Em entrevista ao JOTA, presidente
do órgão diz que a fiscalização das empresas não terá a 'punição' como
prioridade
O presidente da Autoridade Nacional de Proteção de
Dados (ANPD), Waldemar Gonçalves Ortunho Junior, afirmou em entrevista
exclusiva ao JOTA que o principal foco de atuação da ANPD no primeiro momento
será a educação, e não a aplicação de multas e sanções contra empresas
detentoras de dados.
Segundo Ortunho, a recente experiência das agências reguladoras com multas
aplicadas mostram que as penalidades e sanções são 'pouco eficientes'.
'Retiram um valor financeiro de uma empresa e não há garantia que esse valor
retornará para a nossa atividade. O valor vai para um caixa comum do governo e
nem sempre retorna para área de dados, telecomunicações ou algo do tipo',
afirmou o presidente da ANPD. 'Queremos tornar a fiscalização menos punitiva e
mais educacional', concluiu.
A entrevista ao JOTA também teve a participação de Miriam Wimmer, diretora do
Conselho Diretor da ANPD. Segundo Wimmer, a experiência recente no Brasil
mostra que o 'chicote' não tem a mesma eficácia do que o diálogo. Ela cita o
exemplo de agências reguladoras que possuem 'algumas dezenas de bilhões de
reais em multas judicializadas não pagas'.
Ela assevera a importância de usar o diálogo como forma de incentivar o compliance.
'A lógica de co-regulação, introduzida pela LGPD, prevê a atuação não só no
mandar e obedecer, mas também na lógica do diálogo, atribuindo ao ente regulado
a responsabilidade de contribuir para as soluções. Esse tipo de regulação é
imprescindível para o sucesso da nossa missão', concluiu a diretora.
De acordo com Waldemar Gonçalves Ortunho Junior, os membros da ANPD já estão
elencando os principais temas de regulação e normatização que merecem maior
atenção no início de funcionamento do órgão. Segundo o presidente, os temas de
maior risco terão preferência.
'Já temos nossa coordenadora geral de normatização elencando vários pontos para
que em um segundo momento nós pontuarmos as prioridades', afirmou Ortunho.
Para Miriam Wimmer, os temas 'mais críticos, com maior impacto econômico e que
se relacionem com direitos dos titulares' devem vir primeiro para a discussão
de regulamentação.
'A LGPD tem mais de uma dezena de pontos que requerem regulamentação e são
temas dos mais variados, desde proteção de crianças e adolescentes até regras
para relatórios de impacto de proteção de dados pessoais', afirmou Wimmer.
Leia a entrevista ao JOTA na íntegra abaixo.
Como está o processo de criação da ANPD?
Waldemar Gonçalves Ortunho Junior - no dia 6 de novembro, cinco diretores foram
nomeados, que é a data de nascimento da autoridade. É o que tinha até então,
mais nada. Não tínhamos acesso ao Serviço Eletrônico de Informação (SEI),
espaço físico, cadeira, telefone, nada disso. Passamos a nos reunir no próprio
Palácio do Planalto, já que no regime transitório de dois anos estamos
vinculados diretamente à Presidência.
A lei foi aprovada em 2018, entrou em vigor agora e a autoridade foi criada
agora. Buscamos fazer nosso dever de casa. Não entramos em 2021 com tudo pronto,
mas a gente já está elencando tudo o que é necessário e vital para a autoridade
e vamos precisar dar uma priorizada em relação às limitações, especialmente em
termos de quantitativo de pessoal. Isso, entretanto, não justifica lentidão,
falhas e coisas do tipo.
Estamos buscando as pessoas certas. Telebras é um foco, Anatel, outro. O
governo de forma geral está ajudando bastante a autoridade. As agências que têm
efetivo grande que podem ceder alguém para a ANPD neste momento entendem que
pode haver prejuízos a elas, mas por outro lado veem que é importante para quem
está começando receber pessoas com experiências de áreas como regulação,
normatização e fiscalização.
