Entendimentos do Conselho Diretor da ANPD

2.31.Os subtópicos 2.1 e 2.2 são preliminares à utilização da hipótese do legítimo interesse. Isso porque a natureza dos dados tem que ser analisada, previamente. Em sendo o caso de dados sensíveis, afasta-se a hipótese do legítimo interesse. Já se for o caso de dados de crianças e adolescentes, o uso da hipótese reclama um filtro avaliativo específico,considerando a necessidade de prevalência do princípio do melhor interesse da criança ou adolescente, conforme previsto no art. 14 da LGPD.

Hipótese legal que autoriza o tratamento de dados pessoais de natureza não sensível quando necessário ao atendimento de interesses do controlador ou de terceiro, desde que compatíveis com o ordenamento jurídico, lastreados em situações concretas e vinculados a finalidades legítimas, específicas e explícitas, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, respeitados os direitos e a legítima expectativa do titular.

3.10.A hipótese legal do legítimo interesse, nesse contexto,conforme disposto no Canal de Privacidade do controlador, parece não estar em consonância com as normas brasileiras de proteção de dados pessoais. Isso ocorre uma vez que o tratamento de dados pessoais em virtude do legítimo interesse do controlador ou de terceiros encontra-se fundamentado no art. 7º, IX, da LGPD. Tratase de dispositivo legal aplicável somente a dados pessoais simples,nos termos definidos pelo art. 5º, inciso I, da LGPD, não se podendo legitimar o tratamento de dados pessoais sensíveis com base nesse fundamento.

4.54.Em primeiro lugar, é importante reforçar que a hipótese legal do legítimo interesse não se aplica ao tratamento de dados pessoais sensíveis, conforme estabelecido pela Lei Geral de Proteção de Dados (LGPD), e como sinalizado pelo Voto Nº 11/2024 (SEI nº 0135913).

4.69. Desta forma, com o objetivo de direcionar o comportamento dos agentes de tratamento e, ainda, garantir mais efetividade à atuação da autoridade, desestimulando a eventual inércia por parte dos controladores, alterei a redação do atual artigo 16 da minuta, inserindo parágrafo a prever especificamente a possibilidade de fixação de multa diária em caso de descumprimento da determinação da ANPD de envio da comunicação do incidente.

4.3.3.38. Isto porque, a multa diária constitui medida que pode ser adotada tanto no procedimento de apuração de incidente de segurança, inclusive para fins de compelir o controlador a enviar o comunicado de incidente de segurança,como no procedimento de comunicação de incidente de segurança. Dessa forma,avaliei que o dispositivo fica melhor situação naquela Seção. Como consequência, exclui o parágrafo primeiro do art. 16 e o inseri como parágrafo único, conforme expliquei no tópico anterior.

4.29. No art. 14, excluo a expressão " e com o titular de dados pessoais". No mesmo artigo, proponho vedar as decisões automatizadas apenas no contexto do contato automatizado com a ANPD, em vez de estender essa vedação aos titulares, baseia-se na limitação da competência da ANPD e na consideração de que o uso de chatbots pode ser útil em certos contextos, como o cancelamento de serviços e a exclusão de dados pessoais.

4.52. Por tais razões, proponho a substituição do antigo inciso III pelo novo inciso IV, que traz uma regra de cunho mais geral e coloca ênfase na celeridade, eficácia e adequação dos meios de comunicação com o encarregado e de exercício de direitos. Reconheço que os meios de atendimento podem ser distintos conforme a incidência de fatores os mais diversos, tais como o contexto e a natureza do agente de tratamento, o inciso IV proposto se concentra na eficiência e no resultado para o titular do mecanismo de comunicação com o encarregado adotado pelo agente de tratamento. Dada a sua natureza mais geral, a nova regra não afasta e nem se demonstra incompatível com uma eventual e futura regulamentação sobre a disponibilização de atendimento humano ao titular.

4.29. No item 3 “Do Encarregado pelo Tratamento de Dados Pessoais”, ajustei abordagens de mérito e forma. Suprimi a recomendação de priorização do atendimento humano aos titulares, por entender que tal orientação extrapola o escopo do Guia e poderia ser interpretada como contrária à automatização, o que contrasta com a flexibilidade permitida pela LGPD. Ressaltei que o foco do Guia é exclusivamente a atuação do encarregado. 4.30. Optei por substituir o termo “assessorar” por “apoiar”, evitando interpretações que vinculassem a função do encarregado à criação de cargos formais, como o de assessor, algo que não encontra respaldo na legislação. Essa alteração visa reforçar a clareza funcional do encarregado, alinhando-se à linguagem prevista no Regulamento. 4.31. Também suprimi a recomendação de que o encarregado estivesse “sempre” disponível, por entender que essa expressão poderia sugerir, equivocadamente, a exigência de um regime de atendimento conXnuo (24/7), o que carece de fundamentação legal, considerando, ainda, que a disponibilidade deve ser compaXvel com a razoabilidade e a necessidade

4.23.Tal tipo de interferência pode se apresentar sob a forma de (i)consequências que impactem o titular desproporcional e negativamente em razão de uma eventual recusa ao tratamento de seus dados; ou (ii)intervenções do controlador que, entre outras possibilidades e contextos,explorem assimetrias de informação e a vulnerabilidade dos titulares para obter destes a concordância com o tratamento de seus dados pessoais.

4.22.Assim, considerando o entendimento da ANPD sobre o tema, e tendo em vista a exigência legal de que o consentimento válido deve ser "livre", pode-se afirmar que a LGPD não admite qualquer tipo de interferência externa indevida, inclusive por parte do controlador, que possam vir a viciar ou prejudicar, direta ou indiretamente, a manifestação autônoma da vontade do titular dos dados.

6.10.A adequação de cada hipótese legal depende de uma série de circunstâncias relacionadas ao tratamento de dados. A espécie de dado pessoal que se pretende tratar, por exemplo, é uma dessas circunstâncias:sendo dado sensível, as hipóteses possíveis são as do art. 11 da LGPD, não do art. 7º. A finalidade do tratamento é outra circunstância essencial à definição da hipótese legal. Se, a título de ilustração, um dado pessoal for tratado para propósito diverso da execução de um contrato, a hipótese legal do art. 7º, V não poderá ser utilizada, já que não há um liame com a finalidade real do tratamento.

5.14. Em termos mais concretos, pode ser mencionado, a título de exemplo, que a sanção de multa não será aplicada de forma indistinta a qualquer infração. Ao contrário, conforme o art. 11 da minuta, o recurso a essa sanção somente será admitido nos casos em que: (i) o infrator não tenha atendido a medidas de orientação, preventivas ou corretivas a ele impostas; (ii) de infração grave; ou (iii) quando não for possível ou adequado aplicar outra sanção. Outro fator que merece destaque é a possibilidade de redução dos valores da multa caso, entre outras circunstâncias atenuantes previstas no art. 15 da minuta, o infrator adote medidas para cessar a infração, reverter ou mitigar os danos gerados ou, ainda, em caso de implementação de política de boas práticas e de governança.

4.32. Mantenho, ainda, o trecho do inciso III incorporado ao caput, para evitar a interpretação de que, caso o trecho do inciso III viesse em separado, a aplicação da multa simples sempre estaria condicionada ao atendimento de uma das hipóteses previstas nos incisos I e II, caso restassem únicos ao caput.

20. Outro ponto de extrema relevância jurídica também restou endereçado pela CGN na minuta regulamentar entelada, qual seja, o modelo da tipificação indireta, responsável por admitir que as condutas que infringem a LGPD podem ser extraídas indiretamente da lei, sendo, portanto desnecessária a tipificação complementar, o que permite adotar a concepção de conduta infracional como descumprimento de dever legal pelo regulado, desde que esse dever tenha densidade normativa suficiente na LGPD para ser exigido por si só ou, ao menos, que essa densidade normativa advenha de regulamentação editada pela ANPD, destrinchando a referida obrigação.

4.9. Optou-se pelo modelo da tipificação indireta das sanções, possibilidade que advém do exercício do juízo discricionário da Autoridade na seara regulatória (artigo 53 da LGPD, caput). Desse modo, não seria necessário exigir-se que a ANPD especifique todos os comportamentos ilícitos reconhecidos e as sanções aplicáveis a cada um deles.

4.25. Em linhas gerais, e malgrado todo o aprofundado estudo realizado pela equipe de projeto, constante na Nota Técnica nº 12/2023/CGN/ANPD (SEI nº 4012432), vislumbro que embora não seja mandatória a inclusão desta propriedade, ser possível que incidentes envolvendo a propriedade da autenticidade, revistam-se da potencialidade de implicar risco ou dano relevante aos titulares de dados envolvidos.

4.3.3.7. Compulsando os autos, verifico que não foi apresentado elemento novo que justifique a alteração do entendimento por mim manifestado e acompanhado, anteriormente, pelos demais membros do Conselho Diretor desta Autarquia. Neste sentido, estou certo, pelas razões acima colacionadas, de que deve ser incluída, no art. 3º, inciso Xll, deste Regulamento, a propriedade da “autenticidade” na definição de incidente de segurança e em demais trechos da norma que tratem do tema.

4.26. Na Seção II, proponho ajustes formais, e altero o título para "Dos agentes de tratamento", ao invés do inicial "Dos deveres em relação ao encarregado", para que o título da referida Seção possa comportar tanto o inciso que trata dos "meios de atendimento humanizados do encarregado...", quanto o art. 8º, que destaca a permanência da responsabilidade do controlador na conformidade do tratamento dos dados pessoais. Nesse sentido, para aprimorar a estrutura normativa, converto nos incisos I, II e III parte do antigo art. 7º e os arts. 8º e 9º, e renumero os demais artigos.

4.69. Por fim, no art. 17 foram incluídas as expressões “perante a ANPD” e “realizado pelo controlador”, a fim de deixar mais claro que a atuação da ANPD se dirige, como regra, ao agente de tratamento - e não ao encarregado. Ademais, o disposto no art. 17 não implica eximir o encarregado de qualquer tipo de responsabilidade, uma vez que, como todo funcionário ou agente contratado, o encarregado poderá responder pessoalmente pelos seus atos nas hipóteses previstas na legislação pertinente.

tratamento de seus dados deve ocorrer de maneira condizente com a LGPD, cabendo ao controlador demonstrar sua capacidade de aderência à legislação para a finalidade proposta, em situações específicas. Com base nesses argumentos, proponho a seguinte redação: "É a expectativa razoável do titular, que deve ser demonstrada pelo controlador, de que o tratamento de dados pessoais, para a finalidade pretendida, é o esperado em determinada situação concreta".

4.27.Como exposto pela ANPD no "Guia Orientativo - Legítimo Interesse", a legítima expectativa deve ser considerada "em todo tratamento de dados pessoais realizado com base na hipótese legal do legítimo interesse",cabendo ao controlador "avaliar e ser capaz de demonstrar que o tratamento dos dados pessoais para a finalidade pretendida é, razoavelmente, o esperado pelos titulares naquele contexto". Embora a análise não precise considerar um titular específico, é necessário verificar "o que poderá ser admitido ou considerado aceitável na situação concreta do tratamento". (Disponível em:https://www.gov.br/anpd/pt-br/documentos-epublicacoes/guia_legitimo_interesse.pdf, p. 22-23).

2.8. Ademais, ainda com relação ao termo "legítimo interesse", menciono como aspecto positivo a inclusão, no conceito proposto, do trecho do Guia de Legítimo Interesse que explicita o sentido de interesse legítimo, “quando for compatível com o ordenamento jurídico, lastreado em situações concretas e vinculado a finalidades legítimas, específicas e explícitas”. Entendo que os trechos subtraídos pela CGN devem permanecer

4.28.No caso em questão, as informações disponíveis nas plataformas geridas pela Meta são, em geral, compartilhadas pelos titulares com a finalidade de relacionamento com amigos, comunidade próxima ou empresas de interesse. Diante disso, em análise preliminar, é razoável supor que, a princípio, não há a expectativa de que todas essas informações,inclusive as compartilhadas muitos anos atrás, sejam utilizadas para treinar sistemas de lA, que sequer estavam implementados quando as informações foram compartilhadas. Para o uso adequado da hipótese legal, o interesse deve ser fundamentado em situações concretas, isto é, situações reais, claras e precisas, que objetivem interesses específicos e bem delineados, ainda que em futuro próximo, o que afasta interesses considerados a partir de situações abstratas ou meramente especulativas.

4.5.Considerando os dispositivos legais e regulamentares mencionados, conclui-se que a ANPD, por meio de seus Diretores, detém competência para adotar medidas preventivas, de natureza cautelar, inclusive sem a prévia oitiva do interessado, a fim de evitar a iminente ocorrência de danos graves e irreparáveis ou de difícil reparação, sob pena de aplicação de multa diária em caso de descumprimento da obrigação imposta.

7.2.É inequívoca a competência da ANPD, por meio de seus Diretores, para adotar medidas preventivas e fixar multa diária pelo seu descumprimento, nos termos do art. 45 da Lei nº 9.784/1999, dos arts. 52, Ill, e 54 da LGPD, do art. 26, IV, do Decreto nº 10.474/2020, bem como dos arts. 7º,IV, e 55 do Regimento Interno da ANPD, como já delimitado no VOTO nº11/2024/DIR-MW/CD (SEI nº 0130047).

4.15.É importante ressaltar que mesmo dados pessoais publicamente disponíveis são objeto de proteção legal. Nesse sentido, entre outros dispositivos legais aplicáveis, o art. 7º, § 3º, da LGPD, estabelece que "o tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização".Ademais, conforme o § 7º do mesmo artigo, em caso de tratamento posterior desses dados, devem ser "observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta Lei".

Não se aplica a dados já tornados públicos, desde que observada a LAI e os princípios e direitos da LGPD.

4.74.Assim, considerando que a conduta pode se configurar como infração grave e que alcança grau de dano elevado, fixo a multa diária em R$ 50.000,00 (cinquenta mil reais) por dia de descumprimento. É importante ressaltar que este valor pode ser majorado, caso se verifique ser insuficiente para assegurar o cumprimento da obrigação imposta nesta medida preventiva.

7.9.Diante desse cenário, e considerando que a conduta reúne elementos suficientes para sua classificação como infração grave, com grau de dano elevado, fixo a multa no valor de R$ 50.000,00 (cinquenta mil reais) por dia de descumprimento. Ressalto que esse valor poderá ser majorado, caso se revele insuficiente para assegurar o cumprimento da obrigação imposta nesta medida preventiva.

4.73. No § 2º do art. 19 foi excluída a frase “ainda que presumida”, seguindo recomendação da PFE (SEI nº 0122578, p. 7). De fato, considerando que o conflito de interesse sempre será “objeto de verificação no caso concreto”, não há necessidade de indicar a possibilidade de conflito de interesse presumido. Também foi incluída expressa referência a “agente de tratamento”, a fim de deixar mais clara a atuação da ANPD, que se dirige, como regra, à organização (e não ao encarregado pessoalmente).

4.37. Além disso, retiro as menções ao entendimento de outros organismos sobre o conflito de interesse envolvendo o encarregado, porque a ideia do Guia é explicar as balizas para identificação de eventual conflito de interesse, deixando a análise do caso concreto para os agentes de tratamento. 4.38. Essas alterações foram realizadas com o objetivo de aprimorar a objetividade, clareza e funcionalidade do Guia, garantindo sua conformidade com as diretrizes legais e regulamentares aplicáveis. 4.39. Diante disso, considero pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revisada e consolidada do Guia Orientativo - Atuação do Encarregado pelo Tratamento de Dados Pessoais (SEI nº 0157209), à apreciação dos demais membros do Conselho Diretor.

4.8. Essa concepção não só é compatível com a LGPD como assegura a materialização de diversos princípios e regras previstos na Lei. A título de exemplo, vale destacar o princípio da responsabilização e prestação de contas, que impõe aos agentes de tratamento o dever de atuar em conformidade com a legislação e de comprovar a adoção de medidas eficazes para tanto. Essa ênfase no papel dos agentes de tratamento é reforçada pelo art. 50, que incentiva a adoção de boas práticas e regras de governança, em especial mediante a implementação de programa de governança em privacidade, o qual pressupõe o compromisso da organização em respeitar a legislação de proteção de dados pessoais e construir uma relação de confiança com os titulares. O art. 50, § 2º, II, é expresso quanto à possibilidade de a autoridade nacional solicitar ao agente de tratamento que demonstre a efetividade de seu programa de governança em privacidade, o que sinaliza que a atuação da ANPD também passa pela orientação e criação de incentivos para a adoção de boas práticas.

Responsabilização e prestação de contas, com documentação, controles e evidências de conformidade;

4.3.13. Em segundo lugar, identifiquei a necessidade de explicitar o dever dos fornecedores de documentar as medidas adotadas e sua eficácia. Deveres de documentação e demonstração de conformidade, ou da eficácia das medidas adotadas a fim de cumprir obrigação regulatória, são comumente oriundos da exigência ou imperativo jurídico de accountability. Apesar de o ECA Digital não prever expressamente o preceito que impõe a responsabilização e prestação de contas, tal como fez a LGPD, a evidente escolha legislativa por uma abordagem baseada no risco atrai a aplicabilidade desse preceito, que é [1] indissociável dessa abordagem regulatória .

4.3.21. Com relação ao exemplo referente ao dever de prevenção em sentido estrito, sugiro que ele faça referência à demonstração da eficácia das medidas adotadas pelo fornecedor. O ECA Digital e seu decreto regulamentador exigem a implementação de medidas eficazes para prevenir riscos e o acompanhamento contínuo de sua efetividade (ECA Digital, arts. 9º, caput, e 32, caput e § 3º; Decreto nº 12.880/2026, arts. 14, III; 15, II; 18; 26, § 3º; 41, parágrafo único; 47 e 49). Assim, o exemplo deve prever que a eficácia das medidas deve estar respaldada em evidências documentadas pelos agentes regulados.

4.2. Em razão de seu caráter não vinculante aos administrados, o Guia Orientativo segue procedimento mais simples de aprovação do que aquele aplicável aos atos normativos editados pela ANPD. Assim, por exemplo, não se demonstra obrigatória a previsão na agenda regulatória, a realização de consulta à sociedade ou a elaboração de análise de impacto regulatório.

4.3. Não obstante, é necessária a observância dos trâmites usuais para a aprovação de matérias pelo Conselho Diretor, particularmente a motivação técnica (apresentada nas duas Notas Técnicas elaboradas pela CGN, SEI n° 3453992 e n° 3500376) e a análise jurídica (realizada pela Procuradoria, conforme a Nota n. 00007/2022/GAB/ASJUR-ANPD/CGU/AGU, SEI n° 3489605).

4.5. Destaco que em razão de sua natureza meramente orientativa, o documento segue rito simplificado, prescindindo de formalidades indispensáveis às demais ações regulatórias desta Autoridade, a exemplo de previsão da agenda regulatória, realização de consulta à sociedade ou a elaboração de análise de impacto regulatório.

4.2. O Guia Orientativo segue um processo de aprovação mais simples em comparação com os atos normativos emitidos pela ANPD. Portanto, não é obrigatório incluí-lo na agenda regulatória, realizar consultas à sociedade ou elaborar uma análise de impacto regulatório. Mesmo sem essas obrigatoriedades, no caso em questão, o guia foi submetido a duas consultas internas, disponibilizado como texto de discussão para coleta de subsídios da sociedade, além de estar previsto no item 10 da Agenda Regulatória, demonstrando que os procedimentos para aprovação, para além dos necessários, foram seguidos.

4.3. Mesmo em cenário de maior flexibilidade, é imprescindível que a elaboração do guia siga os procedimentos habituais para a aprovação de assuntos pelo Conselho Diretor, especialmente no que diz respeito à motivação técnica (conforme apresentada nas duas Notas Nota Técnica nº 39/2022/CGN/ANPD e nº 33/2023/CGN/ANPD) e à análise jurídica (realizada pela Procuradoria, conforme o Parecer n. 00030/2022/GAB/PFE/ANPD/PGF/AGU).

5.8. Em razão de seu caráter não vinculante aos administrados, fascículos, assim como guias, seguem procedimento mais simples de aprovação do que aquele aplicável aos atos normativos editados pela ANPD. Assim, por exemplo, não se demonstra obrigatória a previsão na agenda regulatória, a realização de consulta à sociedade, tampouco a elaboração de análise de impacto regulatório.

5.9. Não obstante, é necessária a observância dos trâmites usuais para a aprovação de matérias pelo Conselho Diretor, notadamente quanto à motivação técnica (SEI nº 4800524).

2.2. O presente processo possui procedimento mais simples de aprovação do que aquele aplicável aos Projetos de Regulamentação, assim, por exemplo, não se demonstra obrigatória a previsão na Agenda Regulatória, a realização de consulta à sociedade, tampouco a elaboração de análise de impacto regulatório.

2.2.Cumpre reforçar que o Guia Orientativo segue um processo de aprovação mais simples em comparação com os atos normativos emitidos pela ANPD, de modo que não é obrigatório incluí-lo na agenda regulatória,realizar consultas à sociedade ou elaborar uma análise de impacto regulatório.

2.4.Mesmo em cenário de maior flexibilidade, é imprescindível que a elaboração do guia siga os procedimentos habituais para a aprovação de assuntos pelo Conselho Diretor, especialmente no que diz respeito àmotivação técnica (conforme apresentada nas duas Notas nº/2022/CGN/ANPD e nº /2023/CGN/ANPD) e à análise jurídica (realizada pela Procuradoria, conforme o Parecer 00002/2024 GAB/PFE/ANPD/PGF/AGU (SEI nº 0046185).

4.2. Em razão de seu caráter não vinculante aos administrados, o Guia Orientativo segue procedimento mais simples de aprovação do que aquele aplicável aos atos normativos editados pela ANPD. 4.3. Não obstante, é necessária a observância dos trâmites usuais para a aprovação de matérias pelo Conselho Diretor, particularmente a motivação técnica (apresentada nas duas Notas Técnicas elaboradas pela CGN, SEI nº 0115663 e nº 0165485) e a análise jurídica (realizada pela Procuradoria, conforme Parecer n. 00006/2025/GAB/PFE/ANPD/PGF/AGU (SEI nº 0170289).

4.1.9. O Guia Orientativo é um instrumento regulatório que vem sendo utilizado pela ANPD em diversos contextos e é coerente com a atuação responsiva da Agência, funcionando primariamente como ferramenta educativa e orientativa, sem natureza vinculante. Nesse sentido, a própria minuta em apreço ressalta a intenção de conferir aos agentes regulados previsibilidade e segurança jurídica por meio da fixação de entendimentos e boas práticas que podem auxiliar o processo de implementação do ECA Digital (p. 4). Semelhantemente, o Guia destaca que a ANPD adotará uma abordagem responsiva (p. 6).

