News

A lei 13.709/2018, Lei Geral de Proteção de Dados, representa um marco na legislação brasileira, responsável por regular o tratamento de dados pessoais conduzido tanto por pessoas físicas quanto jurídicas, estabelecer definições e empenhar-se para constituir um sistema nacional efetivo de proteção de dados pessoais.

Neste sentido, deste o início da vigência da lei, a Autoridade Nacional de Proteção de Dados (“ANPD”) vem emitindo notas técnicas e guias orientativos sobre temas específicos a fim de facilitar e guiar a interpretação e aplicação da LGPD, além de sanar dúvidas existentes referentes a certos conceitos e aspectos da lei.

Dentre as publicações emitidas pela ANPD até o momento, o Guia Orientativo para Definição de Agentes de Tratamento de Dados Pessoais[1], apesar da não ter caráter vinculante, é bastante relevante e esclarecedora.

O documento tem como objetivo determinar diretrizes aos agentes de tratamento e ao encarregado, os conceitos jurídicos, a respectiva responsabilidade de cada um destes atores, traz exemplos concretos sobre o tema a partir dos esclarecimentos abordados pela ANPD e respostas de questionamentos recorrentes sobre o tópico.

O principal ponto abordado no Guia em questão diz respeito à definição e possibilidade de controladoria conjunta. Apesar da LGPD definir expressamente os conceitos de controlador e operador não menciona ou define claramente a possibilidade de uma dinâmica de tratamento de dados com dois controladores, situação que, em termos práticos, pode ocorrer com frequência e é regulada, por exemplo, na lei europeia de proteção de dados, a GDPR.

Em termos gerais, a grande diferença em uma relação marcada por uma controladoria conjunta diz respeito ao poder de decisão para definir as finalidades do tratamento ser dividido entre dois ou mais responsáveis. O Guia menciona o regulamento europeu, ao definir a controladoria conjunta em hipóteses de “participação conjunta” ao definir as “finalidades e meio de tratamento”.

Além disso, tendo em vista o entendimento e diretrizes emitidas pelo Comitê Europeu de Proteção de Dados (EDPB), as finalidades de tratamento, neste contexto, podem ser tomadas a partir de decisões comuns ou convergentes dos controladores.

Decisões comuns constituem-se como aquelas em que duas ou mais entidades têm uma intenção comum em relação às finalidades e aos meios de tratamento dos dados pessoais, enquanto decisões convergentes são aquelas em que há decisões divergentes, contudo estas são complementares, de modo que o tratamento não seria viável sem a participação de ambos os controladores.

A ANPD, por meio deste Guia, apresenta os critérios básicos que precisam ser analisados a fim de identificar a existência de controladoria conjunta no contexto da legislação e sistema jurídico brasileiro, quais sejam: (i) mais de um controlador com o poder de decisão sobre o tratamento de dados pessoais; (ii) existência de interesse mútuo de dois ou mais controladores, com base em finalidades próprias, sobre um mesmo tratamento; e (iii) dois ou mais controladores são responsáveis por tomar decisões comuns ou convergentes sobre as finalidades e elementos básicos do tratamento.

Por fim, apesar da importância deste tipo de documento publicado pela ANPD, como o entendimento emitido não é vinculante, tem-se que ainda há um longo caminho a ser perseguido para que as empresas tenham mais segurança quanto à interpretação e aplicação da LGPD, trajetória que começará a ficar mais clara quando posicionamentos mais concretos da autoridades forem realizados, tais como a aplicação das sanções previstas na lei.

[1] O documento completo publicado pela ANPD está disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2021.05.27GuiaAgentesdeTratamento_Final.pdf