Os nossos cinco diretores foram uma seleção muito feliz. Têm experiência boa em
gestão, negociação e vêm da área técnica. A Miriam, por exemplo, respira
proteção de dados desde que nasceu, é uma das pessoas mais experientes no
Brasil em proteção de dados, um ganho violento. O professor Joacil Basilio
Rael, que tem mestrado e doutorado, idealizou o primeiro curso de proteção de
dados no Brasil. Alguém que tem um foco acadêmico muito importante para a
autoridade. Arthur Pereira Sabbat, com expertise em cyber security, também vem
atuando há bastante tempo na área. E a Nairane Farias Rabelo Leitão, que vem do
mercado privado e para nós é fundamental esse conhecimento do mercado privado.
Nossas decisões serão sempre em termos de colegiado, então é importante termos
diretores com visões diferentes para termos uma discussão e considerarmos
vários pontos interessantes na tomada de decisão.
Já estamos preparando um edital para a formação do nosso Conselho Nacional de
Proteção de Dados e Privacidade. A sociedade anseia pela formação e pela
primeira reunião do grupo. Será uma data bem marcante, definida no início do
próximo ano.
Miriam Wimmer - o clima é de muito entusiasmo, todos os diretores têm noção do
privilégio que é ajudar a construir algo tão importante do zero. São desafios
enormes de todas as ordens. Tem diretor que está visitando galpões de móveis
empoeirados para mobilar a sede. Ao mesmo tempo, temos perfeita dimensão desse
trabalho e da importância da construção de um arcabouço normativo que dê
segurança jurídica para todos: empresário, cidadão e poder público, ainda mais
no momento que começamos a ver uma judicialização bastante intensa nesses
assuntos.
O nosso entusiasmo tem a ver com a ideia de contribuir com uma solução e
resolver uma série de problemas, contribuir para o aumento da competitividade
brasileira na medida em que consigamos aos poucos promover essa mudança de
cultura para adoção de padrões mais elevados de proteção de dados pessoais, que
já é um imperativo dessa economia digital. É uma realidade em muitos países e é
um caminho que o Brasil deve trilhar.
Já tem sido feito algo em torno da questão de regulamentação de alguns temas?
Quais serão as prioridades nesse começo?
Waldemar - esse trabalho já está sendo feito. Estamos elencando o que merece e
deve ser regulado, regulamentado e normatizado. Já estamos dialogando tanto com
o próprio governo como com a sociedade. Alguns exemplos muito citados, como a
transferência internacional de dados, micro e média empresa, startups, estamos
ouvindo tudo isso. Já temos nossa coordenadora-geral de normatização elencando
vários pontos para que em um segundo momento nós pontuarmos a prioridade um,
dois e assim por diante. O que tiver mais riscos é o que vamos trabalhar de uma
forma preferencial. Isso já estamos fazendo, apesar de poucas nomeações já
temos um grupo praticamente definido.
Miriam - nosso esforço também é trabalhar em harmonia com todo mundo que está
inserido na questão de dados pessoais. A LGPD tem mais de uma dezena de pontos
que requerem regulamentação e são temas dos mais variados, desde proteção de
crianças e adolescentes até regras para relatórios de impacto de proteção de
dados pessoais. Com a nossa equipe enxuta, temos que estabelecer um
planejamento, uma agenda regulatória para sinalizar à sociedade o que será
tratado primeiro e para podermos concentrar os esforços.
Vale a pena lembrar que a LGPD é bastante rigorosa em termos de requisitos
formais da produção normativa. Precisamos fazer uma avaliação de impacto
regulatório, consulta pública e audiência pública antes da edição de qualquer
ato normativo. São regras até mais rígidas do que outras agências reguladoras,
que fazem consulta pública mas não necessariamente audiência pública. Temos que
fazer o pacote completo. Por conta disso, o que tem sido feito é primeiro o
mapeamento da lei: o que a lei requer que seja regulamentado? E, depois, quais
os outros pontos que precisaremos tratar para dar segurança. Então, por
exemplo, notificação de incidente de segurança: qual é o processo? Como
notificar? Qual é o prazo? Todos esses itens foram elencados e nós estamos
nesse momento deliberando o que vem primeiro e quais áreas da ANPD vão tratar
dos diferentes pontos.
Existem questões de padrões técnicos, por exemplo, e isso provavelmente ficará
com uma coordenação, enquanto relações institucionais ficará com outra. Vamos
priorizar e organizar as tarefas que estão em andamento neste momento e temos
noção que os temas mais críticos, com maior impacto econômico, que se
relacionem com direitos dos titulares naturalmente precisam vir primeiro. Antes
de mergulhar em questões muito específicas de setores.