2.28.Perceba que o dispositivo apresenta condições para sua utilização. Os interesses do controlador ou do terceiro devem ser legítimos e não podem violar direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

Hipótese legal que autoriza o tratamento de dados pessoais de natureza não sensível quando necessário ao atendimento de interesses do controlador ou de terceiro, desde que compatíveis com o ordenamento jurídico, lastreados em situações concretas e vinculados a finalidades legítimas, específicas e explícitas, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, respeitados os direitos e a legítima expectativa do titular.

2.39.Em relação a recomendação da PFE, relativa à obrigação do teste de balanceamento, entendo que a manutenção da redação inicial da área técnica dialoga melhor com o objetivo do Guia. Isso porque o teste de balanceamento é condição para a aplicação da base do legítimo interesse, não se constituindo como mera formalidade, mas uma materialização das previsões sobre o tema na Lei Geral de Proteção de Dados.

Avaliação de proporcionalidade realizada pelo controlador com base no contexto e nas circunstâncias específicas do tratamento de dados, levando em consideração os impactos e os riscos aos direitos e liberdades dos titulares.

4.44. O parágrafo único do mesmo artigo esclarece que a ANPD poderá instaurar de imediato o processo sancionador, isto é, mesmo quando não instaurado procedimento preparatório ou adotadas medidas de prevenção e orientação, em razão da gravidade e da natureza das infrações, dos direitos pessoais afetados, da reincidência, do grau do dano ou do prazo de prescrição administrativa aplicável. Esses critérios estão previstos no art. 52, § 1º, da LGPD, salvo quanto à prescrição administrativa, que é regulada pela Lei nº 9.873/1999. Assim, por exemplo, caso a ANPD tenha ciência de uma infração com alto impacto sobre os direitos do titulares ou, ainda, que esteja prestes a prescrever, poderá adotar de imediato todas as providências necessárias à apuração e aplicação das penalidades cabíveis, mediante a instauração do competente processo sancionador.

4.40.Primeiro, não há que se falar em obrigação de a ANPD apresentar proposta de Termo de Ajustamento de Conduta ou adotar qualquer outra forma de acordo de vontades com os agentes regulados. 4.41.A esse respeito, vale enfatizar que o processo administrativo sancionador pode, inclusive, ser instaurado de imediato, conforme expressa previsão do art. 42, parágrafo único, do Regulamento de Fiscalização: Art. 42. [.] Parágrafo único.A Coordenação-Geral de Fiscalização poderáinstaurar processo administrativo sancionador de imediato,independentemente de procedimento preparatório ou da adoção de medidas de orientação e prevenção, em razão da gravidade e da natureza das infrações, dos direitos pessoais afetados, da reincidência, do grau do dano ou do prazo de prescrição administrativa aplicável. 4.42.Portanto, a eventual composição de interesses entre a ANPD e as entidades reguladas ou, mesmo, a adoção de medidas de prevenção e orientação, constituem prerrogativas da ANPD, submetidas ao exclusivo juízo técnico da entidade reguladora. Por isso, não se trata de um direito do agente regulado.

Parágrafo único. A Superintendência de Fiscalização poderá instaurar procedimento sancionador de imediato, independentemente de procedimento investigativo prévio ou da adoção de medidas de condução à conformidade, em razão da gravidade e da natureza das infrações, dos direitos afetados, da reincidência, do grau do dano ou do prazo de prescrição administrativa aplicável.”

§ 1º A Coordenação-Geral de Fiscalização poderá, excepcionalmente, determinar a análise individualizada de reclamação requerimento por meio de decisão motivada, considerando as circunstâncias relevantes do caso e sua potencial repercussão sobre interesses coletivos e difusos.

4.36. As alterações no caput e nos incisos do art. 25 são de ordem formal e visam simplificar a linguagem utilizada na norma. Destaco que foi incluída referência aos arts. 17 e 26 no caput com o objetivo de deixar claro que a análise dos requerimentos será efetuada de forma agregada e com base nas premissas da atividade de fiscalização, em especial a priorização da atuação baseada em evidências e riscos regulatórios, com foco e orientação para o resultado.

2.1. RECURSO ADMINISTRATIVO INTERPOSTO POR TITULAR DE DADOS PESSOAIS EM FACE DE DECISÃO DA COORDENAÇÃO DE FISCALIZAÇÃO DA ANPD QUE ARQUIVOU DENÚNCIA CONTRA CONTROLADOR, COM INCLUSÃO DA DEMANDA NO CICLO DE MONITORAMENTO. FALTA DE INTERESSE DE AGIR EVIDENCIADA, CONFIGURANDO AUSÊNCIA DE PRESSUPOSTO DE ADMISSIBILIDADE. CONTROLADOR APRESENTOU RESPOSTA AO TITULAR. DEMANDA ENCAMINHADA PARA TRATAMENTO AGREGADO INSERINDO-A NO PLANEJAMENTO DE FISCALIZAÇÃO, CONFORME RESOLUÇÃO CD/ANPD Nº 1/2021. INEXISTÊNCIA DE MOTIVO QUE JUSTIFIQUE O SEGUIMENTO DE ANÁLISE INDIVIDUALIZADA. RECURSO NÃO CONHECIDO. DECISÃO DE PRIMEIRA INSTÂNCIA MANTIDA. AUSÊNCIA DE DIREITO À INSTAURAÇÃO DE FISCALIZAÇÃO.

a) Os requerimentos, em regra, serão analisados de forma agregada e as eventuais providências deles decorrentes serão adotadas de forma padronizada. Desse modo, a ANPD não vai intervir diretamente na sua situação concreta e específica relacionada ao tratamento de seus dados pessoais ou ao exercício de seus direitos, mas sua situação será considerada em planejamentos e ações mais abrangentes que possam alcançar, direta ou indiretamente, um conjunto de titulares com situações equivalentes ou similares à sua. Assim, a ANPD não envia resposta individual para o titular e nem opina individualmente sobre o requerimento, exceto quanto verificadas situações graves e que possam afetar um grande número de pessoas.

b) O requerimento, pela sua natureza, não é processo administrativo de fiscalização, tampouco processo administrativo sancionador. Tanto a LGPD quanto o Regulamento de Fiscalização permitem o tratamento agregado dos requerimentos, ou seja, um procedimento célere e sumário, fonte de subsídios para que ações de fiscalização sejam instauradas. Assim, a abertura de processos de fiscalização específicos, para a apuração de indícios de violação à LGPD, é avaliada a partir da construção dos instrumentos de planejamento das ações fiscalizatórias, por meio dos quais são delimitadas as prioridades para a atuação da ANPD, considerando os critérios de risco, gravidade, atualidade e relevância. Tal

3.1. Na decisão recorrida em 1ª instância (SEI nº 0187148), a CGF afirmou não haver negativa de acesso à informação, uma vez que os protocolos mencionados foram processados e respondidos, estando disponíveis ao solicitante. Destacou que o recurso trouxe novas alegações, não diretamente relacionadas ao pedido de informação anterior, e reforçou que a ANPD não realiza análise individualizada dos requerimentos, salvo em situações excepcionais que envolvam potencial repercussão sobre interesses coletivos e difusos.

4.7. De todo modo, importante se faz complementar, que o requerimento, pela sua natureza, não é processo administrativo de fiscalização, tampouco processo administrativo sancionador. Assim, tanto a LGPD quanto o Regulamento de Fiscalização permitem o tratamento agregado dos requerimentos, para que ações de fiscalização sejam instauradas. Mais informações a respeito podem ser obtidas no Tópico “Como a ANPD trata as denúncias de descumprimento da LGPD e as petições de titular?”, da página de denúncias e petições de titular da ANPD, disponível em https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/denuncia-peticao-de-titular.

4.9. Dessa forma, as ações propostas no planejamento de fiscalização buscam usar os escassos recursos disponíveis da maneira mais eficiente, concentrando-os em ações que tenham maior impacto e relevância para os titulares de dados pessoais. Assim como ocorre no Mapa de Temas Prioritários (MTP), outro instrumento de planejamento da atividade

Tanto a LGPD quanto o Regulamento de Fiscalização permitem o tratamento agregado dos requerimentos, ou seja, um procedimento célere e sumário, fonte de subsídios para que ações de fiscalização sejam instauradas. A abertura de processos específicos de apuração no âmbito da ANPD se dá no âmbito do planejamento da fiscalização, que elenca prioridades para a sua atuação, considerando os critérios de risco, gravidade, atualidade, relevância e impacto social. Tal abordagem se fundamenta na conjugação do disposto no art. 55-J, V e §6º da LGPD c/c 17 a 26 do Regulamento de Fiscalização da ANPD. Segundo consta no art. 26 do regulamento, a regra é a análise dos requerimentos de forma agregada, sendo exceção a análise individualizada.

4.19. Na Cláusula Sétima – Do Não Compartilhamento de Informações Pessoais, define-se que não haverá troca de dados pessoais, salvo situações excepcionais, mediante consentimento ou acordo específico conforme a legislação aplicável.

4.2.14. **Cláusula Sexta** - Proíbe o compartilhamento de informações pessoais, a menos que tal medida seja indispensável para a consecução dos propósitos do MdE e esteja em conformidade com a legislação aplicável. Recomenda-se que as partes obtenham o consentimento do titular, sempre que possível.

4.17. *Na Cláusula Sexta – Do Não Compartilhamento de Informações Pessoais, estabelece-se que o compartilhamento de dados pessoais será excepcional, condicionado à legislação aplicável, consentimento do titular ou acordo específico entre as Partes.*

- A Cláusula Sexta prevê que não haverá compartilhamento de dados pessoais, em conformidade com a legislação aplicável da jurisdição de cada parte, na medida em que for necessário para cumprir os propósitos do instrumento legal. O dispositivo regulamenta ainda que, em caso de compartilhamento de dados pessoais, sempre que possível, serão envidados esforços para obter o consentimento prévio dos envolvidos.

- *Cláusula Quinta – Do Não Compartilhamento de Informações Pessoais: estabelece que dados pessoais somente poderão ser compartilhados nos termos da legislação aplicável de cada Parte, preferencialmente com consentimento dos titulares ou mediante acordo específico.*

5.10. • *Cláusula Sétima – Do Não Compartilhamento de Informações Pessoais: define que a troca de informações pessoais somente poderá ocorrer conforme a legislação aplicável de cada Parte e, sempre que possível, com consentimento prévio dos indivíduos envolvidos ou mediante acordo específico.*

4.3.3.28. Conforme se verifica, não há menção à fato impeditivo ao comunicado, mas apenas a situações que motivem uma postergação da comunicação à ANPD e ao titular. Neste sentido, não me parece haver espaço para inovação a nível regulatório. Além disso, a previsão constante do inciso V do art. 48 e absorvida pela minuta do regulamento, endereça, de certa forma,a previsão dos parágrafos quinto e sexto, na medida em que prevê o dever de o controlador informar, no comunicado, os motivos na demora.

3.9. A LGPD, nesse sentido, adotou o conceito expansionista de dado pessoal, nos termos do art. 5º, inciso I, ao considerar como o seu bem tutelado toda informação relacionada a pessoa natural identificada ou identificável. Desse modo, a definição do que se pode considerar um dado pessoal, em muitos casos, depende de uma análise contextual, por meio da qual se poderá identificar o tipo de informação que será extraída de uma determinada base de dados,assim como as possíveis consequências de sua utilização para os titulares.

3.8. Assim, para que determinada atividade de tratamento de dados pessoais seja considerada legítima, além da definição da hipótese legal adequada, o agente de tratamento deve observar os princípios gerais de tratamento de dados pessoais, como finalidade,adequação, necessidade, transparência, prestação de contas, dentre outros, bem como garantir que os titulares de dados possam exercer os direitos previstos na norma durante toda a cadeia de tratamento,isto é, desde a coleta dos dados pessoais até o seu eventual descarte. Deve-se, além disso, assegurar que o tratamento de dados pessoais ocorra de maneira apropriada, por meio da implementação de medidas técnicas e de segurança adequadas, de modo a se evitar acessos não autorizados e o uso irregular dos dados coletados.

relacionada à boa-fé e aos princípios de proteção de dados, merecendo especial atenção no uso do legítimo interesse. Portanto, o titular necessariamente deve dispor de elementos, que lhe permitam avaliar se o tratamento de dados atende às suas legítimas expectativas. Como forma de garantir o efetivo respeito às legítimas expectativas dos titulares, são necessários mecanismos eficazes de exercício de direitos. Dessa maneira, caso o titular discorde da avaliação realizada pelo controlador ou entenda que, por violar as suas legítimas expectativas, o tratamento contraria o disposto na LGPD, poderá se opor à sua realização e solicitar a adoção das providências cabíveis na hipótese, tais como o encerramento da operação e a eliminação de seus dados pessoais.

4.30.Essa preocupação é reforçada ao se considerar o princípio da finalidade (art. 6º, I, LGPD), segundo o qual o tratamento deve ser sempre realizado para "propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades". Por sua vez, o princípio da necessidade (art. 6º, III, LGPD)limita a realização do "tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados". O art. 10, § 2º,reforça e amplia essa determinação, ao estabelecer que "quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados".

3.17. Importa observar que a legítima expectativa que o titular tem acerca de como seus dados serão tratados não se altera com a mesma facilidade e velocidade com que o controlador altera sua política de privacidade. Para tanto, a Meta precisa comunicar-se de modo efetivo com sua base de usuários, a ponto de alterar a percepção deles de como ela realiza o tratamento de seus dados pessoais e, por conseguinte, garantir o atendimento ao princípio da transparência, da finalidade e da responsabilização e prestação de contas. Trata-se de um processo que requer tempo e esforço somente limitados ao igual esforço e tempo que a Meta precisaria para conseguir igual adesão caso o processo fosse pela lógica do optin. (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769).

4.46.Tais orientações gerais são inteiramente aplicáveis ao presente caso, pois demonstram o entendimento desta Autoridade, detalhado com exemplos práticos, sobre a relação direta entre os padrões de design adotados e as condições materiais que viabilizam o efetivo exercício dos direitos dos titulares previstos na LGPD. Esse entendimento reforça ainda que,quando os padrões de design dificultam ou impõem obstáculos excessivos e não justificados ao acesso às informações e à utilização dos mecanismos disponibilizados, há um claro descumprimento dos princípios do livre acesso e da transparência.

4.66. O novo inciso X destaca a necessidade de o encarregado prestar assistência e orientação quando da elaboração de novos produtos e serviços, a fim de auxiliar o agente de tratamento a adotar padrões de design compatíveis com os princípios da LGPD, especialmente a privacidade por padrão e a limitação da coleta ao mínimo necessário. Tal previsão reforça o papel do encarregado como agente capaz de promover a cultura de proteção de dados pessoais no âmbito das organizações.

7.15. A LGPD é a Lei que instrumentaliza a forma de exercício do princípio da transparência no tratamento de dados pessoais, sendo este elemento basilar à garantia da autodeterminação informativa. Em outras palavras, a falta de transparência incapacita o titular sobre a tomada de decisão sobre o tratamento de seus dados pessoais, violando diretamente, seu direito fundamental à proteção de dados pessoais, motivo pelo qual resta adequada a definição inicial da gravidade da infração como média, na forma do art. 8º, parágrafo segundo, da RESOLUÇÃO CD/ANPD Nº 4/2023.

4.19.Cabe pontuar, ainda, que, ao contrário do que alega a recorrente, a aplicação deste dispositivo legal (art. 48 da LGPD) não depende de regulamentação adicional por parte da ANPD. Isso porque se trata de norma autoaplicável e de eficácia plena, que contém em si mesma todos os elementos necessários para o seu devido cumprimento. Registro, ainda, que o mesmo argumento é aplicável aos demais dispositivos questionados pela recorrente, isto é, o art. 37 da LGPD, que trata do registro das operações de tratamento e o art. 38, que dispõe sobre a possibilidade de a ANPD solicitar a elaboração de relatório de impacto à proteção de dados pessoais.

acarretar risco ou dano relevante aos titulares. Não é necessário que o risco ou que o dano se concretize, pelo contrário: a comunicação tem o condão, inclusive, de oferecer aos titulares a oportunidade e as ferramentas para adotar medidas que contribuam para evitar ou mitigar os potenciais riscos ou danos decorrentes do incidente.

4.37.Como consequência, o tratamento dos dados pessoais sensíveis é realizado mediante "vício de consentimento", prática expressamente vedada pelo art. 8º, § 3º, da LGPD, o que, por si só, justifica e legitima a atuação preventiva da ANPD a fim de assegurar a imediata proteção aos direitos dos titulares, especialmente daqueles que se encontram em posição de maior vulnerabilidade em face do controlador. Ademais, o art. 8º, § 2º, da LGPD,atribui ao controlador "o ônus da prova de que o consentimento foi obtido em conformidade com o disposto [.….]" na LGPD, o que a empresa recorrente não logrou êxito em demonstrar em sua peça recursal.

6.4.Ainda que não exista, na LGPD, vedação explícita à mudança do consentimento para outra hipótese legal, interpretação sistemática da Lei leva a concluir que eventuais alterações por parte do controlador, em especial no curso de processo de fiscalização, devem ser avaliadas restritivamente, como medidas excepcionais e que devem ser substancialmente fundamentadas,como reconhecido pela própria regulada em sua petição.

6.7.Dessa forma, alterações retroativas na hipótese legal têm potencial de afetar direitos e frustrar expectativas dos titulares e violar os princípios da boa-fé (art. 6º, caput), transparência (art. 6º, Vl) e responsabilização e prestação de contas (art. 6º, X) previstos na LGPD. A volatilidade na definição da hipótese legal - em especial quando o controlador opta inicialmente por realizar o tratamento de dados com base no consentimento geraria insegurança aos titulares de dados e colocaria em risco seus direitos, contrariando os fundamentos e princípios da Lei. Este risco é ainda maior no curso de um processo de fiscalização em que ainda estão em análise, precisamente, as condições de validade da hipótese legal que se pretende alterar.

6.11.O tratamento de dados pessoais somente é legítimo quando amparado por uma hipótese legal, de modo que a definição dessa hipótese éum pressuposto indispensável à conformidade com a LGPD. Trata-se,portanto, de exigência normativa, e não de uma escolha pautada exclusivamente pela conveniência do agente de tratamento. É imperativo,assim, que o controlador, antes de iniciar qualquer operação de tratamento,realize uma avaliação criteriosa para identificar a hipótese legal mais adequada ao caso concreto, documentando essa decisão de forma transparente e fundamentada.

6.13.A prerrogativa do controlador de, como destaca a CGF em sua Nota Técnica, “ponderar qual hipótese legal será mais adequada à finalidade específica do tratamento”, não implica discricionaridade absoluta. A definição da hipótese legal, para que esteja em conformidade com a LGPD, deve estar adstrita às circunstâncias do tratamento e aos requisitos legais aplicáveis. A adequação dessa definição, por sua vez, pode ser avaliada pela ANPD. Não àtoa, parte relevante da atuação fiscalizatória de qualquer autoridade de proteção de dados abarca justamente a avaliação de adequação das hipóteses legais às situações fáticas de tratamento de dados. Por isso, importa ressaltar que a atuação regulatória da ANPD sobre a legalidade e legitimidade de decisões tomadas pelo controlador relativas à hipótese legal não configura interferência indevida na liberdade econômica. Trata-se, em realidade, de exercício de competência fiscalizatória da Autoridade para a garantia de direitos (art. 55-J, inciso IV, LGPD).

6.14.Conforme destacado pela CGF na linha 6.2 na Nota Técnica nº28/2025/FIS/CGF/ANPD (SEI nº 0175984), a definição de hipótese legal não éum processo de livre escolha em um “cardápio” para legitimar atividades de tratamento; ao contrário, as possibilidades de definição da hipótese legal são circunscritas por como se pretende realizar o tratamento. Logo, quando não se alteram as circunstâncias que fundamentaram, originalmente, a definição da hipótese legal, não há motivos legítimos para que a hipótese legal seja modificada. Outra possibilidade de alteração seria por decisão do regulador,se e quando identifica que uma hipótese legal tenha sido equivocadamente definida na decisão inicial por parte do controlador.

6.23.Frente à conclusão de impossibilidade de alteração da hipótese legal do consentimento no presente caso, entendo estar prejudicada a análise de mérito sobre a adequação da nova hipótese legal pretendida pelo controlador. Antes de examinar se uma eventual nova hipótese legal éadequada e legítima, é necessário verificar se existem, de fato, razões suficientemente robustas para justificar a alteração da hipótese inicialmente adotada. Assim, a decisão sobre a validade da mudança de hipótese legal precede e condiciona a análise sobre a adequação da nova hipótese escolhida.

5.21. Inicialmente, cabe destacar que a mitigação dos efeitos adversos aos titulares constitui conduta de responsabilidade do controlador em qualquer caso de atividade de tratamento de dados pessoais e não apenas quando da ocorrência de incidentes de segurança, conforme é possível extrair do art. 6º, inciso VIII, da LGPD.

5.24. Perceba que, rapidamente, após a ocorrência do incidente foram tomadas as providências para alterar a senha pré-existente para uma mais forte, incluir nova etapa de identificação mediante senha e limitar do acesso apenas para pessoa em nível gerencial. Percebe-se, portanto, que se trata de medidas de segurança triviais, de fácil e rápida execução que poderiam e deveriam ter sido implementadas antes da ocorrência do incidente de segurança. Não é demasiado reforçar que um dos princípios elencados no art. 6º, inciso VIII, da LGPD é justamente o da prevenção, o qual

4.1.Concluo, com base no exposto, que o sistema europeu apresenta nível de proteção compatível com as exigências da legislação brasileira. Considerando o contexto regulatório analisado, que demonstra a adequação ao nível de proteção de dados pessoais requerido pela LGPD,entendo como fundamentado e necessário o reconhecimento da adequação da União Europeia, nos termos da minuta de Resolução (SEI nº 0219937), com a definição de condições apropriadas e a implementação de mecanismos de monitoramento contínuo que garantam a preservação do nível de proteção que fundamenta a decisão.

4.16.Com a revisão e a aprovação do texto final pelos membros do Conselho Diretor da ANPD, o guia orientativo deve seguir para publicação no site, sem que se constitua em regulamentação de fato, tendo em vista não transbordar os conceitos da LGPD, mas apenas esclarecê-los e exemplificá-los.

4.20.Reforçando a abertura da ANPD para o diálogo, proponho ainda que o Conselho Diretor reforce que o presente documento veicula orientações iniciais sobre o tema, sem prejuízo de futura regulamentação sobre aspectos que possam ensejar dúvidas mais complexas.

