhões de brasileiros veio a público no último dia 22 de janeiro. A ANPD, por sua vez, só se manifestou nessa quarta-feira (27), atrás até mesmo da Senacon - órgão de defesa do consumidor ligado ao Ministério da Justiça, que notificou a Serasa - apontada como fonte do vazamento (a empresa nega). 

Em comunicado, a ANPD se comprometeu a "apurar a origem, a forma em que se deu o possível vazamento, as medidas de contenção e de mitigação adotadas em um plano de contingência, as possíveis consequências e os danos causados pela violação”. Sugerindo, enquadrado na LGPD, aplicar as medidas cabíveis de punição após a investigação.

Regulação

No mesmo dia do comunicado tardio, a ANPD publicou no Diário Oficial da União seu primeiro ato normativo, detalhando a agenda regulatória para o biênio 2021-2022. Na prioridade, previsto para este primeiro semestre de 2021, estão a publicação do primeiro Regimento Interno da ANPD, a publicação do Planejamento Estratégico e publicação de resolução com a  regulamentação diferenciada para microempresas e empresas de pequeno porte que tratam dados para fins econômicos (inclusos startups e pessoas físicas). 

As punições, que só estão previstas para entrar em vigor no mês de agosto de 2021, chegando até uma multa de 2% do faturamento anual da empresa, limitada a R$ 50 milhões também estão nas prioridades para ainda este ano terem as circunstâncias e condições regulamentadas. 

Já a regulamentação dos direitos dos titulares dos dados pessoais bem como a transferência internacional de dados e as normas complementares sobre a definição e as atribuições do encarregado de proteção de dados só entram na pauta da ANPD em 2022. 

“O Poder Executivo criou a ANPD com essa função (de regulamentar). Foram nomeados os diretores, mas não se sabe de mais nenhum outro movimento, por enquanto”, diz o conselheiro da Assespro Nacional Roberto Mayer.

a Autoridade Nacional de Proteção de Dados foi formalmente instituída no dia seis de novembro de 2020, data de nomeação e posse de seus cinco diretores. Os meses de novembro e dezembro, segundo a ANPD, foram dedicados à constituição básica de corpo técnico, "com análise de currículos e realização de entrevistas com dezenas de servidores e especialistas". 

Até o início deste mês, a ANPD diz já ter recebido, pelos canais institucionais, mais de 100 comunicações de titulares e de agentes de tratamento, contendo pedidos de informação, notificações de incidentes, denúncias, sugestões e pedidos de reunião. O megavazamento dos dados de 223 milhões de brasileiros é mais um a entrar na fila, com toda a população aguardando respostas.