Sabemos que a cultura de proteção de dados ainda é muito nova no Brasil. Muitas
pessoas estão ouvindo sobre esse assunto somente agora. Neste começo da atuação
da ANPD podemos esperar uma atuação mais educacional, com objetivo de esclarecer
e difundir alguns princípios para a população, empresas e órgãos públicos?
Waldemar - essa é a pergunta que mais tenho respondido nos vários painéis que
tenho participado desde nossa fala no Senado. Nosso principal foco no primeiro
momento será educação. A gente viu o resultado que multas e sanções provocam
nas diversas áreas, que são pouco eficientes. Retira um valor financeiro de uma
empresa e não tem garantia que esse valor retornará para a nossa atividade. Vai
para um caixa comum do governo e nem sempre retorna para área de dados,
telecomunicações ou algo do tipo. Não tenha dúvidas que a empresa vai
distribuir para os seus clientes essa multa, ela será rateada. Ou seja: a
eficiência de sanção é muito pequena, vai surtir efeito naquelas empresas que são
totalmente alienadas às orientações e regras do jogo.
Neste primeiro momento a educação é extremamente importante em termos que não
só o titular de dados mas as empresas passem a valorizar a proteção de dados
pessoais, o objetivo é uma mudança de cultura. A gente sabe que isso não é uma
coisa rápida, leva-se tempo.
O mercado mundial, que está há mais tempo trabalhando nisso, mostrou que é um
processo mais lento, mas é algo que temos que batalhar bastante, com parceria
da ANPD com as diversas empresas, com bastante campanha educativa para o
titular que questione o porquê de estar fornecendo essa dado, se é justificável
à empresa estar solicitando vários dados. Vemos depois que o objetivo era
outro. A parte educativa é o principal objetivo da autoridade nos primeiros
anos.
Miriam - justamente por conta do nosso diálogo com outras agências reguladoras,
temos observado que a experiência delas é que a condição da eficácia da
regulamentação não é o chicote, mas o diálogo. Então, olhamos para o caso da
Anatel que tem algumas dezenas de bilhões de reais em multas judicializadas,
não pagas, aí precisa fazer acordo. O que isso melhorou na vida do cidadão? É
bastante questionável. Grande parte das agências agora trabalha com a ideia de
regulação responsiva, que é uma linha de pensamento que aposta muito no diálogo
para incentivar o compliance. A lógica de co-regulação, introduzida pela LGPD,
que prevê que atuamos não só no mandar e obedecer, mas também na lógica do
diálogo, atribuindo ao ente regulado a responsabilidade de contribuir para as
soluções. Esse tipo de regulação é imprescindível para o sucesso da nossa
missão.
Vocês citaram a interação com outras agências e órgãos reguladores. Como será a
interação, por exemplo, com o setor bancário e o de saúde, duas das áreas que
são sempre mais citadas pelas empresas? Com que a ANPD vai fazer relação com o
consentimento de dados que o Banco Central dá em relação ao PIX e Open Banking,
por exemplo? No setor de saúde, há algumas questões relacionadas ao
consentimento de dados sensíveis. Como está sendo essa interação?
Waldemar - Temos uma coordenação geral de relações institucionais e
internacionais. Neste primeiro momento é muito importante essa relação e
negociação. Só não podemos atrapalhar. A autoridade chega para melhorar essa
troca e vivência de dados. Temos que fazer com que a coisa continue andando e
caminhando quanto aos compartilhamentos, mas com responsabilidade. Isso é muito
importante deixar claro para empresas e sociedade. Com o uso responsável de
dados todos vão ganhar.
Esta negociação e troca de experiências já está acontecendo, e vemos a
experiência de outras autoridades. Estamos às vésperas de o Reino Unido voltar
a negociar com a União Europeia sobre como ficará a negociação de dados
pessoais.
Miriam - quando olhamos para a complexidade de nossa administração pública,
tanto federal quanto estadual e municipal, vemos que precisamos articular com
outros órgãos. Não queremos substituir as regulações do Banco Central ou da
ANS, por exemplo. Mas quando pensamos na importância do dado em todos os
setores, nosso papel é de articulação e ser o eixo central desse sistema de
proteção de dados pessoais. Justamente por isso a LGPD diz que a ANPD é um
órgão articulador em setores regulados, não por acaso existe uma coordenação-geral
que tem esse papel. Exatamente porque lidamos com um cenário de enforcement
complexo e fragmentado, dada a multiplicidade de órgãos públicos, aí está a
importância do diálogo para o papel educador e de regulação responsiva.