4.84. No que tange ao tema 3, concluiu-se que a sugestão mais adequada baseia-se na edição de um guia orientativo sobre segurança da informação voltado às microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais, considerando o potencial desse instrumento em disseminar conhecimento de forma abrangente e com linguagem acessível; o fato de não criar obrigações específicas para esse grupo de agentes, sem defini-las em normas gerais para outros grupos; e a proteção que proporciona aos direitos dos titulares de dados, pelo aumento de confiança quanto à segurança no tratamento de seus dados.

4.23. Ressalta-se que o presente guia não é vinculante e nem constitui regulamentação à LGPD, mas apenas a esclarece e objetiva dar orientações aos entes regulados na busca pela adequação ao novo ecossistema de proteção de dados criado pela lei.

4.14. Ressalta-se o caráter meramente orientativo da publicação, que não se constitui em regulamentação de fato.

4.12. Ainda, o texto do guia orientativo não constitui regulamentação, já que não excede qualquer conceito ou dispositivo estabelecido pela LGPD.

4.7. Trata-se, nesse sentido, de documento de orientação e de recomendação, que serve ao propósito de esclarecer dúvidas e apresentar de forma transparente os principais entendimentos da Autoridade de proteção de dados pessoais sobre pontos relevantes atinentes à legislação em vigor. Com isso, promove-se a cultura da proteção de dados pessoais e a previsibilidade e a segurança jurídicas no ambiente regulado, além de incentivar os agentes de tratamento a adotar práticas aderentes à legislação, em conformidade com o princípio da responsabilização e prestação de contas.

4.9. Ademais, julgo oportuno destacar desde logo a natureza não vinculativa do documento ora avaliado, indicando ainda, que a regulamentação do tema, que está em andamento, poderá alterar, excluir ou inserir novas orientações da ANPD sobre assunto.

2.7.Trata-se, nesse sentido, de documento de orientação e de recomendação, que serve ao propósito de esclarecer dúvidas e apresentar de forma transparente os principais entendimentos da Autoridade de proteção de dados pessoais sobre pontos relevantes atinentes à legislação em vigor.Com isso, promove-se a cultura da proteção de dados pessoais e a previsibilidade e a segurança jurídica no ambiente regulado, além de incentivar os agentes de tratamento a adotarem práticas aderentes àlegislação, em conformidade com o princípio da responsabilização e prestação de contas.

4.5. Por sua natureza, o Guia possui caráter estritamente orientativo, sem efeito vinculativo. O documento busca auxiliar agentes de tratamento na interpretação e aplicação de conceitos previstos no Regulamento sobre a Atuação do Encarregado, aprovado pela Resolução CD/ANPD nº 18/2024, e na própria LGPD, além de sugerir boas práticas que promovam uniformidade e previsibilidade na implementação de políticas de proteção de dados pessoais. 4.6. Por fim, destaca-se que o Guia atende aos princípios da transparência regulatória, conforme disposto na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), ao apresentar informações claras e objetivas sobre a atuação do encarregado e oferecer subsídios técnicos aos agentes de tratamento. Dessa forma, verifica-se que os aspectos formais do processo estão em plena conformidade com os normativos aplicáveis, evidenciando rigor técnico, alinhamento institucional e compromisso com a efetividade da proteção de dados pessoais no Brasil.

4.9. Na mesma linha, o art. 55-J, § 1º, estabelece que, ao impor condicionantes administrativas ao tratamento de dados pessoais, a ANPD deve observar a exigência de mínima intervenção, observados os fundamentos, princípios e os direitos dos titulares previstos na LGPD. Essa norma impõe a busca por um equilíbrio, consistente em uma relação de proporcionalidade entre as medidas de intervenção administrativa adotadas em uma determinado caso e a sua eficácia e adequação para a proteção de direitos fundamentais. Para tanto, um elemento central a ser considerado é a avaliação de risco, mencionada na LGPD em diversas ocasiões, como na elaboração de relatório de impacto à proteção de dados pessoais, na comunicação de incidentes e na adoção de boas práticas pelos agentes regulados. A própria caracterização da irregularidade de um tratamento de dados, conforme o art. 44 da LGPD, deve levar em consideração "as circunstâncias relevantes" do caso, entre as quais "o resultado e os riscos que razoavelmente dele se esperam".

Incentivar a responsabilização e a prestação de contas pelos agentes de tratamento, com mínima intervenção na imposição de condicionantes administrativas;

5.21. Segundo na análise sobre as alterações no Regulamento de Fiscalização, vale mencionar que, de acordo com o exposto na Nota Técnica nº 10/2022/CGN/ANPD (SEI nº 3257016), a proposta visa: (i) distinguir de maneira expressa as medidas preventivas estabelecidas pelo Decreto nº 10.474/2020, daquelas adotadas na atividade preventiva no âmbito do processo de fiscalização, uma vez que ambas utilizam a mesma denominação; (ii) deixar claro que o não atendimento de qualquer medida preventiva, independentemente da espécie, pode ensejar a progressão da atuação da ANPD para, a seu critério, adotar outras medidas preventivas ou, ainda, para atuar de forma repressiva; e (iii) esclarecer melhor os procedimentos do processo administrativo sancionador, em especial aqueles da fase recursal.

4.11. Na concepção da minuta, verificou-se a necessidade de alterar o RFPAS, para estabelecer que o não atendimento de qualquer medida preventiva, independentemente da espécie, pode ensejar a progressão da atuação da ANPD para, a seu critério, adotar outras medidas preventivas ou, ainda, para atuar de forma repressiva, com a adoção das medidas compatíveis. Ademais, viu-se a necessidade de distinguir as medidas preventivas estabelecidas pelo Decreto nº 10.474, de 26 de agosto de 2020, daquelas adotadas na atividade preventiva no âmbito do processo de fiscalização. Nesse sentido, cumpre mencionar que os Diretores do Conselho Diretor da ANPD, poderão, no âmbito de suas competências, e no intuito de fazer cessar violação à LGPD, adotar medidas preventivas e fixar o valor da multa diária pelo seu descumprimento, nos termos do inciso IV do art. 26 do Decreto nº 10.474, de 26 de agosto de 2020 e do Regimento Interno da ANPD.

A referência à “adoção sistemática de práticas irregulares” expressa a possibilidade de que a avaliação do caso possa se basear no comportamento objetivo do infrator, independentemente, portanto, da sua intenção subjetiva.

4.30. Na alínea “g”, do inciso I, § 3º, art. 8º, excluo a expressão “má-fé”, uma vez que se trata de um instituto jurídico de difícil comprovação fática e poderia trazer insegurança jurídica e potencial ônus à CGF para comprovar que o ente regulado agiu de má-fé. Além disso, promovo ajustes na redação: “verificada a adoção sistemática de práticas irregulares pelo infrator”. Dessa forma, centra-se a atuação investigativa em conjuntos de condutas passíveis de aferição objetiva (adoção sistemática de práticas irregulares).

Ademais, o art. 28 da minuta já prevê a possibilidade de afastar a metodologia de cálculo ou substituir a multa por outra sanção caso verificada a desproporcionalidade entre a gravidade da infração e a intensidade da pena, ocasião na qual, eventualmente, poderá ser levada em consideração a condição econômica do infrator, tendo em vista se tratar de critério previsto na LGPD (art. 52, § 1º, IV) e no próprio regulamento (art. 7º, IV).

§1º A decisão de que trata o caput não poderá ser baseada em valores jurídicos abstratos e deverá ser motivada e fundamentada, demonstrando a necessidade e a adequação da medida imposta, a desproporcionalidade constatada, o interesse público a ser protegido e os parâmetros adotados na aplicação da sanção, consideradas as consequências práticas da decisão.

4.25. No art. 6º, promovo ajustes verbais e na estrutura para conferir maior clareza ao texto. Insiro o §2º, com a seguinte redação: "§2º O agente de tratamento que não dispuser de sítio eletrônico próprio poderá realizar a divulgação de que trata o caput por quaisquer outros meios de comunicação disponíveis, inclusive aqueles usualmente utilizados para contato com os titulares, observado o disposto no § 1º deste artigo." Fica o parágrafo único, portanto, convertido em § 1º. A ideia é que as informações devem ser divulgadas no sítio eletrônico como regra geral, tendo em vista que as principais empresas e órgãos públicos possuem sites na internet. Desse modo na redação proposta no mencionado § 2º, haveria exceção apenas no caso de o agente de tratamento não possuir página própria.

4.25. No art. 6º, promovo ajustes verbais e na estrutura para conferir maior clareza ao texto. Insiro o § 2º, com a seguinte redação: “§ 2º O agente de tratamento que não dispuser de sítio eletrônico próprio poderá realizar a divulgação de que trata o caput por quaisquer outros meios de comunicação disponíveis, inclusive aqueles usualmente utilizados para contato com os titulares, observado o disposto no § 1º deste artigo.” Fica o parágrafo único, portanto, convertido em § 1º. A ideia é que as informações devem ser divulgadas no sítio eletrônico como regra geral, tendo em vista que as principais empresas e órgãos públicos possuem sites na internet. Desse modo, na redação proposta não haveria exceção apenas no caso de o agente de tratamento não possuir página própria. (Voto nº 44/2023/DIR/AS/ANPD, SEI nº 0054958).

4.4.A criação dessa cultura faz parte das atribuições da ANPD no que tange ao art. 55-J, I, da LGPD e deve ser perseguida a partir da lógica da regulação responsiva, tendência internacional pela qual as autoridades regulatórias privilegiam medidas de prevenção e orientação, ao invés do tradicional sistema de comando e controle.

Diante do exposto, o modelo baseado na teoria da regulação responsiva, além de ser compatível e estar em sintonia com a LGPD, é o que melhor atende aos valores identificados anteriormente para a confecção da estratégia de atuação fiscalizatória da ANPD: regulação baseada em evidência, proporcionalidade entre riscos e recursos alocados, transparência e permeabilidade, processos transparentes e justos e adoção de diversos instrumentos e abordagens não necessariamente sancionatórios para conformidade.

4.9. Ademais, as ações orientativas consistem em estratégias da fiscalização responsiva (conforme norma de fiscalização em processo de regulamentação), com o objetivo de alcançar a efetividade no cumprimento da LGPD, em concordância com o princípio da prevenção (art. 6º, VIII da LGPD) e da responsabilização (art. 6º, X da LGPD).

4.6. Assim, ao invés de se concentrar apenas na atividade repressiva, como próprio do modelo de comando e controle, o regulamento propõe uma atuação gradativa, proporcional aos riscos envolvidos, transparente, baseada em evidências e com foco nos resultados da atividade de fiscalização, visando, em particular, à conformidade da conduta dos agentes regulados à legislação de proteção de dados pessoais. Resulta desse modelo que a aplicação de sanções é compreendida como uma das competências fiscalizatórias da ANPD, que deve ser manejada nas situações em que necessária e adequada aos propósitos de conformidade à legislação, conforme os parâmetros definidos no Regulamento.

Adotar abordagem regulatória responsiva, apoiada em evidências e na avaliação de riscos regulatórios, com foco em resultados;

4.3.2.13.Ultrapassadas tais questões, chega-se ao momento de escolher um dos mecanismos de transferência internacional de dados previstos no art.33 da LGPD, cabendo ressaltar que não há ordem de preferência entre eles,podendo o agente de tratamento optar pelo mecanismo que entender pertinente.

2.2.21. Cabe assinalar ainda que a LGPD não estabeleceu uma ordem de prevalência entre os mecanismos. Sendo assim, a ausência de emissão de decisão de adequação na forma solicitada não constitui impeditivo para realização de transferências internacionais, desde que esteja amparada em um dos mecanismos previstos no art. 33 da LGPD, observado o cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD.

2.24. Cabe assinalar ainda que a LGPD não estabeleceu uma ordem de prevalência entre os mecanismos. Sendo assim, a ausência de emissão de decisão de adequação na forma solicitada não constitui empecilho para

3.61.Em relação ao sistema brasileiro, verifico que a LGPD prevêmecanismos de transferência internacional no art. 33, incluindo decisões de adequação da ANPD e salvaguardas contratuais. Diferentemente do RGPD, a LGPD não estabelece ordem de prevalência entre os mecanismos, permitindo sua escolha conforme as especificidades do caso concreto, conforme Voto nº2/2025/DIR-AS/CD (SEI nº 0165158) e Despacho Decisório PR/ANPD 4 (SEI nº 0168477). Apesar das diferenças, em linha com a conclusão da CGRll, notase equivalência substancial entre os regimes.

4.10.Assim, verifica-se a relevância da uniformização dos conceitos, tendo em vista que não há que se falar em programa de governança, segurança jurídica e tutela da privacidade e da proteção de dados sem a identificação adequada das referidas figuras definidas na legislação.

5.6. Mais adiante, no tópico III, denominado "Bases Legais", o Guia traz recomendações ao Poder Público no sentido de viabilizar a adequada avaliação dos casos concretos e seu enquadramento em uma das bases legais trazidas pelos artigos 7º e 11, em combinação com o art. 23 da LGPD. Desta forma, e considerando as demandas apresentadas, o Guia aborda as bases legais do consentimento, do legítimo interesse, do cumprimento de obrigação legal e regulatória e da execução de políticas públicas, apresentando, ainda, exemplos de situações concretas para melhor compreensão de cada uma das hipóteses legais apresentadas.

5.7. Na abordagem do tópico IV, "Princípios", o Guia enfatiza os princípios mais relacionados às peculiaridades do setor público, sendo os da finalidade; adequação; necessidade; transparência; e livre acesso. Nesse sentido, quanto aos princípios da finalidade e da adequação, discorre sobre a finalidade pública, conforme a LGPD, que deve ser legítima, específica, explícita e informada; explana a limitação ao tratamento posterior dos dados pessoais, com fulcro na compatibilidade com a finalidade original; trata dos dados disponíveis publicamente; e do uso compartilhado de dados pessoais pelo Poder Público.

4.35. Quanto ao tópico Conflito de Interesses, excluí o exemplo 10 e ajustei as abordagens relacionadas, concentrando-me em situações que possam comprometer a autonomia técnica do encarregado, como a acumulação de funções incompaXveis (exemplo: chefe de TI e encarregado), uma vez que a análise de impactos concorrenciais decorrentes da disseminação de informações confidenciais ultrapassa o escopo da LGPD. 4.36. Retirei menções à atuação do encarregado como “isenta” ou “imparcial”, esclarecendo que sua função está orientada à proteção dos direitos dos titulares, conforme previsto no art. 18 do Regulamento, que destaca a necessidade de ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse. 4.37. Além disso, retiro as menções ao entendimento de outros organismos sobre o conflito de interesse envolvendo o encarregado, porque a ideia do Guia é explicar as balizas para identificação de eventual conflito de interesse, deixando a análise do caso concreto para os agentes de tratamento. 4.38. Essas alterações foram realizadas com o objetivo de aprimorar a objetividade, clareza e funcionalidade do Guia, garantindo sua conformidade com as diretrizes legais e regulamentares aplicáveis. 4.39. Diante disso, considero pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revisada e consolidada do Guia Orientativo - Atuação do Encarregado pelo Tratamento de Dados Pessoais (SEI nº 0157209), à apreciação dos demais membros do Conselho Diretor.

4.36. Retirei menções à atuação do encarregado como “isenta” ou “imparcial”, esclarecendo que sua função está orientada à proteção dos direitos dos titulares, conforme previsto no art. 18 do Regulamento, que destaca a necessidade de ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse. 4.37. Além disso, retiro as menções ao entendimento de outros organismos sobre o conflito de interesse envolvendo o encarregado, porque a ideia do Guia é explicar as balizas para identificação de eventual conflito de interesse, deixando a análise do caso concreto para os agentes de tratamento. 4.38. Essas alterações foram realizadas com o objetivo de aprimorar a objetividade, clareza e funcionalidade do Guia, garantindo sua conformidade com as diretrizes legais e regulamentares aplicáveis. 4.39. Diante disso, considero pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revisada e consolidada do Guia Orientativo - Atuação do Encarregado pelo Tratamento de Dados Pessoais (SEI nº 0157209), à apreciação dos demais membros do Conselho Diretor.

4.2. Nesse sentido, a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de regulamento "expressa decisão quanto ao provimento normativo de competência da ANPD", em conformidade com o art. 51 do Regimento Interno. De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte:

5.7. Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de regulamento "expressa decisão quanto ao provimento normativo de competência da ANPD", em conformidade com o art. 51 do Regimento Interno. De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte:

4.7. Segundo o art. 63 do Regimento, os atos de caráter normativo da ANPD serão expedidos por meio de Resoluções, de competência exclusiva do Conselho Diretor. Já a Portaria é ato administrativo que dispõe sobre matéria relativa à gestão administrativa, e ao funcionamento das unidades da ANPD de competência do Diretor-Presidente. O art. 3º, § 2º do Decreto nº 10.474, de 26 de agosto de 2020, que atribui ao Diretor-Presidente a competência de gestão e representação institucional não encapsula o exercício de competência normativa, de modo que não se pode extrair deste preceito o exercício de competência regulamentar em caráter abstrato, mas apenas o exercício de competências materiais vinculadas ao exercício de atividades administrativas da ANPD. Além disso, conforme consta no Termo de Abertura de Projeto, o item 10.1 (SEI 3627450), já pontuou que o projeto “não se trata de matéria relativa à gestão administrativa e ao funcionamento das unidades da ANPD”.

4.2. Ainda quanto aos aspectos formais, acolho a orientação apresentada pela PFE (SEI nº 4005791), no sentido de que "a espécie de ato normativo mais apropriada é a Resolução", haja vista se tratar, na hipótese, de exercício de competência normativa, que visa ao estabelecimento de regras abstratas sobre o funcionamento e a organização interna da ANPD.

4.4. Em relação à forma, no caso em análise, a proposta é de edição de uma espécie de ato normativo - Resolução - para aprovação da Política de Comunicação Social da ANPD. E, assim, cabe reforçar que a competência para a edição de atos normativos é do Conselho Diretor da ANPD. Analisando a minuta, foi efetivamente observada a competência do Conselho Diretor para a edição do ato normativo em análise.

4.2.4.Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos,uma vez que a edição de regulamento "expressa decisão quanto ao provimento normativo de competência da ANPD",em conformidade com o art. 51 do Regimento Interno.

Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de uma Política "expressa decisão quanto ao provimento normativo de competência da ANPD", em conformidade com o art. 51 do Regimento Interno.

4.3. De forma mais detalhada, o art. 63 do Regimento Interno estabelece que os atos de caráter normativo da ANPD serão expedidos por meio de Resoluções, de competência exclusiva do Conselho Diretor, observados os procedimentos relativos à Consulta Pública e à Audiência Pública. O §1º do mesmo artigo determina que a edição de tais atos será precedida de Análise de Impacto Regulatório (AIR), contendo informações e dados sobre os prováveis efeitos do regulamento, de modo a verificar a razoabilidade do impacto e subsidiar a tomada de decisão.

4.4. Como consequência a esse entendimento, a revogação da Portaria ANPD nº 16, de 8 de julho de 2021, conforme sugerido pela SRE, se revela pertinente, considerando, ainda, entendimento exarado pela Procuradoria Federal Especializada, em processo análogo, em que restou destacado que "a competência de gestão e representação institucional não encapsula o exercício de competência normativa, de modo que não se pode extrair deste preceito o exercício de competência regulamentar em caráter abstrato, mas apenas o exercício de competências materiais vinculadas ao exercício de atividades administrativas da ANPD" (SEI nº 0024840).

4.1.2. A Resolução é o instrumento adequado para veicular o provimento normativo em exame, conforme dispõe o art. 51 do Regimento Interno da ANPD. O dispositivo atribui ao Conselho Diretor a competência para editar atos normativos, que expressam a decisão colegiada quanto ao exercício do poder regulamentar da Agência.

**5.1.** Diante do exposto, **voto pelo não conhecimento do recurso**, por ausência de requisito recursal de admissibilidade (art. 15, caput, da Lei nº 12.527/2011), consistente na ausência de indeferimento de acesso à informação, bem como em razão de o pedido se assemelhar à manifestação de ouvidoria do tipo "reclamação", regulamentado pela Lei nº 13.460/2017 e pelo Decreto nº 9.492/2018, fugindo ao escopo da Lei nº 12.527/2011.

5.1. Diante do exposto, voto pelo não conhecimento do recurso, por ausência de requisito recursal de admissibilidade (art. 15, caput, da Lei nº 12.527/2011), consistente na ausência de indeferimento de acesso à informação, bem como em razão de o pedido se assemelhar à manifestação de ouvidoria do tipo "reclamação", regulamentado pela Lei nº 13.460/2017 e pelo Decreto nº 9.492/2018, fugindo ao escopo da Lei nº 12.527/2011.

4.2. Conforme disposto no art. 15 da Lei nº 12.527/2011 e no art. 21 do Decreto nº 7.724/2012, cabe ao interessado recorrer no caso de indeferimento de acesso a informações ou às razões da negativa do acesso. Em outras palavras, o indeferimento de acesso a informações ou às razões da negativa do acesso configura requisito de admissibilidade do recurso em processos administrativos relacionados a pedidos ancorados na Lei de Acesso à Informação.

4.13. Isto posto, a interposição do recurso não encontra guarida no art. 15 da LAI, de modo que deve a ele ser **negado conhecimento**.

4.6. Verifica-se que as manifestações anteriores buscaram prestar os esclarecimentos solicitados pelo requerente, razão pela qual não vislumbro negativa de acesso à informação, requisito condicionante para a admissibilidade recursal nos termos do art. 21 do Decreto nº 7.724, de 16 de maio de 2012.

4.9.** Verifica-se que, quanto aos pontos abrangidos pelo pedido inicial, a área técnica prestou os esclarecimentos disponíveis, inclusive com a complementação apresentada no julgamento do recurso de 1ª instância, razão pela qual **não vislumbro negativa de acesso à informação**, requisito condicionante para a admissibilidade recursal nos termos do art. 21 do Decreto nº 7.724, de 16 de maio de 2012.

4.2. Conforme disposto no art. 15 da LAI, bem como no art. 21 do Decreto nº 7.724/2012, **cabe ao interessado recorrer no caso de indeferimento de acesso a informações ou às razões da negativa do acesso.** Em outras palavras, o indeferimento de acesso a informações ou às razões da negativa do acesso configura requisito de admissibilidade do recurso em processos administrativos relacionados a pedidos ancorados na Lei de Acesso à Informação.

4.3. A via recursal prevista no art. 15 da LAI e do art. 21 do Decreto nº 7.724/2012, por outro lado, não se presta à ampliação progressiva do objeto do pedido, e tampouco à formulação de nova consulta técnica, mas sim à reforma de decisão que indefere o acesso a informações ou às razões da negativa do acesso. A ocorrência de negativa, portanto, é requisito de admissibilidade do apelo.

**4.8.** Assim, eventual discordância do requerente quanto ao nível de detalhamento técnico ou à suficiência das salvaguardas institucionais descritas **não caracteriza, por si só, negativa de acesso à informação existente**, especialmente quando tal detalhamento não havia sido feito no âmbito do requerimento de acesso a informações originalmente apresentado.

4.6. Por fim, no que tange às alegações novas apresentadas pelo requerente, estas não serão conhecidas por se tratar de instância recursal.

com a autoridade alemã acerca do caso concreto. A LAI impõe ao órgão o dever de fornecer as informações sob sua custódia, inexistindo a expedição de ofícios ou registros correlatos, a informação é, para fins legais, inexistente. Ainda, a alegação relativa à eventual responsabilidade da Apple como “controladora de fato” não constava do escopo do pedido original, configurando inovação recursal. Tal prática é vedada no âmbito da Lei de Acesso à Informação, conforme dispõe a Súmula CMRI nº 2, de 2015, que impede a ampliação do objeto da controvérsia em fase recursal.

4.4. O Coordenador-Geral de Fiscalização também não incorreu em qualquer negativa de acesso à informação, visto que, de fato, o recorrente formulou novo pedido de acesso à informação com base em fatos estranhos ao requerimento original (SEI nº 0252367). Nesse sentido, entendo que a resposta fornecida pelo Coordenador-Geral de Fiscalização foi adequada, suficiente e devidamente fundamentada, em estrita consonância com os princípios e normas do ordenamento jurídico vigente.

4.8. Ademais, verifica-se que o recorrente inova em seu pedido recursal. Ao cotejar o primeiro pedido originalmente formulado, entre outros quesitos, incluíam-se (i) Informar se a Autoridade Nacional de Proteção de Dados possui a) norma específica sobre tratamento de dados obtidos por termografia infravermelha; b) entendimento formal sobre o enquadramento desses dados como dados pessoais sensíveis; (ii) Informar se há norma técnica nacional vigente aplicável ao uso clínico de termografia infravermelha, indicando, se existente, o ato normativo correspondente; (iii) Informar, de forma objetiva, qual órgão é responsável por fiscalizar eventual uso indevido de dados pessoais sensíveis nesse contexto, quando: a) o serviço não é formalmente reconhecido como ato médico; e b) os dados são armazenados por empresa de tecnologia. Já em segunda instância, os requerimentos foram: (i) o reconhecimento de que a matéria apresentada possui pertinência com a competência fiscalizatória e regulatória da ANPD; e (ii) a análise material da manifestação à luz da LGPD, especialmente quanto aos princípios da prevenção, segurança, transparência e *Privacy by Design* aplicáveis ao tratamento de dados pessoais sensíveis.

**4.15.** Sendo essas as razões que fundamentam o presente voto, entendo que o recurso não deve ser admitido e que o administrado deve ser orientado a interpor novo pedido de informação sobre a matéria estranha ao pedido original.

4.1.3. A sistemática recursal da LAI, exige que o recurso se restrinja à matéria efetivamente debatida nas instâncias anteriores. **Admitir, em sede de 2ª instância, pedidos inéditos significaria suprimir graus de jurisdição administrativa, transferindo ao órgão recursal competência originária que pertence à unidade demandada em 1ª instância.**

**4.10.** Sendo assim, há que se aplicar a Súmula 02/2015 da Comissão Mista de Reavaliação de Informações, negando-se conhecimento ao apelo, também, nesse respeito: > “É facultado ao órgão ou entidade demandados conhecer parcela do recurso que contenha matéria estranha: i) ao objeto do pedido inicial ou; ii) ao objeto do recurso que tiver sido conhecido por instância anterior devendo o órgão ou entidade, sempre que não conheça a matéria estranha, indicar ao interessado a necessidade de formulação de novo pedido para apreciação da matéria pelas instâncias administrativas iniciais.”

4.7. Desta forma, os pedidos de detalhamento sobre travas lógicas e criptográficas automatizadas que impediriam a migração indevida de informações no nível do sistema, bem como sobre processos de pseudonimização/criptografia na origem para impedir o manuseio visual por servidores não autorizados, consistem em matéria estranha ao objeto do pedido original, pois introduzem nível de especificação técnico-operacional não formulado inicialmente, que o órgão não possuía obrigação de enfrentar. Não se pode falar, portanto, em negativa

**4.10.** Sendo assim, há que se aplicar a Súmula 02/2015 da Comissão Mista de Reavaliação de Informações, não se conhecendo a parcela do recurso que contém matéria estranha ao pedido inicial e direcionando o requerente para que, desejando, formule novo requerimento, especificando de forma suficiente as informações que pretende obter: > É facultado ao órgão ou entidade demandados conhecer parcela do recurso que contenha matéria estranha: i) ao objeto do pedido inicial ou; ii) ao objeto do recurso que tiver sido conhecido por instância anterior devendo o órgão ou entidade, sempre que não conheça a matéria estranha, indicar ao interessado a necessidade de formulação de novo pedido para apreciação da matéria pelas instâncias administrativas iniciais.

4.5. Com efeito, a elaboração e a publicação de Aviso de Privacidade já foi objeto de recomendação em Guias publicados pela ANPD, os quais indicam que o referido documento constitui uma boa prática e um dos mecanismos adequados para disponibilizar aos titulares informações essenciais sobre as operações de tratamento realizadas pelo controlador, atendendo, dessa forma, aos princípios da transparência e do livre acesso previstos na LGPD.

4.8. Um outro aspecto que enfrentarei a seguir é sobre a escolha do GT de elaborar um Aviso de Privacidade para o SEI. Segundo a Nota Técnica nº 2/2024/CGA/ANPD (SEI 0051522), o Aviso de Privacidade é o documento em que são descritas informações essenciais sobre o tratamento de dados pessoais do titular. Neste sentido, trata-se de documento que tem como finalidade efetivar o princípio da transparência.

4.12. Com relação à indicação do encarregado, é obrigatória para o controlador (art. 3º) e facultativa para os operadores (art. 4º), sendo considerada uma boa prática de governança. Há também hipóteses de dispensa, nos termos da Resolução nº 2 CD/ANPD de 27 de janeiro de 2022. O controlador é quem toma as decisões referentes ao tratamento de dados pessoais e o operador, aquele que realiza o tratamento de dados pessoais em nome do controlador (art. 5º, VI, da LGPD).

4.25. Adotei, em conformidade com o Regulamento sobre a Atuação do Encarregado, a previsão de que a indicação do encarregado é obrigatória para o controlador, enquanto, para o operador, constitui recomendação de boas práticas, conforme o art. 6º. Ressaltei que a maioria das organizações atua predominantemente como controladoras e, portanto, a indicação de encarregado como operadoras é menos frequente. Também destaquei que o art. 41 da LGPD não distingue entre instituições públicas e privadas no que concerne à obrigação de indicação. 4.26. Para facilitar a leitura, concentrei as informações relativas às hipóteses de dispensa de indicação no subtópico “Hipóteses de dispensa de indicação”, incorporando os valores e critérios definidos pela Resolução CD/ANPD nº 2/2022, acompanhados das referências legais pertinentes. Diversas remissões a dispositivos normativos foram convertidas em notas de rodapé, promovendo maior fluidez na leitura. 4.27. Excluí exemplos redundantes ou de baixa relevância, como o Exemplo 5, que replicava informações do Exemplo 4, e o Exemplo 6, que poderia gerar interpretações equivocadas de benefícios para grandes empresas. Reformulei a Figura 1, conferindo maior clareza e precisão visual. 4.28. No tópico relativo à substituição do encarregado, destaquei que, nos termos do art. 9º, § 1º, II, do Regulamento, a substituição deve ser feita por uma pessoa natural previamente designada. Assim, em casos em que uma pessoa jurídica é contratada como encarregado, esta deve indicar tanto um responsável quanto um substituto. 4.29. No item 3 “Do Encarregado pelo Tratamento de Dados Pessoais”, ajustei abordagens de mérito e forma. Suprimi a recomendação de priorização do atendimento humano aos titulares, por entender que tal orientação extrapola o escopo do Guia e poderia ser interpretada como contrária à automatização, o que contrasta com a flexibilidade permitida pela LGPD. Ressaltei que o foco do Guia é exclusivamente a atuação do encarregado. 4.30. Optei por substituir o termo “assessorar” por “apoiar”, evitando interpretações que vinculassem a função do encarregado à criação de cargos formais, como o de assessor, algo que não encontra respaldo na legislação. Essa alteração visa reforçar a clareza funcional do encarregado, alinhando-se à linguagem prevista no Regulamento. 4.31. Também suprimi a recomendação de que o encarregado estivesse “sempre” disponível, por entender que essa expressão poderia sugerir, equivocadamente, a exigência de um regime de atendimento conXnuo (24/7), o que carece de fundamentação legal, considerando, ainda, que a disponibilidade deve ser compaXvel com a razoabilidade e a necessidade

4.15. No que se refere aos conhecimentos e às habilidades necessárias, os agentes de tratamento têm a responsabilidade de estabelecer as qualificações profissionais adequadas ao desempenho das funções do encarregado, levando em consideração as exigências da LGPD, o contexto e o risco das operações de tratamento de dados realizadas.

4.32. Excluí trechos que vinculavam o perfil do encarregado a requisitos específicos, como qualificações e experiência prévia obrigatória, reforçando que a escolha do encarregado deve atender às necessidades organizacionais, conforme previsto no art. 7º do Regulamento, uma vez que profissionais com expertise em áreas correlatas, como segurança da informação ou governança de dados, podem ser tão aptos quanto aqueles que já exerceram a função em contextos diferentes. 4.33. No tocante ao Registro de Operações de Tratamento, excluí exemplos detalhados, considerando que a ANPD ainda não consolidou um modelo padronizado, e porque todos os tratamentos devem ser registrados, em conformidade com o art. 37 da LGPD. 4.34. Retirei menções à Agenda Regulatória, com vistas a garantir a atemporalidade do documento, e substituí descrições normativas por referências bibliográficas. 4.35. Quanto ao tópico Conflito de Interesses, excluí o exemplo 10 e ajustei as abordagens relacionadas, concentrando-me em situações que possam comprometer a autonomia técnica do encarregado, como a acumulação de funções incompaXveis (exemplo: chefe de TI e encarregado), uma vez que a análise de impactos concorrenciais decorrentes da disseminação de informações confidenciais ultrapassa o escopo da LGPD. 4.36. Retirei menções à atuação do encarregado como “isenta” ou “imparcial”, esclarecendo que sua função está orientada à proteção dos direitos dos titulares, conforme previsto no art. 18 do Regulamento, que destaca a necessidade de ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse. 4.37. Além disso, retiro as menções ao entendimento de outros organismos sobre o conflito de interesse envolvendo o encarregado, porque a ideia do Guia é explicar as balizas para identificação de eventual conflito de interesse, deixando a análise do caso concreto para os agentes de tratamento. 4.38. Essas alterações foram realizadas com o objetivo de aprimorar a objetividade, clareza e funcionalidade do Guia, garantindo sua conformidade com as diretrizes legais e regulamentares aplicáveis. 4.39. Diante disso, considero pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revisada e consolidada do Guia Orientativo - Atuação do Encarregado pelo Tratamento de Dados Pessoais (SEI nº 0157209), à apreciação dos demais membros do Conselho Diretor.

4.70. Dessa forma, caracterizada a urgência, nos termos do parágrafo único do art. 4º do Decreto nº 10.139/2019, proponho a imediata entrada em vigor do regulamento, tal como previsto no caput do art. 2º da Resolução. Pela mesma razão, proponho excluir o parágrafo único do mesmo artigo, que estabelecia que as normas referentes às atividades de monitoramento (Capítulo II, Título II) somente entrariam em vigor a partir de janeiro de 2022. Acrescento que o art. 70 prevê que o primeiro ciclo de monitoramento terá início a partir de janeiro de 2022, o que não impede que eventual medida urgente de fiscalização e monitoramento possa ser adotada em período anterior.

4.50. Com efeito, a regulamentação do tema é passo essencial para conferir segurança jurídica aos agentes de tratamento de pequeno porte no processo de adequação à legislação de proteção de dados pessoais. Daí que a postergação da entrada em vigor da norma poderia trazer impactos negativos a esses agentes, mantendo uma situação de reconhecida instabilidade jurídica, notadamente no atual contexto em que já estão em vigor os dispositivos da LGPD que dispõem sobre as sanções administrativas e o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021. Considere-se, ademais, que os principais termos do regulamento foram amplamente divulgados e discutidos com a sociedade civil durante os procedimentos de consulta e audiência públicas, o que também fortalece a previsibilidade da norma a ser publicada.

4.3.1.3. No art. 3º, alterei o texto para prevê a entrada em vigor do regulamento na data da publicação, na forma do art. 4º, parágrafo único, do Decreto 10.139/2019. No caso, a urgência de entrada em vigor da norma decorre da necessidade de regulamentação da LGPD e definição regulamentar quanto aos prazos e procedimentos de notificação de incidente de segurança.

4.25.De fato, no presente caso, a existência de contrapartida financeira constitui uma intervenção do controlador, que, na prática, implica uma interferência indevida sobre a manifestação de vontade autônoma do titular, razão pela qual o consentimento obtido não pode ser qualificado como livre.

4.7.Em sede cautelar, o CD entendeu que a oferta de compensação financeira por parte da regulada interfere indevidamente em dois requisitos de validade do consentimento como hipótese legal de tratamento de dados o de que seja "livre" e "informado". Conforme voto da Diretora Miriam Wimmer, que relatou o recurso da regulada:

4.6.Cabe destacar que o potencial risco de a compensação financeira influenciar indevidamente a autonomia decisória do titular já foi objeto de análise por este Conselho Diretor, no contexto da medida preventiva imposta. Em todas essas deliberações, o Conselho Diretor ratificou a decisão da Coordenação-Geral de Fiscalização (CGF) no sentido de suspender a oferta de compensação financeira pela coleta de dados biométricos, notadamente da íris.

Nesse sentido, o pedido de informação ora recorrido em questão demanda dados que não foram apresentados pelo fiscalizado e sequer estão em posse da ANPD.

4.2.2. No que se refere aos itens que requerem metodologias, notas técnicas e estudos específicos acerca do aplicativo “Jaumo” e dos sistemas de Age Gate da Apple, a unidade técnica competente (CGF) informou que tais documentos não existem. Cumpre destacar que é dever da Administração Pública franquear acesso aos documentos que efetivamente integram seu acervo informacional, porém, não lhe incumbe criar informações, elaborar relatórios ou realizar análises inéditas para atender a pedidos formulados com fundamento na Lei de Acesso à Informação. A declaração de inexistência de informação, quando correspondente à realidade, constitui resposta suficiente e exime o órgão da obrigação de fornecimento, nos termos da Súmula CMRI nº 06/2015.

4.14. Por fim, também não procede a alegação de que a resposta apresentada implicaria violação ao direito de acesso à informação necessária à defesa de direitos ou à mitigação de risco à integridade física. Isso porque não houve negativa de acesso a informação existente, mas sim a indicação de inexistência de registros ou documentos específicos que correspondam, nos termos formulados, ao objeto do pedido. Como já exposto, a Lei de Acesso à Informação não impõe à Administração o dever de produzir análises, protocolos ou manifestações inéditas para atender demandas de natureza abstrata ou hipotética.

4.9. Por fim, a alegação de que a resposta apresentada teria ignorado o caráter de interesse público e social da demanda, deixando de inibir risco à integridade física do requerente, é **manifestamente improcedente**. Isso porque, como já se tratou, não houve negativa de acesso à informação existente, mas sim a mera indicação de inexistência que registros ou documentos específicos que correspondiam, nos termos formulados, ao objeto do pedido.

Destaca-se que **os procedimentos definidos pela LAI destinam-se a assegurar, de acordo com seu art. 4º e rol exemplificativo disposto no art. 7º, acesso a dados produzidos ou acumulados nos órgãos do poder público,** não sendo possível, por este meio, solicitar a produção de dados, entendimentos ou documentos não previamente existentes no órgão ou entidade pública.

**4.10.** Como se pode observar, no presente caso, não se identifica omissão remanescente que justifique a reforma da decisão recorrida, uma vez que **as informações foram prestadas na medida de sua existência e disponibilidade**, tendo a Superintendência de Fiscalização esclarecido, inclusive, a inexistência de notas técnicas no fluxo de admissibilidade, a utilização de informações anonimizadas no tratamento agregados de denúncias e a ausência de compartilhamento com outras entidades públicas ou privadas.

**4.9.** Ademais, diversos dos novos pedidos de informação dizem respeito ao fornecimento de documentos. No entanto, como já mencionado, a área técnica já admitiu o pedido, concedendo o acesso ao “inteiro teor dos protocolos” (item 14 do SEI nº 0286870) - resposta que se mostra satisfatória.

4.2. Não se verifica, no presente caso, qualquer negativa de acesso à informação de direito do solicitante. As informações solicitadas foram prestadas por meio dos canais adequados, tendo sido devidamente esclarecido ao requerente que os protocolos indicados foram regularmente processados, respondidos e concluídos, com os dados correspondentes disponíveis para consulta na aba “Minhas Solicitações” da Plataforma Gov.br.

4.5. Nesse contexto, entendo que a resposta fornecida pela Coordenação-Geral de Administração foi adequada, suficiente e devidamente fundamentada, em estrita consonância com os princípios e normas do ordenamento jurídico vigente.

4.2.5. Quanto ao histórico de processos (item 1), a resposta apresentou os links de transparência ativa, sítio oficial e Painel de Fiscalização, em consonância com o art. 11, § 6º, da Lei nº 12.527/2011 (LAI), dispositivo que desonera o órgão do fornecimento direto quando a informação já se encontra disponível ao público.

4.13. Ressalta-se, ainda, que as informações relativas a processos de fiscalização instaurados — incluindo agentes de tratamento envolvidos e documentos públicos — encontram-se devidamente disponibilizadas para consulta nos canais oficiais da ANPD, o que assegura transparência quanto às atividades efetivamente desenvolvidas, conforme mencionado no item 4.8 do presente voto.

4.10. Conforme já delineado pela CGF no julgamento do recurso em 1ª instância, a Súmula CMRI nº 06/2015 dispõe claramente que a "declaração de inexistência de informação objeto de solicitação constitui resposta de natureza satisfativa". Não obstante, o art. 11, § 6º da LAI também dispõe que sempre que a informação solicitada estiver disponível ao público em formato impresso, eletrônico ou em qualquer outro meio de acesso universal, serão informados ao requerente, por escrito, o lugar e a forma pela qual se poderá consultar, obter ou reproduzir a referida informação, ficando o órgão ou entidade pública desonerada de seu fornecimento direto.

> Ademais, reitero que todos os documentos e referências indicados pela CGRS estão disponíveis publicamente, nos sítios eletrônicos oficiais da Agência e no módulo de pesquisa pública do SEI, mediante o dever de transparência ativa.

ademais, porque trata-se de referência a documento digital já disponibilizado ao público em formato digital – hipótese na qual o órgão público, ao indicá-lo, desonera-se de qualquer obrigação de fornecê-lo diretamente, nos termos do art. 11, § 6º, da LAI.

4.21. Na Cláusula Nona – Da Confidencialidade, reforça-se que as informações trocadas devem ser tratadas como confidenciais e só podem ser divulgadas mediante consentimento da parte que as forneceu.

4.2.16. **Cláusula Oitava** - Determina que as informações compartilhadas sejam tratadas como confidenciais e estabelece medidas para sua proteção, incluindo a notificação em casos de pedidos de revelação por terceiros.

4.19. Na Cláusula Oitava – Da Confidencialidade, reforça-se o dever de sigilo sobre as informações trocadas. A divulgação depende de consentimento da Parte originária. Preveem-se medidas para proteger material confidencial contra pedidos de terceiros. .

- Na Cláusula Oitava, reforça-se que as informações trocadas devem ser tratadas como confidenciais e só podem ser divulgadas mediante

- Cláusula Nona – Da Confidencialidade: estabelece dever de sigilo, rotulagem de material confidencial, restrição de uso e oposição a pedidos de terceiros de divulgação sem o consentimento da parte fornecedora.

5.12. • Cláusula Nona – Da Confidencialidade: estabelece a obrigação de sigilo sobre as informações trocadas, com uso restrito às finalidades do Memorando e vedação de divulgação sem consentimento da parte fornecedora.

4.20. Na Cláusula Oitava – Da Guarda das Informações, apresentam-se diretrizes sobre armazenamento, devolução e eliminação segura das informações compartilhadas, com ênfase na proteção de dados e uso restrito à finalidade original.

4.2.15. **Cláusula Sétima** - Estabelece que as informações recebidas deverão ser mantidas somente enquanto forem necessárias para os propósitos para os quais foram compartilhadas. Inclui, também, procedimentos para a devolução ou eliminação das informações quando não mais necessárias.

4.18. *Na Cláusula Sétima – Da Guarda das Informações, regulam-se o armazenamento, a devolução e a eliminação das informações compartilhadas. As informações devem ser usadas apenas para os fins acordados, com proteção e descarte seguro.*

- Na Cláusula Sétima, apresentam-se diretrizes sobre armazenamento, devolução e eliminação segura das informações compartilhadas, com ênfase na proteção de dados e uso restrito à finalidade original.

- Cláusula Oitava – Da Guarda das Informações: regula prazos de retenção, devolução ou eliminação segura das informações recebidas, bem como o uso exclusivo para a finalidade original.

5.11. • Cláusula Oitava – Da Guarda das Informações: dispõe sobre a limitação temporal da retenção, devolução ou eliminação segura das informações compartilhadas, bem como restrição de uso exclusivo à finalidade original.

4.22. Na Cláusula Décima – Das Notificações de Violação de Dados, prevê-se a adoção de medidas de segurança e a obrigação de comunicação entre as partes em caso de vazamentos ou acessos não autorizados.

4.2.17. **Cláusula Nona** - Define a necessidade de adoção de medidas de segurança para proteger as transferências de informações e prevê notificação imediata em caso de acesso ou divulgação não autorizada.

4.20. Na Cláusula Nona – Das Notificações de Violação de Dados, as Partes devem adotar medidas de segurança e comunicar imediatamente incidentes de acesso ou uso indevido de informações compartilhadas.

- A Cláusula Nona prevê a adoção de medidas de segurança e a obrigação de comunicação entre as partes em caso de vazamentos ou acessos não autorizados.

- Cláusula Décima – Das Notificações de Violação de Dados: prevê medidas de segurança adequadas, notificação imediata em caso de incidentes e obrigação de adotar medidas corretivas.

5.13. • Cláusula Décima – Das Notificações de Violação de Dados: prevê medidas de segurança proporcionais à sensibilidade das informações e a obrigação de notificação imediata em caso de acesso não autorizado, divulgação indevida ou incidentes de segurança.