Como podemos contribuir para a segurança jurídica? Dando orientações, indicando
procedimentos a serem observados, tecnologias mais seguras? Nosso papel é
entabular um diálogo para compreender as necessidades, tanto no governo como no
setor privado, e achar soluções para estabelecer esse ponto de equilíbrio.
Recentemente, tivemos tentativa de ataque ao TSE e ao STJ. Como será o
tratamento da ANPD ao uso de dados no poder público?
Waldemar - vamos tratar caso a caso. No setor público, já que o caixa é o
mesmo, não há necessidade de aplicar uma sanção e a multa voltar para o
governo. Essa nossa atuação é em forma pró-ativa, para evitar que aconteça
irregularidades e falhas. E, se acontecer, o tratamento será o mesmo, de
apontar falhas para que não se repita em outros organismos, seja público ou
privado, e atuar para proteger ao máximo o cidadão.
A parte técnica é importante, várias medidas podem ser tomadas em banco de
dados de forma sempre a dificultar ataques. A tecnologia sempre vai ser viva.
Um hacker tem um procedimento no ataque e, no seguinte, já há outro. Então, o
que você viu, já está ultrapassado. Ele sempre estará inovando. É importante
atuar como faz o sistema financeiro, que compartilha com as outras instituições
qual a forma que o invasor tem para que se evite ao máximo a repetição de
ocorrências. Já temos ciência de casos de falhas e invasões, e estamos vendo
onde o titular dos dados está sendo lesionado.
Vamos normatizar quais são as ações e medidas que as empresas têm de adotar;
visualizar se as regras adotadas por tal empresa são só para atender o que a
LGPD determina ou se a companhia de fato abraça e as adota sendo seu mecanismo
de defesa. No setor privado, a reputação é muito importante, o dano é muito
pior que uma sanção, e notamos que as empresas estão conscientes disso. Montar
um nome no mercado leva anos, e em poucos segundos pode se desfazer. Quando
temos notificação de vazamento de dados, diretores e a área jurídica já ficam
preocupados com os efeitos para empresa no mesmo momento.
Como será a participação popular na normatização? Propostas de autorregulação
serão aproveitadas?
Waldemar - temos aproveitado tudo o que os setores tiveram como iniciativa. Na
demora do governo em colocar sua autoridade de pé, alguns setores já lançaram
cartilhas e até cursos de aprimoramento na área jurídica para a figura dentro
da companhia que será responsável pelo controle de dados pessoais. O mercado
não fica parado, ele é atuante, tem inovação sempre e vai vendo as
oportunidades e as necessidades que a LGPD apresentou. Ninguém ficou de braços
cruzados desde a aprovação da lei, as empresas sabem que será um diferencial no
futuro. É importante estarmos atentos ao que vem acontecendo no mundo e no
Brasil.
Miriam - concordo integralmente. Ninguém melhor do que o próprio agente para
saber o que é factível de ser feito dentro da organização. Vemos com bons olhos
essas propostas de autorregulação e busca de conformidade. É algo que a própria
LGPD prevê, que os controladores vão formular essas regras de boas práticas de
governança e submetê-los à autoridade para aprovação e ciência. Pode ser
considerado um fator mitigador de eventuais sanções a serem aplicadas. A lei
vale à despeito da ANPD.
A ANPD pode eventualmente expedir alguma regulamentação ou norma que pode
ensejar em necessidades de ajustes, mas isso será feito com tranquilidade. A
gente vê tanto no Poder Público e também em ambiente empresarial onde há
associações mais fortes. É algo muito positivo. Precisamos conhecer e
incorporá-las à luz da LGPD.
Waldemar - a normatização tem três fases importantes. A Consulta Pública,
Audiência Pública e a análise de impacto regulatório, de como nossa regulação
vai impactar as empresas e as sociedades. Estaremos bem maduros de tomar as
decisões de forma mais rápida possível, observando essas fases.
Como a LGDP avalia o uso da lei para abusos por parte das empresas no
Judiciário e, no futuro, em reclamações à própria agência?