A terceira consiste em retirar o trecho inicial “No processo de adequação à LGPD”, uma vez que tal assertiva pode sugerir que, findo o processo de adequação, os agentes de tratamento de pequeno porte não precisariam mais adotar as medidas administrativas e técnicas para proteção dos dados pessoais.

4.40. Por tudo isso, e considerando que a retirada do modelo de classificação em faixas não afasta o modelo de regulação responsiva previsto no regulamento, é que proponho a exclusão dos arts. 29 e 30 (conforme a numeração original).

Efetivamente, a classificação em faixas não estava bem delimitada na proposta, o que, além de insegurança jurídica, poderia trazer dificuldades operacionais para a atuação da ANPD. Destaco, em particular, a previsão de que, em regra, a aplicação de sanções somente poderia ocorrer após a permanência do agente na faixa IV por dois ou três ciclos de monitoramento consecutivos, conforme o caso. Tal norma, ainda que eventualmente pudesse ser excepcionada, poderia criar obstáculos relevantes à atuação da ANPD, como nos casos de infrações graves ou em hipóteses em que o curso do prazo de prescrição administrativa estivesse próximo do fim.

4.27. A norma traz referência às disposições do art. 4º da LGPD e enfatiza o disposto em seu inciso I, ao mencionar que o regulamento não é aplicável quando a pessoa natural realiza tratamento para fins exclusivamente particulares e não econômicos. Ao reproduzir o disposto na LGPD, a norma visa auxiliar a interpretação do conceito de agente de tratamento de pequeno porte, o qual inclui referência a pessoas naturais "que realizam tratamento de dados pessoais", conforme mencionado anteriormente.

(d) *Realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD.* Esta previsão se baseia na determinação legal de que o tratamento de dados pessoais “somente” pode ser realizado nas hipóteses indicadas nos arts. 7º ou 11 da LGPD. Assim, presume-se que o tratamento de dados pessoais sem amparo legal configura uma conduta de alto grau de reprovação e elevado potencial de impacto, especialmente quando realizado em larga escala ou se afetar significativamente direitos e interesses dos titulares. Trata-se, ademais, de sinalização importante aos agentes de tratamento a respeito da necessidade de definir de maneira clara e objetiva a hipótese legal que ampara o tratamento de dados realizado;

4.13. Com relação à infração leve, tal foi concebida de modo excludente, ou seja, será considerada leve quando não verificada nenhuma das hipóteses previstas para as infrações médias e graves, denotando também sua concepção residual. Por exemplo, não indicar o encarregado (art. 41, da LGPD), pode ser classificado como infração leve, se o controlador tenha atendido todas as demandas de titulares previstas no art. 41, §2º, I, art. 9º, 18 e 19 da LGPD.

4.14. Já a infração média será verificada quando uma das hipóteses ali indicadas for constatada, quais sejam: afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave. Por exemplo, numa situação hipotética, a conduta de não atender ao requerimento de titulares (art. 18, da LGPD), caso não seja constatada nenhuma das hipóteses do §3º, do art. 8º, da LGPD, a infração poderia ser enquadrada em infração média, uma vez que a conduta afeta significativamente interesses e direitos fundamentais, sendo um deles o próprio direito à proteção dos dados pessoais (art. 5º, LXXIX).

4.18. No caso da multa diária prevista no art. 52, inciso II, da LGPD, em razão do princípio da proporcionalidade, o valor deve ser compreendido de forma acumulada, considerando o tempo entre a incidência da multa e o cumprimento da obrigação, até o limite total de R$ 50.000.000,00 (cinquenta milhões de reais) por infração.

4.25. No inciso VII do art. 2º, sugiro a exclusão da frase "identificada pelas categorias de indústria, comércio e/ou serviços, ou". Com efeito, a referência em questão se demonstra muito ampla, de modo que conferiria pouca ou nenhuma densidade interpretativa ao conceito de "ramo de atividade empresarial". Por outro lado, as categorias mencionadas não abrangem outras igualmente relevantes, a exemplo de agricultura e pecuária, omissão que poderia gerar insegurança jurídica no processo de aplicação da norma. Por fim, deve-se considerar que os demais pontos da definição já apresentam indicação objetiva da forma de aplicação do conceito, como no caso da referência ao CNAE, classificação das atividades empresariais já consagrada e de amplo conhecimento pelos agentes econômicos.

4.28. Além disso, ainda no citado dispositivo, proponho a substituição do termo “roubo de identidade” por “uso indevido de identidade” com o objetivo de abranger uma quantidade maior de ações, que possam afetar significativamente interesses e direitos fundamentais adequando a terminologia de modo a melhor proteger os direitos dos titulares de dados pessoais.

4.33. No artigo 11, proponho substituir a expressão “recursos recebidos” por “recursos auferidos” (inciso III), à guisa de distinção, para fins de delimitação do conceito de faturamento, dos ingressos provisórios que não integram o patrimônio da pessoa jurídica dos recursos efetivamente alcançados a partir do resultado da atividade empresarial, e que, por conseguinte, se inserem no escopo da norma, como recursos que são transferidos e titularizados pela pessoa jurídica. Entendo, desse modo, que o termo “auferidos” pode ser utilizado, inclusive, por organizações sem fins lucrativos.

4.37. Além disso, no mesmo dispositivo, insiro o § 2º para deixar claro que o grau do dano abrange a extensão do dano e o prejuízo causado, e que serão concretamente observados na definição do valor da sanção da multa diária: a gravidade da falta, a extensão do dano e o prejuízo causado. Por fim, ainda no art. 16, no inciso I e no § 1º, incluo a expressão "por infração", em conformidade com a redação do art. 52, II, da LGPD.

4.35. Desta forma, entendo que a escala do incidente, muito embora seja um elemento indicativo de maior gravidade, não seria um critério a, por si só, servir de elemento geral para a identificação de um incidente de segurança apto a implicar risco ou dano relevante aos titulares, sem a avaliação da possível afetação aos interesses e direitos do titular

4.17. Assim, a proposta de Enunciado veicula como melhor proposta a terceira hipótese, para dirimir lacuna a interpretativa do art. 14 da LGPD, qual seja, a aplicação das hipóteses legais previstas nos artigos 7° e 11 em leitura conjunta com o art. 14 da LGPD ao tratamento de dados de crianças e adolescentes, pois ao possibilitar o tratamento de dados, com amparo em diferentes hipóteses legais, com a inexistência de hierarquia entre elas, reforça-se a relevância do princípio do melhor interesse e aos demais princípios e regras previstas na LGPD e na legislação pertinente.

4.16. Quanto aos deveres dos agentes de tratamento em relação ao encarregado, eles devem fornecer os recursos necessários para o exercício de suas funções, garantir sua autonomia técnica e acesso à alta administração, além de assegurar meios de comunicação eficazes com os titulares dos dados e a ANPD.

4.34. Na Seção III, proponho a inserção do art. 21, outrora art. 10, por se tratar de tema afeto à Seção III. Proponho, ainda, a inserção do parágrafo único ao artigo 21, dantes ligado ao antigo art. 10, mantendo a seguinte redação: "Uma vez constatada a possibilidade de conflito de interesses, o controlador não deverá prosseguir com a indicação ou deverá proceder a sua substituição'.

3.11.O tratamento de dados pessoais sensíveis, nas circunstâncias ora analisadas, somente poderia ser realizado quando amparado em uma das hipóteses legais dispostas no art. 11 da LGPD, uma vez que o tratamento indiscriminado de fotografias, imagens, vídeos e gravações de áudios, especialmente por meio do uso de sistemas de inteligência artificial, pode revelar vinculações políticas,religiosas, sindicais e sexuais dos titulares, que já se caracterizam,de imediato, como dados pessoais sensíveis, conforme definição do art. 5º, inciso II, da LGPD (Nota Técnica nº 27/2024/FIS/CGF/ANPD,SEI nº 0129769).

4.34.No presente caso, ainda que admitida, para fins de argumentação, o uso da hipótese legal do legítimo interesse, verifica-se que seria necessário um reforço das medidas de transparência. Isso porque este princípio demanda maior cuidado quando o tratamento é baseado na hipótese legal do legítimo interesse, nos termos do art. 10, § 2º, que impõe ao controlador o dever de "adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse".

Portanto, o tratamento de dados pessoais de crianças e adolescentes com base na hipótese legal do legítimo interesse pressupõe que o controlador leve em consideração, de forma prioritária, o melhor interesse da criança ou do adolescente. Além disso, deve prevalecer a interpretação que atenda ao melhor interesse da criança e do adolescente de forma mais eficaz, inclusive, se for o caso, com a não realização do tratamento com base no legítimo interesse, em particular se o teste de balanceamento não for conclusivo ou se não forem identificadas medidas de segurança e de mitigação de risco adequadas à hipótese. Assim, se o resultado do teste de balanceamento for inconclusivo, ou se não forem identificadas medidas de segurança e de mitigação de risco adequadas à hipótese, deverá ser adotada outra base legal.

4.20. O art. 3º também foi excluído, por se tratar de regra desnecessária e que foge ao escopo do Regulamento sobre o Encarregado. Com efeito, a possibilidade de aplicação de sanções administrativas decorre da própria LGPD (em seu art. 52) e do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução nº 4/2023. De acordo com o art. 2º, II, deste Regulamento, configura infração punível pela ANPD o “descumprimento de obrigação estabelecida na Lei nº 13.709, de 14 de agosto de 2018 (LGPD), e nos regulamentos expedidos pela ANPD”.

4.46. O novo inciso II do art. 10 inclui, entre as obrigações do agente de tratamento, a previsão de que este deverá solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais. Esta regra está em harmonia com o art. 41, § 2º, III, da LGPD, que atribui competência ao encarregado para orientar os funcionários da organização a respeito das práticas a serem adotadas em relação à proteção de dados pessoais. É natural, assim, que o agente de tratamento solicite o auxílio do encarregado para o adequado endereçamento, no âmbito da organização, das principais questões relacionadas ao tratamento de dados pessoais. Ressalto, ainda, que este inciso é complementado pelo disposto no art. 16 do Regulamento, que relaciona atividades em que o encarregado deve prestar assistência e orientação ao agente de tratamento, a exemplo das atividades de registro das operações e elaboração de relatório de impacto à proteção de dados pessoais.

4.64. Assim, a nova proposta de redação enfatiza que compete ao encarregado, primariamente, “prestar assistência e orientação ao agente de tratamento”, conforme também previsto no art. 10, II, do Regulamento, referido anteriormente neste voto. Tais assistência e orientação se destinam a apoiar e auxiliar a execução das atividades mencionadas nos incisos do art. 16 no âmbito da organização. Dessa forma, fica mais claro que o Regulamento não determina e nem confere ao encarregado o dever de, diretamente, assumir a realização dessas atividades. Cabe ao encarregado apenas a função de auxiliar a realização dessas atividades, observadas, em qualquer caso, a

4.61. Sobre este último ponto (inciso III do parágrafo único do art. 15), a regra geral é que cabe ao encarregado receber comunicações da ANPD, conforme expressa previsão do art. 41, § 2º, II, da LGPD. Não obstante, o agente de tratamento pode indicar outro representante para receber comunicações futuras, tal como na hipótese de prepostos designados ou advogados contratados para atuar em processos específicos instaurados perante a ANPD. Nessa hipótese, tais representantes deverão ser indicados à ANPD pelo próprio encarregado, já que a este cabe, primariamente, a função de comunicação com a ANPD.

4.72. Por sua vez, o caput do art. 19 passou a contar com a mesma redação que constava do art. 14 (numeração original), conforme mencionado anteriormente, tendo em vista que o dispositivo dispõe sobre conflito de interesse. Assim, segundo a recomendação da PFE (SEI nº 0122578, p. 7), o comando em questão foi incorporado a esta Seção III em razão de sua pertinência temática. Dada essa reorganização, foi necessário dividir o § 1º em incisos, realocando a redação original do caput do art. 19 como inciso II do § 1º. Neste inciso, foi incluída ainda a frase “ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado”, como forma de deixar claro que o encarregado poderá tomar decisões referentes ao tratamento de dados pessoais em relação às operações próprias e inerentes ao exercício da função desempenhada, como, por exemplo, nos casos de comunicação com os titulares e com a ANPD.

6.23. Portanto, não há vício de ilegalidade quanto legitimidade do encarregado para receber comunicações da ANPD.

4.3.2.6.Neste sentido, o primeiro passo é a caracterização da Transferência Internacional de Dados. Esta seção explicita quando tal operação ocorre e, de igual modo, quando não se configura, como no caso de coleta internacional de dados pessoais. Ressalta-se que, mesmo nessas situações, deve-se observar as disposições da Lei nº 13.709, de 14 de agosto de 2018, quando verificada uma das hipóteses indicadas no art. 3º da referida Lei.

4.3.2.11.Neste sentido, deve-se destacar que a transferência internacional de dados pressupõe a existência de uma hipótese legal adequada para legitimar o tratamento de dados (conforme os artigos 7º e 11ºda LGPD), em conjunto a adoção de mecanismos específicos para transferência internacional de dados, conforme o art. 33 da LGPD e o regulamento em aprovação.

4.3.3.16.A primeira hipótese (“trânsito de dados pessoais") decorre da menção a dados provenientes do exterior que não sejam “objeto de comunicação" e “uso compartilhado de dados com agentes de tratamento brasileiros". Assim, entende-se que o dispositivo se refere ao trânsito de dados pessoais, ou seja, uma simples passagem dos dados pelo Brasil com destino a outro país ou organismo internacional. Nesta hipótese, por não haver propriamente um tratamento de dados no Brasil, não há aplicação da LGPD à operação, de forma coerente, inclusive, com o que estabelece o art. 3º,I, da LGPD.

4.3.3.24.Dessa forma, a decisão e a interpretação sobre a incidência da exceção legal serão realizadas pela própria ANPD - e não pelas organizações que realizam transferências internacionais de dados. Ademais, a interpretação será específica para determinados casos excepcionais, objeto de motivação pela autoridade e divulgação pública. Com isso, são afastados os riscos de interpretações indevidas e amplas ou, ainda, de criação de zonas cinzentas nas quais determinadas operações com dados pessoais no Brasil não estariam submetidas ao regime jurídico protetivo da LGPD. 4.3.3.25.Nesta linha, vale enfatizar que o § 2º do artigo proposto assegura que a LGPD não poderá ser excepcionada diante de situações que possam violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e os direitos dos titulares previstos na legislação nacional. Trata-se de critério essencial e limitador, que deverá ser necessariamente considerado pela ANPD na eventual hipótese de reconhecimento da não aplicação da LGPD a determinadas transferências internacionais de dados para país ou organismo internacional que possua nível de proteção de dados pessoais adequado ao previsto na legislação nacional.

4.3.3.43.O próprio conceito de NcG está, intrinsecamente, relacionado a aspectos econômicos, o que é incompatível com a natureza e os objetivos das entidades sem fins lucrativos. A extensão, portanto, da aplicação a estas entidades desvirtua o propósito do mecanismo, e pode gerar confusões e dificuldades na implementação e conformidade regulatória.

4.15. Assim, desde que os participantes observem as regras do edital e sigam tempestivamente e de boa-fé as orientações fornecidas pela ANPD, serão utilizados os mecanismos regulatórios que priorizam a orientação e a conscientização dos agentes regulados, bem como a construção conjunta e dialogada de soluções visando a remediar riscos e reconduzir os agentes à plena conformidade. Como consequência, desde que atendidas as condições mencionadas, não haverá a instauração de processo administrativo sancionador em face das dos novos modelos de negócio ou das novas tecnologias testadas durante o período de realização do sandbox.

Art. 5º Exigia finalidade específica ligada à execução de políticas públicas. Inclui parágrafo único vedando repasse dos dados pelo recebedor sem autorização do cedente. A alteração introduz parágrafo único que veda o repasse de dados pelo agente recebedor sem autorização expressa do agente cedente. O aprimoramento reforça a salvaguarda de limitação da finalidade e o controle sobre o uso dos dados compartilhados, em consonância com os princípios

legais dos arts. 7º ou 11 da LGPD. incluindo a transferência, deve estar fundamentado em qualquer das hipóteses legais previstas nos arts. 7º ou 11 da LGPD. O aprimoramento visa compatibilizar o texto com o regime jurídico da LGPD, deixando claro que o consentimento constitui apenas uma das hipóteses legais possíveis, sem alterar o alcance material da norma.

3.79.Em relação ao escopo da decisão de adequação, importa registrar que as atividades de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais não estão abrangidas pela decisão, constituindo a única condicionante aplicável. Esta exclusão decorre diretamente do art. 4º, inciso III, da LGPD, que afasta tais atividades do regime geral da lei, e encontra correspondência no art. 2º, §2º,“a”, do RGPD, que igualmente exclui do seu âmbito atividades relacionadas àsegurança nacional e matérias fora da competência da União Europeia.

3.81.No caso brasileiro, o tratamento de dados para fins de segurança pública e defesa nacional é disciplinado de forma fragmentada,distribuída entre normas constitucionais, legislação processual penal e disposições setoriais, com aplicação dos princípios e direitos da LGPD. A inexistência de marco normativo abrangente impede, neste momento,comparação sistemática com o regime europeu e, portanto, justifica a sua exclusão do escopo da decisão de adequação. Essa delimitação evita também gerar expectativas incompatíveis quanto ao exercício de direitos em contextos de investigação criminal ou inteligência, preservando coerência entre a decisão de adequação e os limites definidos pela própria LGPD. Em suma, a exclusão da área de segurança pública constitui condicionante necessária e juridicamente fundamentada.

“A Superintendência de Fiscalização poderá adotar, em caráter antecedente ou incidental, medidas cautelares, sem a prévia manifestação do agente regulado, quando verificar perigo de dano ou risco ao resultado útil do processo. Parágrafo único. Quando necessário para assegurar o cumprimento da medida cautelar, a decisão poderá determinar a incidência de multa diária, observados os critérios previstos neste Regulamento.”

A delimitação das sanções administrativas aplicáveis às infrações ao ECA Digital e ao Marco Civil da Internet à advertência e à multa simples trata-se de opção regulatória que decorre do regime sancionatório definido pela Lei nº 15.211, de 17 de setembro de 2025, e de sua aplicação analógica às infrações à Lei nº 12.965, de 23 de abril de 2014. O art. 35, § 3º, do ECA Digital reservou à via judicial a aplicação das sanções de suspensão temporária e de proibição do exercício das atividades,

conferindo à Agência, na esfera administrativa, a competência para aplicar as sanções dos incisos I e II do mesmo dispositivo. O Marco Civil da Internet, embora preveja, no art. 12, incisos III e IV, a suspensão temporária e a proibição do exercício das atividades de que trata o art. 11, não disciplina o procedimento nem a autoridade competente para sua imposição, lacuna que se acentua no âmbito das competências atribuídas à ANPD pelo art. 19-A do Decreto nº 8.771, de 11 de maio de 2016, incluído pelo Decreto nº 12.975, de 20 de maio de 2026. Diante dessa lacuna, e considerando a identidade de sujeitos regulados e de estrutura de gradação entre os dois regimes, adota-se para este diploma o mesmo recorte estabelecido pelo ECA Digital, que é a norma mais específica e mais recente sobre a atuação sancionatória da Agência no ambiente digital.

construções não previstas em lei e cuja incorporação foi objeto de ressalva no Parecer da PFE/ANPD (SEI nº 0316893). A nova redação alinha-se às considerações do referido parecer, evitando-se inovação jurídica. Estrutura-se a matéria em torno da identidade de sujeito, de fato e de fundamento, critério consagrado do ne bis in idem, preservando a cumulação quando distintos os bens jurídicos tutelados e afastando o risco de que uma construção regulamentar venha a restringir o exercício do poder sancionador.

§ 1º Não haverá cumulação nos termos do caput, constituindo a conduta infração única, quando se verificar identidade de sujeito, de fatos e de fundamentos entre as infrações imputadas. § 2º Há identidade de fundamentos quando as normas violadas tutelarem o mesmo bem jurídico, assim se considerando quando os mesmos elementos de fato que caracterizam a infração a uma das normas forem suficientes para caracterizar, integralmente, a infração à outra, sem que remanesça lesão ou ameaça de lesão a interesse juridicamente distinto.§ 3º Verificada a hipótese do § 1º, aplicar-se-á unicamente a penalidade prevista na norma especial e, na impossibilidade de identificá-la, a mais grave. § 4º Definida a penalidade aplicável, a dosimetria observará os parâmetros, os critérios de classificação e os limites mínimo e máximo previstos neste Regulamento para a legislação correspondente.

Correção necessária à compatibilização da base de cálculo com cada regime sancionatório. O critério do “ramo de atividade empresarial” é próprio da Lei nº 13.709, de 14 de agosto de 2018, e não encontra correspondência no art. 35, inciso II, da Lei nº 15.211, de 17 de setembro de 2025, nem no art. 12, inciso II, da Lei nº 12.965, de 23 de abril de 2014, que adotam como base o faturamento do grupo econômico no Brasil no último exercício. Sua aplicação indistinta implicaria calcular a multa sobre grandeza diversa da fixada em lei, com risco de invalidação da dosimetria.

Quanto à ausência de faturamento, o art. 35, inciso II, da Lei nº 15.211/2025 traz critério legal expresso — de R$ 10,00 a R$ 1.000,00 por usuário cadastrado —, que o art. 11-A incorpora, delimitando as hipóteses em que incide. A Lei nº 12.965/2014 não disciplina essa hipótese, lacuna que não havia sido suprida pela área técnica. Diante da ausência de critério legal específico e da identidade de sujeitos regulados, de alíquotas e de parâmetro de dano entre os dois regimes, adota-se, no exercício da competência regulamentar da ANPD, o mesmo critério previsto

§ 3º Caberá ao infrator o ônus de demonstrar a quantidade de usuários no Brasil por meio de documentação idônea. § 4º Não sendo apresentada documentação idônea ou sendo impossível a apuração da quantidade de usuários por fato imputável ao infrator, a ANPD poderá estimar essa quantidade, de forma fundamentada, com base nos elementos disponíveis nos autos, em fontes públicas ou em informações obtidas junto a terceiros.

A restrição do piso correspondente ao dobro da vantagem auferida às infrações à Lei nº 13.709, de 14 de agosto de 2018, é correta e decorre do art. 52, § 1º, daquele diploma, não havendo previsão equivalente na Lei nº 15.211, de 17 de setembro de 2025, nem na Lei nº 12.965, de 23 de abril de 2014.

4.10. Quanto ao referido dispositivo, entendo ser mais adequada sua apresentação de forma direta, com o objetivo de facilitar o entendimento e a sua aplicação, por meio da adoção de termos mais conhecidos e abordando especificamente as pessoas naturais e os entes despersonalizados que assumam obrigações típicas de controlador ou de operador. Como proposto originalmente, esses últimos não se configurariam pessoas jurídicas e, assim, ficariam excluídos da redação original do inciso.

4.16. Assim, a definição é juridicamente adequada, uma vez que confere tratamento regulatório isonômico aos agentes que se encontram em posição similar, considerando a natureza e o porte da entidade, bem como o volume e o tipo de operações de tratamento realizados. De fato, não seria coerente dispensar, por exemplo, um pequeno comércio de cumprir uma determinada obrigação e, ao mesmo tempo, exigir esta mesma obrigação de um associação de bairro ou de um condomínio residencial.

“Art. 19. A ANPD poderá determinar ao agente de tratamento de pequeno porte o cumprimento de obrigações dispensadas ou flexibilizadas nesta Resolução, considerando as circunstâncias relevantes da situação, tais como a natureza e o volume das operações, os riscos para os titulares e a sensibilidade e a criticidade dos dados tratados.”

4.47. Assim, ao mencionar os critérios que deverão ser observados para eventual determinação de cumprimento de obrigações dispensadas ou flexibilizadas, o trecho incluído condiciona a atuação regulatória da ANPD e confere maior segurança jurídica aos agentes regulados. Nesse sentido, a proposta de alteração confere algum grau de discricionariedade à atuação da ANPD e, ao mesmo tempo, sinaliza aos agentes de tratamento que a determinação do cumprimento de obrigações é uma medida excepcional, que será efetuada considerando as circunstâncias relevantes da situação, em particular quando for identificado maior risco para os titulares. Diante disso, entendo que é pertinente e justificada a adoção dos critérios decisórios mencionados na nova redação do art. 16.

4.46. Em realidade, a avocação é uma hipótese sobremaneira excepcional, de reduzida utilização na praxe administrativa, disciplinada pela Lei n.º 9.784, de 29 de janeiro de 1999, que disciplina o processo administrativo no âmbito da Administração Pública Federal. Como regra geral, os processos arquivados não são revistos por órgãos superiores, salvo nas hipóteses usuais, como recurso interposto por interessados. Destaco, ainda, que não seria adequado tratar a matéria no presente regulamento, tendo em vista que já há regramento sobre avocação e delegação de competências pelo Conselho Diretor no Regimento Interno da ANPD (art. 72). Esta é, efetivamente, a norma mais adequada para tratar do assunto, uma vez que a avocação constitui prerrogativa geral do Conselho Diretor, sem vínculo específico com a atividade de fiscalização.

4.55. Como destacado no quadro acima, foi excluído o art. 67 (conforme numeração original), efetuando-se o correspondente ajuste no título da Seção. Conforme ressaltado neste voto, a avocação constitui uma medida excepcional, regulada no Regimento Interno e que, por isso, não pode ser definida como uma fase processual típica, sob pena de se criar uma permanente sensação de insegurança jurídica aos agentes regulados.

5.31. Assim, considerando que a proposta de alteração se baseia em modelo recentemente rechaçado pelo Conselho Diretor e que, ademais, prevê um prazo de 15 dias para a avocação, o qual é de difícil operacionalização prática, podendo gerar permanente sensação de insegurança jurídica aos administrados, sugiro não acatar a proposta de alteração da CGN, com a consequente manutenção integral do atual art. 62 do Regulamento de Fiscalização, em especial da regra prevista em seu § 5º. A manutenção do art. 62 se justifica, ainda, pelo fato de que a proposta da CGN reproduz o mesmo procedimento atualmente em vigor para a reconsideração da decisão, apresentando, em sua maior parte, apenas ajustes formais de redação, com reduzida implicação prática.

4.59. O § 2º do art. 62 limita o poder decisório no âmbito do juízo de reconsideração ao prever que, neste momento processual, não será admitido o agravamento da sanção originalmente imposta. Assim, caberá à Coordenação-Geral de Fiscalização avaliar se a decisão original será mantida ou revista, sendo que a revisão somente será admitida se em benefício do administrado. Portanto, eventual agravamento da sanção após a interposição de recurso apenas poderá ocorrer por decisão do Conselho Diretor, conforme previsto no art. 64, parágrafo único, da Lei nº 9.784/1999 e no art. 65, parágrafo único, do regulamento ora em análise.

5.28. Do comparativo entre a redação vigente e a proposta de alteração, verifica-se que a maior parte das modificações sugeridas é de ordem formal e redacional, sem implicar alteração substantiva no procedimento em vigor. Assim, por exemplo, a redação do caput do art. 62 terá apenas substituída a palavra "recebido" por "conhecido", mantendo-se o mesmo procedimento. Da mesma forma, a regra prevista no atual § 2º, segundo a qual do exercício do juízo de reconsideração não poderá resultar agravamento da sanção, é reproduzida no § 4º da proposta, com ajustes de redação.

4.8. O pressuposto central desse microssistema é o de que essas entidades demandam um tratamento regulamentar diferenciado, que seja compatível com as suas peculiaridades, a exemplo de sua natureza jurídica e o seu porte, bem como o tipo e o volume de suas operações de tratamento de dados pessoais. Nessa linha, como se extrai da LGPD, o propósito a ser alcançado é amplo e abrange duas estratégias principais, conforme o caso: (i) a flexibilização ou a dispensa do cumprimento de obrigações, quando juridicamente admissível e verificado que o ônus correspondente pode se demonstrar excessivo e desproporcional para o agente de tratamento de pequeno porte; e (ii) a edição de orientações e procedimentos simplificados e diferenciados, que facilitem e incentivem os agentes de tratamento de pequeno porte a atuar em conformidade com a legislação de proteção de dados pessoais.

fomentar a adoção de boas práticas e a fiscalização orientada a resultados, considerando a possibilidade de edição de normas, orientações e procedimentos simplificados e diferenciados para agentes de tratamento de pequeno porte, nos termos da legislação vigente;

5.12. Com base nos fundamentos expostos, verifica-se que a minuta de regulamento complementa e é coerente com o disposto no Regulamento de Fiscalização e com o modelo de regulação responsiva que o orienta. Por isso, demonstra-se adequada a opção pela tipificação indireta e por regulamentar, em conjunto, os critérios para aplicação de sanções pecuniárias e não pecuniárias.

4.8. A proposta normativa é convergente para regulamentar os artigos 52 e 53 da LGPD, ao que propõe definir os critérios e parâmetros não apenas para as sanções pecuniárias, mas também para as sanções não pecuniárias que, em tese, seriam autoaplicáveis, entretanto, com o objetivo de conferir transparência e segurança jurídica a todos os envolvidos no processo sancionatório, optou-se por regulamentá-las.

5.64. O novo § 1º tem por objetivo reforçar a ideia de que, para fins de incidência das atenuantes previstas nos incisos I e III, a conduta do infrator, visando cessar a infração ou reverter e mitigar os seus efeitos, deve ser voluntária e espontânea, no sentido de que não pode decorrer do mero cumprimento de ordem administrativa ou judicial.

“§ 1º Para efeitos dos incisos I, II, e III, IV, ‘d’ e V deste artigo, não serão consideradas atenuantes a cessação da infração e a adoção de medidas capazes de reverter ou mitigar os efeitos da infração decorrentes do mero cumprimento de determinação administrativa ou judicial. (NR) § 2º Na hipótese de incidência de mais de um dos incisos deste artigo, deverão ser somados os percentuais relativos a cada fator. (NR) § 3º Cabe ao infrator o ônus de comprovar perante a ANPD o cumprimento dos requisitos previstos neste artigo.

2.31.Os subtópicos 2.1 e 2.2 são preliminares à utilização da hipótese do legítimo interesse. Isso porque a natureza dos dados tem que ser analisada, previamente. Em sendo o caso de dados sensíveis, afasta-se a hipótese do legítimo interesse. Já se for o caso de dados de crianças e adolescentes, o uso da hipótese reclama um filtro avaliativo específico,considerando a necessidade de prevalência do princípio do melhor interesse da criança ou adolescente, conforme previsto no art. 14 da LGPD.

4.54.Como se pode observar, é necessária a adoção, pelo controlador, de uma série de salvaguardas e medidas de mitigação de risco capazes de demonstrar que, no caso concreto, o eventual tratamento de dados pessoais de crianças e adolescentes será realizado em seu melhor interesse, o que não foi verificado na presente hipótese, ao menos no âmbito desta análise preliminar.

4.10.Ressalta-se que, por se tratar de medida preventiva, as condutas da empresas são avaliadas, neste momento, de forma não exauriente, isto é, sem a profundidade exigida para a obtenção de um juízo de certeza, característica esta que é própria dos processos de natureza cautelar.Assim, a avaliação pormenorizada das condutas será realizada no âmbito do processo fiscalizatório instaurado para este fim, a ser conduzido pela área técnica competente. Dessa forma, o objetivo principal da presente medida preventiva é assegurar a não ocorrência de danos graves iminentes e garantir a efetividade da atuação da ANPD com vistas à proteção dos direitos dos titulares.

4.10.A atuação da ANPD, neste momento, está orientada pela necessidade de evitar danos graves ou de difícil reparação, sem antecipar conclusões definitivas sobre a legalidade das operações de tratamento de dados pessoais realizadas pela empresa, que permanecerão sujeitas àavaliação conforme o devido processo regulatório. Caso sejam superados ou afastados os requisitos que fundamentaram a medida preventiva, poderá a ANPD concluir pelo atendimento dos requisitos legais do consentimento. Por outro lado, também é possível que, após avaliação posterior, a ANPD conclua,de forma definitiva e não preventiva, pelo não cumprimento dos requisitos necessários ao consentimento válido no caso em questão.

7.7. Significa dizer que o recorrente apenas demonstra ter agido como deveria ter feito, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta o fato de que deixou de cumprir uma obrigação legal, que é a de comunicar aos titulares a ocorrência de incidente de segurança, infringindo o art. 48, parágrafo primeiro, da LGDP.

5.22. Neste sentido, a recorrente apenas demonstra ter agido como era esperado, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta o fato de que deixou de cumprir uma obrigação legal consistente na utilização de sistemas que atendem aos requisitos básicos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares, conforme preceitua o art. 49 da LGPD.

4.3.3.30.Isto porque a equivalência pretendida, frise-se, é do nível de proteção de dados pessoais e não da legislação do país ou organismo internacional de destino. A partir da análise da legislação do destinatário, a ANPD verificará a equivalência ou não do nível de proteção de dados pessoais como um todo.

3.17.Para avaliação material da adequação, o modelo adotado na LGPD e na regulamentação da ANPD para análise da decisão de adequação busca avaliar o ordenamento jurídico do país de destino. O foco da análise reside na adequação dos padrões de proteção, não na exigência de equivalência absoluta entre os sistemas. Esses critérios foram delimitados no art. 34 da Lei nº 13.709/2018 (LGPD), nos arts. 11 e 12 da Resolução CD/ANPD nº 19/2024. O atendimento aos critérios legais e regulatórios foi analisado pela CGRIl na Nota Técnica nº 12/2025/TID/CGRII/ANPD (SEI nº 0219210) e a avaliação da sua conformidade jurídico-formal foi realizada pela Procuradoria Federal Especializada (SEI nº 0226175). No âmbito do presente voto cabe,portanto, avaliar, com base na instrução da análise já realizada, se os critérios previstos na LGPD e na resolução estão devidamente atendidos e, assim, se épossível encontrar equivalência substantiva entre os arcabouços jurídicoinstitucionais brasileiro e europeu.

4.17.Portanto, o aprofundamento técnico sobre o tema éessencial, e, assim, a aprovação do plano de conformidade e a suspensão da medida preventiva não devem ser interpretados como anuência irrestrita ao uso da referida hipótese legal para o tratamento em questão ou para todo e qualquer tratamento de dados pessoais visando ao treinamento de sistemas de lA. As questões que necessitam de maiores esclarecimentos, inclusive considerando as especificidades e a complexidade do presente caso concreto, continuarão a ser analisadas no processo de fiscalização específico.

51.Vale, ainda, consignar que as considerações desenvolvidas nesta seção não implicam qualquer validação ou atestado de conformidade de quaisquer operações de tratamento da Recorrente, em especial aquelas referentes aos identificadores IDFA, GAID, IDFV e Android ID, bem como aos indícios levantados pela Nota Técnica nº 1/2026/CPCA/CGF/SFI/ANPD (SEI nº 0292800). Tais operações de tratamento permanecem sujeitas ao acompanhamento e à avaliação da SFI.

2.2.6. As decisões de adequação são, portanto, emitidas em situações que não envolvem transferências internacionais em casos concretos, em razão da amplitude do seu alcance. Até mesmo porque a LGPD prevê outros mecanismos de fácil utilização, tais como as cláusulas-padrão contratuais, para reger transferências internacionais nos cenários em que há uma relação jurídica estabelecida entre as partes.

2.7. As decisões de adequação são, portanto, emitidas em situações que não envolvem transferências internacionais em casos concretos. Em razão da amplitude do seu alcance, são decisões estratégicas e devem ser emitidas em favor de atores relevantes para o Brasil, levando em consideração “os impactos da decisão sobre o fluxo internacional de dados, as relações diplomáticas, o comércio internacional e a cooperação internacional do Brasil com outros países e organismos internacionais” (art. 12, inciso II, da RESOLUÇÃO CD/ANPD Nº 19, DE

5.8.Essas duas providências indicadas pela regulada poderiam,eventualmente, estar alinhadas ao discutido na Nota Técnica nº8/2025/FIS/CGF/ANPD (SEI nº 0166709) - sendo que, mesmo no âmbito dessa Nota Técnica, tais mudanças de fluxos eram aventadas apenas como medida provisória, até que solução definitiva fosse apresentada pela regulada para suspender a contraprestação financeira. Ainda assim, conforme já explicado, a posição vigente do Conselho-Diretor - e objeto da medida preventiva em vigor - é a de que a compensação financeira aos titulares de dados deve ser interrompida, não apenas "distanciada" da coleta do ponto de vista operacional.

4.30.Conforme consignado no voto do Diretor lagê Miola (SEI nº0167633), a determinação deste Conselho-Diretor foi expressa no sentido de suspender a concessão da compensação financeira, e não apenas estabelecer uma “camada de distanciamento” entre a coleta do dado e a contraprestação financeira.

4.33.Ainda que se observe, na nova proposta, um aparente distanciamento entre a coleta de dados pessoais e a concessão da contraprestação, tal separação aparentemente não se revela suficiente para afastar os riscos previamente identificados. Isso porque, mesmo com o distanciamento formal, aquele que indica terceiros permanece sendo beneficiado economicamente com base exclusiva na coleta de dados biométricos de novos titulares. Em última instância, portanto, o fluxo financeiro continua sendo ativado a partir da captação de dados biométricos,o que indica uma modificação na forma, mas não na essência da interferência sobre o consentimento "livre".

4.8. Considerando a transformação da ANPD em agência reguladora pela Medida Provisória nº 1.317/2025, que instituiu a Agência Nacional de Proteção de Dados, devem ser observadas as disposições da Lei nº 13.848, de 25 de junho de 2019. Em especial, o §2º do art. 9º prevê que o período de consulta pública deve ter duração mínima de 45 (quarenta e cinco) dias, contados da publicação do aviso de abertura no Diário Oficial da União e no sítio eletrônico da Agência, salvo situações excepcionais de urgência e relevância, devidamente justificadas.

4.6. Sugere-se que, tendo em vista a transformação da ANPD em agência reguladora pela Lei nº 15.352, de 25 de fevereiro de 2026 (originada da Medida Provisória nº 1.317/2025), seja observado o disposto no §2º do art. 9º da Lei nº 13.848, de 25 de junho de 2019. Esse dispositivo estabelece que, ressalvada a existência de prazo diverso em legislação específica, acordo ou tratado internacional, o período de consulta pública terá início após a publicação do despacho ou aviso de abertura no Diário Oficial da União e no sítio eletrônico da agência, com duração mínima de 45 (quarenta e cinco) dias, salvo em situações excepcionais de urgência e relevância, devidamente justificadas.

4.16. O texto proposto incorpora a lógica de riscos e proporcionalidade, exigindo que o compartilhamento de dados seja compatível com a finalidade original e adequado ao interesse público envolvido, evitando tratamento excessivo ou desnecessário. Essa abordagem reforça o princípio da minimização de dados e promove o uso responsável e seguro dos dados em posse do poder público, em conformidade com a Emenda Constitucional nº 115/2022 e com a jurisprudência do Supremo

Minimização e o uso proporcional de dados pessoais, vedado tratamento incompatível com a finalidade pública;

Ajuste redacional para esclarecer que a dosimetria das sanções será realizada à luz da legislação aplicável a cada infração.

subjetivo de incidência quanto na definição das sanções aplicáveis a cada regime. A premissa que daí decorre é a de que a unidade metodológica do Regulamento não pode conduzir à aplicação indistinta, a regimes diversos, de parâmetros concebidos para um deles. Cada diploma possui limites, bases de cálculo e circunstâncias próprias, definidos em lei, que o regulamento deve observar, e não uniformizar.

4.3. Tais ações demonstram a relevância do acordo e a sua plena compatibilidade com o mandato legal atribuído à ANPD. A esse respeito, a Lei nº 13.709/2018 (LGPD) enfatizou a necessidade de observância dos princípios da prevenção e da segurança em todas as atividades de tratamento de dados pessoais (art. 6º, VII e VIII), sempre com o intuito de mitigar riscos e prevenir a ocorrência de danos aos direitos dos titulares.

4.8. Os dados pessoais sensíveis foram abarcados pela LGPD com regras mais rigorosas e alternativas reduzidas de bases legais (art. 11 da LGPD) porque seu tratamento inadequado está sujeito a implicações de risco e vulnerabilidades potencialmente mais graves aos direitos e liberdades fundamentais dos titulares.

5.8. Mais adiante, no tópico V, denominado "Compartilhamento de Dados Pessoais pelo Poder Público", o Guia ressalta que o uso compartilhado de dados é um "mecanismo relevante para a execução de atividades típicas e rotineiras do Poder Público", e que deve ser realizado em conformidade com a LGPD. Nesse sentido, o documento indica os principais requisitos que devem ser observados por ocasião desse compartilhamento.

5.9. Em sequência, no tópico VI, "Divulgação de Dados Pessoais", o documento aborda a relevância de os órgãos e entidades públicos, diante da necessidade de divulgação de informações que contenham dados pessoais, realizarem tal processo em conformidade com as disposições da LGPD, para que se assegure a proteção integral dos dados pessoais, a autodeterminação informativa e o respeito à privacidade dos titulares durante todo o tratamento.

4.28. A definição de "tratamento de alto risco" é relevante, pois constitui um dos critérios para a delimitação do âmbito de incidência do regulamento. Da mesma forma, deve-se considerar que o conceito de risco é incorporado na LGPD e na prática internacional como um elemento central da atuação de autoridades de proteção de dados. Nesse sentido, de forma simples e direta, pode-se dizer que o pressuposto adotado é o de que, quanto maior o risco aos titulares de dados pessoais, maior a cautela a ser observada no tratamento e maiores as exigências estabelecidas pela legislação e pela ANPD.

4.7. E alterações para incrementar as orientações, tais como sobre as atribuições do encarregado e sobre a hipótese de sua dispensa para agentes de pequeno porte, nos termos da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, assim como a desnecessidade de registro da identidade do encarregado na ANPD, foram incluídas ao novo texto.

5.74. Destaco, apenas, que foi excluída a referência ao inciso X do art. 5º da LGPD, tendo em vista este dispositivo traz uma lista exemplificativa de operações de tratamento. Por isso, não se demonstra apropriado se referir a "todas as operações" mencionadas neste dispositivo, uma vez que outras também podem ser realizadas com dados pessoais.

4.14. O fato é que o uso de cookies desempenha um papel essencial em todo o ecossistema digital baseado em dados pessoais, em particular no que concerne à publicidade segmentada, trazendo, no entanto, riscos à privacidade e à proteção de dados pessoais de titulares. Por isso, revela-se crucial que os benefícios gerados pelos cookies e tecnologias similares de rastreamento sejam acompanhados por um uso responsável, compatível com princípios básicos previstos na legislação em vigor, tais como transparência e autodeterminação informativa.

4.24. A parte quatro, apresenta recomendações para a disponibilização de acesso ou compartilhamento de dados pessoais para fins de realização de estudos e pesquisas. A LGPD previu regime jurídico que reconhece a possibilidade de disponibilização de acesso a dados pessoais, inclusive os de natureza sensível, para fins de realização de estudos e pesquisas, desde que observadas as normas e as medidas de prevenção e de segurança pertinentes.

(iii) inclusão da hipótese de "obrigação legal" (além de "exercício regular de direitos") para a finalidade de "atuar em processos judiciais", uma vez que a ANPD pode ser obrigada a fornecer informações pessoais em cumprimento a uma determinação legal, como, por exemplo, o disposto no Marco Civil da Internet quanto à guarda e fornecimento de dados de usuários de internet; e

**caso não consiga exercer seus direitos perante o controlador. A comunicação à ANPD pode se dar por meio de uma petição de titular, ou, ainda, por meio de denúncia, em caso de suposta infração da LGPD, quando não for aplicável a petição de titular.**

Assim, ao adaptar a concepção europeia para o cenário da LGPD, pode-se entender o conceito de controladoria conjunta como “a determinação conjunta, comum ou convergente, por dois ou mais controladores, das finalidades e dos elementos essenciais para a realização do tratamento de dados pessoais, por meio de acordo que estabeleça as respectivas responsabilidades quanto ao cumprimento da LGPD”.

2.34.Ainda sobre a estrutura, o item 3 trata do legítimo interesse e o poder público, oportunidade em que se ressaltou que a sua utilização não éapropriada quando o tratamento de dados pessoais é realizado de forma compulsória ou quando for necessário para o cumprimento de obrigações e atribuições legais do Poder Público, nos termos da LGPD. Isto porque, segundo o Guia “..no exercício das obrigações legais do Poder Público, não há como se realizar, apropriadamente, uma ponderação entre as expectativas dos titulares,bem como seus direitos e liberdades fundamentais, e os supostos interesses ou obrigações do Estado, visto que existe uma assimetria de forças que pode,conforme o caso, estabelecer restrições aos direitos individuais."