Waldemar - o Judiciário já está preparado para ações. Vão ter aproveitadores de
um certo enriquecimento de ações em grande quantidade. O Judiciário já disse
que está acostumado, não vai surpreender. Está sendo considerado. Quando a
sociedade perceber que não é por aí, é algo que precisa ser levantado de forma
consciente. O objetivo é o dado do titular, e não aproveitar a lei para outra
finalidade.
Miriam - de um lado temos o contencioso de massa, de pessoas que não conseguem
os dados e entram no juizado especial. Não queremos que os tribunais fiquem
assoberbados de ações judiciais, e nesse sentido o papel da ANPD é importante
para estabelecer os parâmetros, contribuindo para trazer segurança jurídica. E
outro tipo de judicialização é a de grandes teses, com decisões importantes nos
tribunais estaduais. Esse tipo de judicialização tem como raiz a falta de clareza
de como interpretar a lei, de como pode, não pode, então em ambos os casos a
ANPD contribui não para eliminar, mas diminuir o impacto da judicialização. Na
medida em que as regras do jogo fiquem claras, tende-se a diminuir.
A ANPD tem uma atuação horizontal, abrangendo todos os setores da economia. Ao
mesmo tempo, há um déficit de servidores. Assim, como será o começo da agência
principalmente em relação à fiscalização, em termos de foco? Será um olhar para
grandes empresas, setores?
Waldemar - queremos tornar a fiscalização menos punitiva e mais educacional.
Pelo nosso efetivo pequeno, o que pudermos automatizar, será, dado nosso
efetivo pequeno. O que será prioritário não definimos ainda, mas vamos
considerar onde houver mais riscos. A Coordenação-geral de Fiscalização foi
composta por membros que já têm experiência em fiscalização, e aos poucos vamos
crescendo. Num curto espaço de tempo atingiremos o tamanho necessário para
atuar em todo o país.
Miriam - para além desses pontos, o caminho das parcerias com outros órgãos
pode ser interessante. Não iniciamos esse trabalho, já que as sanções só serão
aplicadas a partir de agosto do próximo ano, e antes disso precisamos de
regulamento de sanções, metodologia, tudo submetido aos regulados antes. Nosso
papel inicial é orientação e menos fiscalização e sanção. E também não faz
sentido crer que a ANPD terá um fiscal na porta de cada data center, é uma
coisa totalmente fora da realidade.
Como está a interação da ANPD com autoridades de dados de outros países?
Waldemar - entramos naquela fala que estamos assistindo bastante ao que as
autoridades têm feito. Não poderemos fugir de uma negociação país a país, ou
então com a União Europeia. Vamos aprender muito na negociação do Reino Unido
com a UE, é um dos temas mais polêmicos e urgentes que estamos observando na
agência. Trocar experiências e conversar com outras autoridades será bastante
importante.
Miriam - quando olhamos para nossa moderna economia digital é quase clichê
dizer que ela é movida a dados. Ela tem uma escala global, e os fluxos
transnacionais de dados são elementos imprescindíveis para essa economia
digital. Por isso, para o Brasil é importante estabelecer um regime jurídico
que possibilite participar desses fluxos transacionais. Nesse sentido, a LGPD
segue uma sistemática muito parecida com a europeia ao estabelecer um conjunto
de medidas que viabilizem a questão do fluxo de dados pessoais de um país para
o outro. De um lado a adequação, que é quando um país reconhece o outro como
tendo o mínimo adequado de proteção de dados, e medidas de natureza contratual,
certificações, cláusulas contratuais padrão, onde qualquer entidade possa
retirar da prateleira e colocar no contrato, sejam cláusulas contratuais
específicas para operações, bem como também tratado e cooperação internacional.
Isso é importante para o Brasil para fazer parte dessa economia global, bem
como a entrada do país na OCDE, que há 40 anos expedia sua primeira diretriz
sobre esse tema de dados. Pretendemos ao máximo explorar esses mecanismos que a
LGPD dispõe. Esses dispositivos da LGPD dependem de regulamentação. Temos
olhado com atenção e prioridade.
Como avaliam o modelo da ANPD vinculada à presidência em vez de ser uma
autarquia independente?