4.31. Também suprimi a recomendação de que o encarregado estivesse “sempre” disponível, por entender que essa expressão poderia sugerir, equivocadamente, a exigência de um regime de atendimento conXnuo (24/7), o que carece de fundamentação legal, considerando, ainda, que a disponibilidade deve ser compaXvel com a razoabilidade e a necessidade

4.30. Optei por substituir o termo “assessorar” por “apoiar”, evitando interpretações que vinculassem a função do encarregado à criação de cargos formais, como o de assessor, algo que não encontra respaldo na legislação. Essa alteração visa reforçar a clareza funcional do encarregado, alinhando-se à linguagem prevista no Regulamento. 4.31. Também suprimi a recomendação de que o encarregado estivesse “sempre” disponível, por entender que essa expressão poderia sugerir, equivocadamente, a exigência de um regime de atendimento conXnuo (24/7), o que carece de fundamentação legal, considerando, ainda, que a disponibilidade deve ser compaXvel com a razoabilidade e a necessidade

4.33. No tocante ao Registro de Operações de Tratamento, excluí exemplos detalhados, considerando que a ANPD ainda não consolidou um modelo padronizado, e porque todos os tratamentos devem ser registrados, em conformidade com o art. 37 da LGPD. 4.34. Retirei menções à Agenda Regulatória, com vistas a garantir a atemporalidade do documento, e substituí descrições normativas por referências bibliográficas. 4.35. Quanto ao tópico Conflito de Interesses, excluí o exemplo 10 e ajustei as abordagens relacionadas, concentrando-me em situações que possam comprometer a autonomia técnica do encarregado, como a acumulação de funções incompaXveis (exemplo: chefe de TI e encarregado), uma vez que a análise de impactos concorrenciais decorrentes da disseminação de informações confidenciais ultrapassa o escopo da LGPD. 4.36. Retirei menções à atuação do encarregado como “isenta” ou “imparcial”, esclarecendo que sua função está orientada à proteção dos direitos dos titulares, conforme previsto no art. 18 do Regulamento, que destaca a necessidade de ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse. 4.37. Além disso, retiro as menções ao entendimento de outros organismos sobre o conflito de interesse envolvendo o encarregado, porque a ideia do Guia é explicar as balizas para identificação de eventual conflito de interesse, deixando a análise do caso concreto para os agentes de tratamento. 4.38. Essas alterações foram realizadas com o objetivo de aprimorar a objetividade, clareza e funcionalidade do Guia, garantindo sua conformidade com as diretrizes legais e regulamentares aplicáveis. 4.39. Diante disso, considero pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revisada e consolidada do Guia Orientativo - Atuação do Encarregado pelo Tratamento de Dados Pessoais (SEI nº 0157209), à apreciação dos demais membros do Conselho Diretor.

“§1º A política simplificada de segurança da informação deve levar em consideração os custos de implementação, bem como a estrutura, a escala e o volume das operações do agente de tratamento de pequeno porte, bem como a sensibilidade e a criticidade dos dados tratados diante dos direitos e liberdades do titular.”

É importante lembrar que as medidas de segurança devem ser adequadas ao tipo de dado que está sendo tratado e ao risco associado ao tratamento desses dados.

As modificações se fundamentam na imprescindibilidade de a ANPD se atentar para os deveres de prevenção estabelecidos pelo Estatuto Digital da Criança e do Adolescente (vide art. 5º, Lei nº 15.211/2025). Entende-se que os deveres inscritos nos arts. 7º, 9º e 10 da Lei nº 15.211/2025 são de alta relevância para a proteção dos direitos de crianças e adolescentes no ambiente digital, notadamente por se relacionarem ao design de serviços e produtos digitais. Os deveres mencionados dão maior detalhamento a normas como a prevista no art. 5º, § 1º, da Lei nº 15.211/2025, que determina que os fornecedores dos produtos ou serviços de tecnologia da informação regulados pelo Estatuto deverão adotar medidas técnicas adequadas, inclusive mecanismos de segurança amplamente reconhecidos, que possibilitem à família e aos responsáveis legais prevenir o acesso e o uso inadequado por crianças e adolescentes.

Pode-se afirmar que esses deveres revelam uma opção legislativa de promover a segurança digital por design ou desde a concepção (safety by design). Abordagens regulatórias por design visam incorporar valores jurídicos e salvaguardas desde o estágio inicial de desenvolvimento de produtos e serviços, de forma a compatibilizar seus padrões e arquiteturas tecnológicas com preceitos como privacidade e segurança. Isto é, trata-se de abordagem que tem o propósito de influenciar — ou mesmo vincular juridicamente — designers, inovadores, provedores de serviços e outros atores relevantes, em todo processo de desenvolvimento e/ou de implantação de tecnologias digitais (Organisation for Economic Co-operation and Development. Towards digital safety by design for children. Paris: OECD Publishing, 2024, p. 11. Disponível em: https://doi.org/10.1787/c167b650-en).

4.3.15. Em terceiro lugar, adicionei esclarecimento expresso no sentido de que, ainda que exista complementaridade entre o ECA Digital, o Estatuto da Criança do Adolescente (ECA), o Código de Defesa do Consumidor (CDC) e a Lei Geral de Proteção de Dados Pessoais (LGPD), deve-se respeitar coerência com a abordagem regulatória baseada no risco adotada pela Lei 15.211/2025, em que obrigações e deveres dos agentes regulados são dimensionados de acordo com o risco do produto ou serviço.

4.3.17. O ECA Digital, por sua vez, ao partir de uma abordagem baseada no risco, preocupa-se não apenas com o resultado danoso e a obrigação de responder pela ocorrência ou concretização do risco. Desde a etapa de desenvolvimento e design do produto ou serviço de tecnologia da informação, surgem deveres jurídicos (ex ante) de identificação, avaliação e mitigação dos riscos de violação a direitos das crianças e adolescentes. É essa lógica que deve orientar a interpretação da Lei.

4.3.3.44. Fiz uma alteração neste dispositivo, a fim de constar que as disposições do Regulamento aplicam-se aos processos de comunicação de incidente em curso quando da sua entrada em vigor, respeitados, entretanto, os atos processuais ja praticados e consolidados, considerando a natureza processual da norma em questão.

“As alterações promovidas por esta Resolução se aplicam a todos os processos em andamento quando de sua entrada em vigor, respeitados os atos processuais já praticados.” | Manutenção da redação proposta. | A previsão concilia a incidência imediata da nova disciplina com a preservação da validade e da eficácia dos atos anteriormente realizados, garantindo segurança jurídica aos regulados.

“Art. 3º As alterações promovidas por esta Resolução se aplicam imediatamente a todos os processos em curso quando de sua entrada em vigor, respeitados os atos processuais já praticados e as situações jurídicas consolidadas.” | Aperfeiçoamento da redação, que explicita a incidência imediata da norma de natureza procedimental e ressalva, além dos atos processuais já praticados, as situações jurídicas consolidadas, conciliando efetividade e segurança jurídica.

4.3. Com base nos atos normativos citados, conclui-se pela competência do Conselho Diretor para apreciar o recurso apresentado. A decisão do colegiado deve ser proferida no prazo de cinco dias contados do recebimento do recurso, prazo este que se encerra no dia 30/09/2024, conforme informado no processo pela Ouvidoria (SEI nº 0146570).

4.3. Com base nos atos normativos citados, conclui-se pela competência do Conselho Diretor para apreciar o recurso apresentado. A decisão do colegiado deve ser proferida no prazo de cinco dias contados do recebimento do recurso, prazo este que se encerra no dia 14/10/2024, conforme informado no processo pela Ouvidoria (SEI nº 0149640).

4.3. Com base nos atos normativos citados, conclui-se pela competência do Conselho Diretor para apreciar o recurso apresentado. A decisão do colegiado deve ser proferida no prazo de cinco dias contados do recebimento do recurso, prazo este que se encerra no dia 04/11/2024, conforme informado no processo pela Ouvidoria (SEI nº 0153198).

4.15. Seguindo a orientação do precedente da CGU, entendo que o recurso não deve ser admitido, uma vez que o pedido consiste em consulta jurídica e não apresenta solicitação de acesso à informação produzida ou detida pela ANPD. Tal tipo de solicitação, ainda segundo a orientação da CGU, configura-se como manifestação de ouvidoria e se encontra fora do escopo da LAI.

4.11. Seguindo a orientação do precedente da CGU, entendo que o recurso não deve ser admitido, uma vez que o recorrente não apresenta solicitação de acesso à informação produzida ou detida pela ANPD. Tal tipo de solicitação, ainda segundo a orientação da CGU, configura-se como manifestação de ouvidoria e se encontra fora do escopo da LAI.

4.3. Nessas circunstâncias, não seria possível o atendimento do pedido pelos meios utilizados, uma vez que o canal da LAI se destina exclusivamente ao fornecimento de informações públicas, e não à apuração de situações individuais relacionadas a dados pessoais.

4.22. O inciso II do art. 12 passa a adotar a "data de recebimento" do AR como data de intimação, seguindo, nesse ponto, a praxe administrativa adotada em outros órgãos públicos. Destaco que, mesmo no processo administrativo fiscal, no qual as formalidade são mais robustas, é esse o parâmetro adotado, conforme expresso no art. 23, § 2º, II, do Decreto nº 70.235/1972.

4.20. A alteração efetuada no caput do art. 8º visa compatibilizar a regra de contagem de prazo com o que estabelecem a Lei nº 9.784/1999 (art. 66) e o Código de Processo Civil (art. 224). Em ambos os casos, exclui-se o "dia do começo" da contagem do prazo e não o "dia útil da intimação", conforme previa a minuta original. Registre-se que a data de cientificação, para cada uma das hipóteses de intimação, está definida no art. 12.

4.21. Ainda no art. 8º, o novo § 2º detalha a hipótese de indisponibilidade do sistema eletrônico de peticionamento, passando a considerar 3 horas de interrupção entre 6h00 e 23h00 ou qualquer indisponibilidade ocorrida na hora final do prazo, isto é, entre 23h e 24h. Com isso, confere-se maior objetividade e segurança à regra, seguindo-se, ademais, parâmetro similar ao adotado pelo Poder Judiciário, como, por exemplo, o disposto no art. 11 da Resolução nº 185, de 18 de dezembro de 2013, do Conselho Nacional de Justiça.

4.23. As demais alterações são todas de ordem formal. Destaco que a nova redação proposta para os artigos 12, VI e 13, II e IV, visa ajustar esses dispositivos ao que estabelecem, respectivamente, os artigos 26, § 3º e 9º, II e IV, da Lei nº 9.784/1999. Como os dispositivos alterados reproduzem normas desta Lei, o mais adequado é evitar incluir expressões ou referências a outros dispositivos legais que possam limitar, injustificadamente, os direitos dos administrados.

4.25. No § 3º do art. 15 foram efetuados apenas ajustes de ordem formal, a fim de deixar claro que as medidas de prevenção podem ter por objetivo tanto reconduzir o agente à conformidade com a legislação quanto, em alternativa, evitar situações de risco e dano aos titulares. Por sua vez, no § 4º do art. 15 foi substituída a referência à Lei nº 13.709, de 2018, por "LGPD", o que também foi objeto de ajuste em outros dispositivos do regulamento, conforme se pode observar na versão com marcas de revisão juntada aos autos.

§ 1º Além dos requisitos de admissibilidade indicados no caput deste artigo, a petição de titular deverá ser acompanhada de comprovação de que foi previamente submetida ao controlador e não solucionada no prazo estabelecido em regulamentação, admitida a autodeclaração do titular quando não for possível apresentar outro meio de prova.

4.38. No § 1º do art. 26 foi efetuada apenas a substituição da palavra "reclamação" por "requerimento", pois também é possível a análise individualizada de denúncias, espécie de comunicação abrangida pelo conceito de "requerimento", conforme definido no art. 4º, VI.

4.43. A Seção I trata do do procedimento preparatório, no qual são realizadas averiguações preliminares a fim de levantar mais informações nos casos em que os indícios de prática de infração ainda não são suficientes para a instauração de processo sancionador. O art. 42 prevê que, após a regular instrução, o procedimento será arquivado ou dará ensejo a um processo sancionador. A alteração proposta visa apenas ressalvar a existência de uma terceira hipótese: a possibilidade de adoção de medidas de orientação ou prevenção, conforme o caso.

§ 4º A ANPD poderá admitir a utilização de prova produzida em outro processo, administrativo ou judicial, inclusive por autoridades de proteção de dados de outros países, atribuindo-lhe o valor que considerar adequado, observados o contraditório e a ampla defesa.

Importante ressaltar que, mesmo nas hipóteses em que indeferido o pedido de admissibilidade, os terceiros poderão exercer o seu direito de constitucional de petição, apresentando à ANPD eventual manifestação sobre o caso, que será objeto de tramitação própria, conforme os procedimentos de praxe para a hipótese.

4.50. Seguindo o modelo consagrado no processo civil, os critérios para a admissão do terceiro interessado foram indicados no § 1º. O § 2º estabelece que será irrecorrível a decisão sobre a admissibilidade, ocasião na qual, em caso de deferimento, também serão indicadas as prerrogativas conferidas ao interessado. O § 3º esclarece que o terceiro receberá o processo no estado em que se encontra, o que significa que não haverá repetição de atos processuais ou reabertura de prazos.

4.58. No art. 62, o § 1º (conforme numeração original) foi excluído, tendo em vista a inclusão do novo § 5º. Assim, ao invés de mera ciência, foi criada uma hipótese de reexame necessário pelo Conselho Diretor das decisões em que houver exoneração total da sanção originalmente imposta. Por exemplo, caso aplicada uma multa e, na análise do recurso, a Coordenação-Geral de Fiscalização entenda pela revisão integral da decisão, exonerando o agente da obrigação de pagar a multa estabelecida, essa nova decisão deverá, obrigatoriamente, ser submetida à apreciação do Conselho Diretor.

4.64. O novo § 1º proposto para o art. 69 consagra uma boa prática administrativa, no sentido de que, caso apresentado pedido de revisão, a matéria será distribuída a outro diretor, distinto daquele que relatou o processo objeto de revisão.

4.18. Acrescente-se que o art. 4º, § 1º, III, b, da Lei Complementar nº 182/2021 estabelece o enquadramento no regime especial Inova Simples como um dos requisitos que pode caracterizar uma startup. Por sua vez, o art. 65-A da Lei Complementar nº 123/2006 determina que o regime especial do Inova Simples é aplicável às "empresas de inovação". Dessa forma, constata-se que a própria legislação de regência adotou um conceito amplo de startup, no qual se incluem as empresas de inovação, justificando-se, por tal motivo, a adoção apenas do primeiro conceito no regulamento da ANPD.

4.21. Assim, ainda que se enquadre na definição prevista no art. 2º, I, o agente de pequeno porte estará excluído do tratamento diferenciado previsto no regulamento se (i) realiza tratamento de alto risco; ou (ii) aufere receita bruta superior ao limite previsto para as empresas de pequeno porte ou, se for o caso, para as startups, seja diretamente ou ao se considerar a receita global do grupo econômico do qual faz parte. A contrario sensu, insere-se no âmbito de incidência do regulamento: (i) o agente de tratamento de pequeno porte (art. 2º, I); (ii) que não realiza tratamento de alto risco; e (iii) não aufere receita bruta superior ao limite previsto para as empresas de pequeno porte ou, se for o caso, para as startups.

4.22. Em relação ao critério da receita bruta, deve-se considerar que, exclusivamente no caso de startups, há limite específico de faturamento, de até R$ 16 milhões, conforme art. 4º, § 1º, I, da Lei Complementar nº 182/2021. Este limite é superior ao previsto para as empresas de pequeno porte, a ser observado por todos os demais agentes de tratamento de pequeno porte, que é de até R$ 4,8 milhões (art. 3º, II, Lei Complementar nº 123/2006).

4.25. Importante destacar que, mesmo que realize tratamento de alto risco, o agente de tratamento de pequeno porte poderá se beneficiar da possibilidade de se organizar por meio de entidades de representação da atividade empresarial para fins de negociação, mediação e conciliação de reclamações apresentadas por titulares de dados (art. 8º), conforme ressalva feita na parte final do art. 3º, I. Neste caso, todas as demais obrigações deverão ser cumpridas pelo agente de tratamento, incluindo a indicação de encarregado, o que se justifica tendo em vista a necessidade de assegurar um maior e efetivo grau de proteção aos titulares nas situações em que são maiores os riscos aos seus direitos e interesses.

4.30. Em relação às alterações efetuadas no art. 4º, na alínea "d" do inciso II foi incluída a frase "ou de dados pessoais", com objetivo de afastar eventual interpretação, que poderia decorrer da redação anterior, de que a alínea estaria se referindo apenas a dados sensíveis de crianças, de adolescentes e de idosos. Já no § 2º, proponho incluir expressa referência à "integridade física" do titular dos dados, complementando as menções exemplificativas ao direito à imagem e à reputação, direitos que compõem a integridade moral dos titulares. Por fim, no § 3º foi efetuada apenas ajuste de ordem formal, com o fim de adotar a ordem direta da frase, seguindo a melhor técnica legislativa.

Ele foi alterado de forma a conter duas categorias de critérios: gerais e específicos, de forma que é considerado de alto risco o tratamento de dados pessoais que atender cumulativamente a pelo menos um critério geral e um critério específico. Os critérios gerais são larga escala e afetar significativamente direitos dos titulares. Os critérios específicos são tecnologias emergentes ou inovadoras, vigilância ou controle de zonas acessíveis ao público, tratamento automatizado de dados pessoais e dados pessoais sensíveis, de crianças e adolescentes e de idosos, conforme pode ser observado na tabela a seguir Critérios gerais Larga escalaAfetar significativamente direitos dos titulares Critérios específicos • tecnologias emergentes ou inovadoras; • vigilância ou controle de zonas acessíveis ao público; • tratamento automatizado de dados pessoais; ou • dados pessoais sensíveis, de crianças e adolescentes e de idosos

4.40. O art. 6º afasta a possibilidade de ampliação das obrigações dispensadas ou flexibilizadas no regulamento, ao circunscrever estas ao estritamente previsto na norma e indicar que as demais disposições da LGPD devem ser cumpridas regularmente. A redação é a seguinte: Art. 6º A dispensa ou flexibilização das obrigações dispostas neste regulamento não isenta os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como direitos dos titulares.

4.42. O art. 11 do regulamento dispensa os agentes de tratamento de pequeno porte de indicar o encarregado, conforme autoriza o art. 41, § 3º, da LGPD. Nestas hipóteses, será necessário disponibilizar um canal de comunicação com o titular, na forma prevista no § 1º do art. 10. Já o § 2º do mesmo artigo incentiva os agentes de pequeno porte a efetuar a indicação de encarregado ao considerá-la como "política de boa prática e governança", critério que poderá ser considerado, em benefício do agente, em eventual processo sancionador, conforme previsto no art. 52, § 1º, IX, da LGPD.

5.13. Além de conferir maior transparência, previsibilidade e segurança jurídica para os agentes de tratamento, o modelo proposto assegura maior flexibilidade e dinamismo à atuação da ANPD. Como consequência, o foco do processo sancionador é ampliado, visando não à aplicação e à cobrança de multas como um fim em si mesmo, mas, sim, a adoção de medidas adequadas e proporcionais ao risco identificado e à postura dos agentes regulados, visando garantir a conformidade destes com a legislação.

5.36. Além de facilitar a compreensão do conceito, a definição proposta expressa, de forma objetiva, que o agente de tratamento pode implementar normas e processos internos tanto com base em regras de boas práticas e de governança (por exemplo, estabelecidas por associações, conforme art. 50, caput, da LGPD) quanto com base em programa de governança em privacidade, conforme § 2º do art. 50, da LGPD. Ambas as hipóteses, portanto, poderão ser consideradas atenuantes, conforme previsto no art. 15, II, da minuta.

5.46. Deve-se anotar, ainda, que a classificação das infrações se baseia em um juízo sobre a reprovação da conduta abstratamente considerada, com base na gravidade da conduta e nos direitos pessoais afetados. Essa definição não se confunde com o grau de dano gerado no caso concreto. De fato, este último critério (o grau do dano) é objeto de avaliação específica, a ser considerada no cálculo da multa, conforme definido no Apêndice I.

(f) *Tratamento com efeitos discriminatórios ilícitos ou abusivos.* Esta hipótese, que se baseia no princípio da não discriminação (art. 6º, IX, LGPD), já estava prevista na proposta da CGN e foi mantida, com a devida reformulação;

5.49. A infração grave será caracterizada quando constituir obstrução à atividade de fiscalização (inciso II) ou quando presentes uma ou as duas hipóteses de infração média (“larga escala” ou “afetar significativamente interesses e direitos dos titulares”) acrescidas de, pelo menos, uma das seguintes hipóteses, elencadas no inciso I:

5.47. De acordo com a alteração sugerida, a infração será média quando envolver tratamento em larga escala ou afetar significativamente interesses e direitos fundamentais dos titulares, desde que não estejam presentes, no caso, as hipóteses específicas da infração grave. Esses conceitos já estavam na proposta da CGN e foram utilizados na Resolução CD/ANPD nº 2/2022, que dispõe sobre os agentes de tratamento de pequeno porte.

(b) *Risco à vida ou à integridade física dos titulares.* Esta hipótese foi inserida, tendo em vista o evidente alto grau de reprovação da conduta e de impacto aos titulares quando envolvidos riscos à vida ou à integridade física;

(a) *Vantagem econômica.* Esta hipótese já estava prevista na proposta da CGN. A alteração é no sentido de excluir o termo “diretamente”, o qual pode ser de difícil comprovação prática. Pela mesma razão, e seguindo orientação da Procuradoria (item 61 do Parecer nº 00009/2022/GAB/ASJUR-ANPD/CGU/AGU, SEI nº 3394037), foi excluída, como hipótese de infração média, a ação de “pretender auferir vantagem econômica”. Assim, com as alterações sugeridas, caso o infrator aufira ou pretenda auferir vantagem econômica (direta ou indiretamente), a infração será considerada grave;

(e) *Prevalecer-se da fraqueza ou ignorância do titular, tendo em vista sua idade, saúde, conhecimento ou condição social.* Esta hipótese reproduz, parcialmente, o disposto no art. 39, IV, do Código de Defesa do Consumidor. Este dispositivo dispõe sobre as práticas abusivas no ambiente das relações de consumo. No contexto da proteção de dados pessoais, a importância de contemplar regra similar, com o objetivo de qualificar uma infração como grave, decorre do desbalanceamento de forças ou, ainda, da assimetria de informações que, muitas vezes, se apresenta entre agentes de tratamento e titulares. Assim, a hipótese citada expressa a alta reprovação e gravidade da conduta do infrator que se vale da vulnerabilidade do titular para realizar tratamento de dados pessoais de maneira irregular.

5.53. O art. 11 estabelece hipóteses em que cabível a aplicação da multa simples. Proponho **excluir o inciso III do art. 11**, que se refere à obtenção de vantagem econômica. Como visto acima, esta mesma hipótese (auferir vantagem econômica) é uma qualificadora da infração grave, o que, por si só, já autoriza a aplicação da multa, conforme previsto no inciso II do mesmo artigo.