Waldemar - eu acho que melhor do que se adiar a criação foi esse modelo. A
independência decisória nos foi dada com o mandato, já que todos têm um tempo
de agência. Daqui a quatro anos, teremos a renovação de um quarto dos
diretores, como fazem outras agências. O próprio decreto é temporal, e em dois
anos devemos partir para uma solução como o Conselho Administrativo de Defesa
Econômica (Cade) ou outras agências reguladoras do Brasil. Já estamos atuando
dessa forma. Concurso público demora mais de um ano para chamar o concurso e
dar posse. Estamos atuando em convencimento do governo no sentido de que isso
será necessário, já que têm que ser desencadeadas ações para, em dois anos,
estarmos em total independência.
A ligação com a presidência em termos orçamentários é necessária, pois
precisamos estar vinculados a algum órgão, e vejo de uma forma bem tranquila e
independente a nossa atuação.
Miriam - todos os diretores têm presente essa percepção que é importante
mudarmos nosso modelo para nos tornarmos independentes, em linha com as
recomendações da OCDE. E, até agora, temos tido total independência na
contratação dos servidores, com análise de currículo e entrevistas com todos da
diretoria. Também não temos tido dificuldade com outros órgãos. Mais do que
discutir a natureza jurídica é ter credibilidade por meio de nossas ações.
O que podemos esperar em 2021 em relação a prazos para a regulamentação? As
sessões de julgamento serão públicas?
Waldemar - o espaço inicial permite reuniões até um determinado número de
participantes, mas com a pandemia isso será resolvido por videoconferência.
Temos alternativas no espaço físico, para médio e grande porte. Na reunião do
conselhão, são 23 pessoas, então isso requer um espaço razoável. Estamos
considerando, e não vamos ter nenhum problema. Vejo bem a parte que a pandemia
nos ensinou, sobre o home office, o que mostrou que a tecnologia é bem
importante e causa uma economicidade e rapidez grande em termos de reuniões.
Já temos batido o martelo com nossas instalações. Estamos recebendo mobiliário
e preparando para ter um endereço fixo da autoridade, que será em Brasília. Em
breve vamos publicar.
Esses prazos, nossa equipe de normatização está formada, estamos trabalhando
para dar prioridades neste primeiro momento, mas não estamos fixando prazos.
Nossa agenda regulatória é prioridade em termos de ação.
Miriam - estamos terminando de produzir nosso regimento interno, que foi
inspirado em agências reguladoras e autoridades de outros países, prevendo a
participação da sociedade no processo decisório da entidade, como dispõe, por
exemplo, a lei de processo administrativo, para ser transparente. Exploraremos
isso ao máximo, por instrumentos formais, como o Conselho Nacional de Proteção
de Dados, e informais, como workshops, grupos de trabalho e reuniões. É uma dinâmica
positiva, pois quanto mais a gente ouve, menos erraremos. Nossa intenção é ser
o mais transparente e aberto possível. Só essa fase de criação requer que a
gente se feche um pouco para depois, com mais propriedade, olhar pra fora e
incentivar o diálogo.
Deixo o espaço aberto para considerações finais.
Waldemar - neste primeiro momento, o que gerará maior impacto é a educação, a
busca de uma mudança de cultura. Não será do dia para a noite, leva-se algum
tempo, e todas as ações que estamos preparando e planejando é nesse sentido.
Esse respeito e essa credibilidade que queremos conquistar é em função de
ações, e não de planos e palavras. Em pouco tempo vamos mostrar nossa seriedade
e eficiência.
Por Guilherme Pimenta e Alexandre
Leoratti, no Jota
- - - - - - -
|
Para saber mais sobre o livro, clique aqui. |
|
Para saber mais sobre o livro, clique aqui. |
|
Para saber mais sobre os livros, clique aqui. |
|
Para saber mais sobre a Coleção, clique aqui.
|
|
Para saber mais sobre o livro, clique aqui.
- - - - - -
No mecanismo de busca do site amazon.com.br, digite "Coleção As mais belas lendas dos índios da Amazônia” e acesse os 24 livros da coleção. Ou clique aqui. O autor: No mecanismo de busca do site amazon.com.br, digite "Antônio Carlos dos Santos" e acesse dezenas de obras do autor. Ou clique aqui.
-----------
| Clique aqui para saber mais. |
| Click here to learn more. |
| Para saber mais, clique aqui. |
|