5.58. No art. 13, a alteração no inciso I tem por finalidade enfatizar que será observado o limite máximo da multa, ainda que o dobro da vantagem auferida supere o referido parâmetro, conforme previsto no inciso II.

5.62. A primeira alteração concentra no inciso I, que passa a ser dividido em três alíneas, as hipóteses anteriormente previstas nos incisos I, II e III. O objetivo é facilitar a compreensão e deixar claro que estas três hipóteses são excludentes entre si. Ou seja, somente será aplicável ao caso concreto uma das três, de acordo com o momento em que verificada a atenuante.

5.63. A alteração no inciso II, mediante a incorporação da hipótese anteriormente prevista no inciso V, segue a recomendação da Procuradoria de agrupar hipóteses muitos similares, a fim de evitar a redução excessiva da multa e a fragilização do processo sancionador. Assim, a adoção de mecanismos internos capazes de minimizar o dano e o estabelecimento de políticas de boa prática e governança serão avaliados em conjunto, a fim de verificar a possibilidade de redução de 20% no valor da multa aplicada.

5.65. Em relação ao art. 16, seguindo a explicação da área técnica, e considerando que a mera referência à questão no art. 13 pode suscitar dúvidas quanto a esse ponto, proponho incorporar no regulamento, de forma expressa, o comando de que, em qualquer hipótese, isto é, ainda que incidam no caso as atenuantes de maior valor previstas no art. 15, será aplicado o valor mínimo da multa, conforme previsto no Apêndice II.

5.66. Finalmente, proponho excluir o art. 17, pois o dispositivo traz indicação genérica de que devem ser considerados a “condição econômica do infrator” e a “vantagem econômica auferida” na determinação final do valor da multa, sem indicar de que forma esses critérios são definidos e aplicados ou, mesmo, sem apresentar qualquer vínculo objetivo com a metodologia definida no Apêndice I. Dessa forma, essa determinação ampliaria em demasia a discricionariedade da autoridade que aplica a sanção, já que esta poderia, por exemplo, reduzir ou ampliar o valor final da multa com base em parâmetros excessivamente abstratos e subjetivos, não amparados ou delimitados na metodologia de cálculo descrita no Apêndice I.

5.76. Na etapa I, a definição da alíquota-base leva em consideração o grau do dano, estipulado em uma escala de 0 a 3, de acordo com a gravidade dos danos e prejuízos gerados no caso concreto aos titulares. Mantendo a ideia geral e a escala proposta pela CGN, entendo que a descrição das hipóteses de grau do dano podem ser aprimoradas, a fim de torná-las mais objetivas, facilitar a compreensão por parte dos agentes de tratamento e a sua aplicação pela Coordenação-Geral de Fiscalização. A redação sugerida é a seguinte:

5.86. O mesmo procedimento (publicação no Diário Oficial da União e na página da ANPD na internet) deve ser observado em relação à audiência pública, com a ressalva de que a data, a hora, o local e o procedimento devem ser divulgados com pelo menos cinco dias úteis de antecedência, conforme previsto no art. 60 do Regimento Interno.

4.31. O TAC é um instrumento por meio do qual a ANPD poderá celebrar acordos com agentes de tratamento interessados em suspender processos administrativos sancionadores, mediante a assinatura de termo de compromisso em que restem definidas determinadas condições de readequação, mitigação de eventuais danos, entre outras propostas a serem atendidas pelo agente signatário como alternativa à aplicação das sanções previstas no artigo 52 da LGPD.

4.32. Trata-se, portanto, de ferramenta adicional à imposição de sanções administrativas pela Autoridade, com potencial para auxiliar na celeridade e na efetividade do processo administrativo sancionador e incentivar a participação dos agentes infratores no processo de recondução à lei.

4.58. Desta forma, julgo que a proposta constante na nota técnica, para que a ANPD seja responsável pela guarda de comunicações de incidente, por exemplo, para a finalidade de instruir eventual ação de reparação, ou outra demanda, a ser manejada pelos titulares de dados envolvidos no incidente, não reflete a melhor alternativa normativa sob a perspectiva da ANPD. 4.59. Na verdade, entendo que tal atribuição deve ser mantida na esfera de responsabilidade do próprio controlador, em linha com o disposto no caput do artigo 18 da LGPD, que estabelece o direito ao titular de obter do controlador, informações relacionadas ao tratamento por ele realizado.

4.52. Nesse contexto, julgo pertinente que o prazo para registro das informações sobre incidentes de segurança com dados pessoais, inclusive aqueles não comunicados à ANPD e aos titulares, seja alterado dos atuais 2 (dois) anos para 5 (cinco) anos, garantindo, assim, a efetividade de uma eventual atuação fiscalizatória pela ANPD, bem como assegurando a possibilidade de ação pelos titulares afetados diante de incidentes de segurança não comunicados pelo controlador.

2.103. Quanto à terceira interpretação, reforça-se o entendimento de que, por força do disposto no art. 14, § 1º, da LGPD, quando o tratamento de dados de crianças for realizado com base na hipótese legal do consentimento, este deve ser obtido por pelo menos um dos pais ou responsável legal de forma específica e destacada, ainda que não abrangidos, no caso, dados pessoais sensíveis. Nesse sentido, compreende-se que a própria Lei não vedou a aplicação das demais hipóteses legais, que não o consentimento, ao tratamento de dados pessoais de crianças. Assim, o consentimento para o tratamento de dados pessoais de crianças poderá ser utilizado sempre de forma específica e em destaque, conferido por pelo menos um dos pais ou responsável legal, desde que essa seja a hipótese legal mais apropriada ao caso concreto e de acordo com o melhor interesse da criança.

A segunda situação consiste em que a LGPD estabeleceu, em seu art. 5°, inciso II, o conceito de dados pessoais sensíveis, que não incluiu em seu rol - que considero taxativo - os dados de crianças e adolescentes, mas somente certos tipos de dados, e não categoria de titulares.

4.25. Desta forma, o melhor interesse da criança e do adolescente deve sempre prevalecer quando em cotejo com outras circunstâncias ou interesses eventualmente aplicáveis ao tratamento no caso concreto, exigindo a cautelosa avaliação por parte do controlador, sempre devidamente fundamentada e registrada, quanto à sua observância. Por fim, entendo que o tratamento de dados pessoais não deve observar somente o caput do artigo 14, mas sim todos os seus dispositivos.

4.36. Caso consideradas “adequadas”, as cláusulas-padrão contratuais equivalentes poderão ser utilizadas como modalidade válida de transferência internacional, observadas as condicionantes estabelecidas pela ANPD.

4.10. Relativamente à definição do encarregado, a LGPD o define em seu art. 5º, inciso VIII, como a “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD”. O art. 2º, II, da minuta de Regulamento estabelece que o encarregado pode ser tanto pessoa natural, quanto pessoa jurídica, ou seja, não se restringe apenas à pessoa natural. Entendo que essa medida é pertinente, para ampliar a oferta de prestadores de serviços e, possivelmente, reduzir os custos de contratação para aqueles agentes de tratamento de pequeno porte, que ainda que dispensados do dever de indicação pretendam fazê-lo.

4.6. Com relação à realização de consulta pública, a CGN, por meio da Nota Técnica nº 86/2023/CGN/ANPD, item 2.11.3 (SUPER nº 4773402) entendeu não haver necessidade desse instrumento de consulta à sociedade, pois busca-se tão somente a alteração da priorização de dois itens da Agenda Regulatória, no que aquiesço, considerando que não se trata de acréscimo ou de exclusão de itens da referida Agenda, mas apenas de realocação de Fase dos dois itens, objetivando concentrar os esforços da área técnica da Autoridade em itens de maior impacto e transversalidade às instituições públicas e privadas, de reflexos diretos ao titular, permitindo a devida construção de instrumentos basilares, imprescindíveis à completa tratativa dos referidos itens da Agenda Regulatória.

Judiciário, que somente atua quando acionado pela parte, a ANPD, como instituição que tem como atribuição “zelar pela proteção dos dados pessoais”(art. 55-J da LGPD), pode e deve atuar ainda quando não provocada, quando estiver diante de situações que mereçam este tipo de atuação. Em outras palavras, tendo sido comunicado um incidente, nos termos do art. 48 da LGPD,este deve ser recebido, sob o risco de se inverter a lógica protetiva da comunicação de incidentes de segurança.

Diante da aplicação desses critérios, podemos concluir que o tratamento de dados pessoais de crianças e adolescentes com base na hipótese do legítimo interesse tende a ser mais apropriado em situações nas quais há uma relação prévia e direta do controlador com os titulares e quando o tratamento visa a assegurar a proteção de seus direitos e interesses ou viabilizar a prestação de serviços que os beneficiem.Caso essas condições não estejam presentes, o controlador deve adotar cautela adicional, avaliando a e existência de formas alternativas e menos invasivas para os titulares. (Guia Orientativo - Legítimo Interesse, p. 10-11, Disponível em:

4.64.Considere-se, ademais, que a eventual continuidade do tratamento dos dados pode gerar uma situação de fato consumado, de difícil reversão, uma vez que pode ser complexa a operação técnica de excluir determinados dados pessoais eventualmente utilizados para treinar os sistemas de IA.

4.62. Registre-se que obrigação de natureza similar está prevista no art. 12, § 2º, do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021, segundo o qual “art. 12 [...] § 2º o interessado deve informar, na primeira oportunidade em que se manifeste no processo, endereço eletrônico válido em que receberá as comunicações”. Assim, constitui ônus da parte interessada apresentar à ANPD as suas informações de contato, incluindo o nome de seus representantes e respectivos endereços eletrônicos.

4.68. O art. 18 (numeração original) foi excluído por se tratar de regra desnecessária e que foge ao escopo do presente Regulamento. Isso porque a existência de sigilo funcional é obrigação que se impõe, em maior ou menor medida, sobre todos os empregados, inclusive os do setor privado, observados os regramentos próprios e específicos, inclusive de natureza contratual, quando for o caso. Assim, não se demonstra adequado que a ANPD estabeleça regra genérica sobre sigilo funcional do encarregado, sem considerar as peculiaridades que alcançam, de forma distinta, o setor público e o setor privado, além dos diversos arranjos institucionais ou contratuais que podem ser estabelecidos nos mais diversos contextos.

6.13. Isto significa dizer que, na aplicação dos referidos Decretos, é imperiosa a observância harmônica dos preceitos de proteção de dados pessoais estabelecidos pela LGPD, dentre eles o art. 48, caput, o qual determina “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”

6.16. Neste contexto, reforça-se, tais informações específicas, de que trata o art. 15 do Decreto nº 10.748/2021, as quais são consideradas imprescindíveis à segurança da sociedade e do Estado, e que são passíveis de classificação na forma do art. 23 da Lei nº 12.527/2011, não englobam (e nem poderiam englobar) o sigilo do próprio incidente de segurança, bem como das informações elencadas no art. 48, parágrafo primeiro, da LGPD. Tanto é verdade que o art. 3º Decreto nº 10.748/2021 elenca dentre os objetivos, entre outros, a divulgação de informações sobre ataques cibernéticos e o compartilhamento de alertas sobre ameaças e vulnerabilidades. O contexto normativo em que se insere o tema evidencia aplicação complementar entre as normas e não excludentes.

7.9. A boa-fé do infrator e a pronta adoção de medidas corretivas, ademais, são apenas alguns dos parâmetros que devem ser considerados na definição da sanção, conforme preceitua o art. 7º da RESOLUÇÃO CD/ANPD Nº 4/2023. São considerados ainda, por exemplo, a gravidade e a natureza das

7.12. Quando à gravidade da infração, a CGF considerou-a, inicialmente, como média, na forma do art. 8º, parágrafo segundo, da RESOLUÇÃO CD/ANPD Nº 4/2023. A falta de comunicação do incidente de segurança aos titulares pode afetar significativamente interesse e direitos fundamentais dos titulares de dados pessoais.

7.23. Conclui-se, portanto, que a CGF, diante do contexto do caso concreto, qual seja, o de alegada impossibilidade técnica por parte do INSS de comunicar individualmente os titulares afetados, não teve outra opção senão determinar a comunicação universal do incidente de segurança, na forma do art. 32, parágrafo segundo, inciso I, da RESOLUÇÃO CD/ANPD Nº 1/2024, a fim de salvaguardar os direitos dos titulares.

7.25. Ao contrário do que fora alegado pelo INSS, portanto, a realização do interesse público primário ocorre, justamente, com a comunicação do incidente de segurança aos titulares afetados, por se tratar de procedimento que visa à garantia do direito fundamental de proteção de dados pessoais, insculpido no art. 5º, inciso LXXIX, da Constituição Federal.

4.23.Ademais, a proporcionalidade da sanção aplicada foi devidamente demonstrada pela CGF no Relatório de Instrução nº2/2024/FIS/CGF/ANPD (SEI nº 0057714). Nesse sentido, apesar da natureza grave da infração e da desnecessidade de adoção de medidas corretivas, o que, a princípio, em face do disposto no art. 9º do Regulamento de Fiscalização, afastaria a aplicação de advertência, a área técnica considerou como atenuante a realização da comunicação aos titulares após a instauração do PAS e antes da decisão de primeira instância. Vale dizer, em razão da cessação da infração e do interesse público que justificou a necessidade do tratamento de dados no caso, a área técnica considerou que aplicar uma sanção mais grave, a exemplo de publicização da infração ou proibição de realização tratamento de dados, seria medida desnecessária e desproporcional.

7.47.A autuada argumenta, ainda, que o incidente não teria ocasionado prejuízos à Administração Pública. Esse é um aspecto que não cabe na discussão da LGPD: esta Lei visa a proteger os titulares de dados pessoais, oferecendo diretrizes e parâmetros para que o tratamento desses dados ocorra de maneira adequada. A existência de eventuais prejuízos à Administração Pública em decorrência de incidentes de segurança que envolvem órgãos públicos como agente de tratamento é irrelevante para caracterizar ou afastar violações à LGPD.

4.3.3.46.A minuta traz o termo “em prazo razoável", para fins de obrigação de notificação à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação. Entretanto, entendo que o termo "imediata", utilizado anteriormente, é mais adequado ao contexto da situação, motivo pelo qual proponho a alteração.

4.11.É importante ressaltar que o eventual não cumprimento do plano de conformidade pelo agente regulado pode ensejar, entre outras medidas, a instauração de processo sancionador, hipótese que configurará circunstância agravante, conforme previsto no art. 31, § 2º,do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº1/2021.

3.11. Neste sentido, conforme destacou o Parecer (0134751): Segundo a norma em destaque, portanto, determina-se disciplina específica e própria para o tratamento de dados de crianças e adolescentes, que deve ser observada pelos agentes de tratamento, assim como é indicado que essa interpretação e aplicação deve se dar de modo coerente com a “legislação pertinente”, o que remete, em especial, ao Estatuto da Criança e do Adolescente. Nesse sentido, é corretamente reconhecido um dever geral de cuidado das plataformas digitais em relação a crianças e adolescentes, como resultado da proteção constitucional e legal de que estas são destinatárias, o que abrange também, mas não somente, a proteção dos seus dados pessoais.

5.26. Assim, conforme já explicado em resposta ao primeiro argumento da empresa, a alegação de que o tratamento de dados no "feed sem cadastro" é menos intenso não afasta a gravidade da conduta. Ainda que em menor escala, e de maneira temporária, no contexto apresentado, o tratamento de dados de crianças e adolescentes configura uma violação à Lei Geral de Proteção de Dados (LGPD). O tratamento irregular, independentemente do volume de dados coletados, representa uma interferência indevida no direito à proteção de dados pessoais de crianças e adolescentes, expondo-os a riscos e comprometendo seu desenvolvimento saudável e seguro no ambiente digital.

5.27. É reprovável que a coleta de dados pessoais de crianças e adolescentes, mesmo que por período limitado, justifique os riscos e potenciais violações aos direitos dos titulares, especialmente aqueles mais vulneráveis. A busca por soluções que protejam os usuários deve ir além das medidas propostas e considerar a importância de garantir a privacidade e a segurança dos dados desde o primeiro acesso à plataforma.

4.18. De qualquer modo, cabe enfatizar que o edital não prevê a suspensão ou a não aplicação de normas previstas na LGPD. Com efeito, conforme o disposto no no art. 27, I, do edital, os participantes deverão cumprir "o regime jurídico aplicável, conforme a Lei nº 13.709, de 14 de agosto de 2018" durante o desenvolvimento das atividades do sandbox regulatório. A flexibilização mencionada está adstrita à priorização da supervisão orientativa, de modo a viabilizar a testagem em ambiente controlado, por um período previamente estabelecido, possibilitando a orientação regulatória, o aprendizado coletivo e a construção conjunta e dialogada de soluções e medidas de mitigação de risco e que viabilizem a recondução do agente de tratamento à plena conformidade.

4.7.Ressalto que o recurso administrativo interposto em processos de fiscalização ou sancionadores "terá efeito suspensivo limitado à matéria contestada da decisão", até a prolação de decisão do Conselho Diretor, em conformidade com o disposto no art. 60 do Regulamento de Fiscalização.Assim, como regra geral, os recursos possuem efeito suspensivo, salvo nas hipóteses em que verificada urgência ou fundado receio de prejuízo de difícil ou incerta reparação. Também seguindo a análise da CGF, não vislumbro, no presente caso, elementos que ensejem afastar o efeito suspensivo previsto na norma regulamentar.

4.43.Não obstante, o cumprimento da medida preventiva deve ser imediato, uma vez que seria injustificável que as irregularidades identificadas - de potencial danoso grave e de difícil reparação continuassem sendo praticadas até que a solução técnica ideal (alteração definitiva do aplicativo) venha a ser implementada.

4.31.Não se olvida que o escopo da análise aqui empreendida não se confunde com o mérito do processo de fiscalização, que analisará, de maneira mais detida, os aspectos relacionados ao modelo de negócio e as operações de tratamento. Entretanto, a realização de um exame fragmentado da proposta apresentada acaba deixando de considerar aspectos relevantes para verificação das condições objetivas que justificaram a imposição da medida preventiva. Isto porque a existência de outros elementos, quando analisados de forma integrada, pode continuar a gerar riscos de interferência indevida na manifestação informada do consentimento do titular.

5.14. Há de se ressaltar, ademais que a intenção do art. 48 da LGPD é justamente permitir que os titulares se protejam, considerando a exposição dos seus dados. Se o objetivo foi alcançado e a determinação legal foi cumprida, mediante o envio da comunicação aos titulares, não se vislumbra motivação suficiente para aplicação da penalidade, ainda que de advertência.

5.13. Por outro lado, não caberia neste momento processual, isto é, em sede de recurso, punir a recorrente ou, mais precisamente, justificar a sanção aplicada com base no argumento de eventual insuficiência ou inadequação do conteúdo das comunicações realizadas. Isto porque o fato imputado à época, e que motivou a lavratura do auto de infração, consistiu na falta de comunicação individual do incidente aos titulares e não na insuficiência ou inadequação do conteúdo de eventual comunicação – a qual, como mencionado, sequer havia ocorrido.

4.19.Ocorre que a fixação de prazos para a execução de medidas corretivas não constitui faculdade da ANPD, mas sim imposição expressa do marco legal aplicável. Nos termos do art. 55, §2º, I, do Regulamento de Fiscalização (Resolução CD/ANPD nº 1, de 28 de outubro de 2021), a decisão que impõe obrigações de fazer ou não fazer deve, quando aplicável, fixar “o prazo para execução e as condições de aferição pela ANPD, ou de demonstração pelo infrator, do cumprimento das medidas impostas”.

4.20.A definição de prazos é elemento essencial da atuação fiscalizatória da Agência, não se tratando de escolha discricionária, mas de dever indispensável à eficácia do processo sancionador e do acompanhamento do cumprimento das medidas corretivas. Portanto, como apontado pela Coordenação-Geral de Fiscalização (CGF), não é possível o estabelecimento de medida corretiva dissociada de prazo. Admitir a ausência de prazo para uma medida corretiva equivaleria transformar uma determinação de caráter vinculante e considerada necessária no curso de processo de fiscalização em mera recomendação, esvaziando sua eficácia e inviabilizando a regularização.

4.21.A exigência de prazo não elimina a possibilidade de eventuais ajustes no cronograma fixado pela CGF, desde que a necessidade para tanto seja fundamentada. O que se veda não é a possibilidade de repactuação de prazo (quando justificada), mas a indefinição temporal, que inviabiliza o monitoramento e acompanhamento do cumprimento das determinações.Assim, estabelecer um prazo não impede ajustes entre a fiscalização e o regulado, mas, ao contrário, estabelece um referencial mínimo. Admitir a execução de medida corretiva sem prazo definido geraria risco relevante e estabeleceria precedente incompatível com o modelo fiscalizatório da ANPD,comprometendo a efetividade da fiscalização e a isonomia entre agentes públicos e privados.

4.23.Nesse contexto, é importante reconhecer as particularidades de órgãos da Administração Pública para a implementação de medidas corretivas que envolvam implementação de soluções de tecnologia da informação,especialmente no que se refere a contratações, limitações orçamentárias

Essas particularidades, portanto, podem justificar pedidos de dilação ou repactuação de prazos durante a fase de monitoramento, desde que devidamente fundamentados e submetidos à apreciação da CGF.

4.35.Assim, na ausência de elementos que indiquem que as medidas se tornaram desnecessárias ou superadas, a manutenção de sua obrigatoriedade mostra-se necessária para reduzir riscos e evitar a persistência de vulnerabilidades. Reforça a percepção de pertinência das medidas o fato de que, como informa o Ministério da Saúde no aditamento ao recurso, as duas medidas estão sendo implementadas pelo órgão desde que foram apresentadas à ANPD.

Assim como prazos definidos para o cumprimento de medidas corretivas podem ser repactuados no curso do processo de fiscalização, eventuais ajustes nas medidas técnicas a serem adotadas também são possíveis. Por exemplo, é plausível a substituição de uma determinada medida por outra de natureza similar, desde que mantenha o mesmo nível de segurança e alcance os mesmos objetivos anteriormente estabelecidos na decisão de primeira instância. Tal revisão de conteúdo das medidas, no entanto, deve ser acompanhada de justificativa técnica consistente.

4.2.5. O atendimento da solicitação demandaria exame pormenorizado e individualizado de mais de seiscentos registros, com vistas à identificação e anonimização de possíveis dados pessoais, à avaliação do contexto narrativo e à mitigação de riscos de identificação direta ou indireta dos envolvidos. Este último risco é de especial relevância, tendo em vista se tratar de acesso a informações de denúncias encaminhadas à ANPD. A anonimização das mais de seis centenas de manifestações não se limita ao simples tarjamento de identificadores diretos, como nomes ou números de documentos. A proteção adequada exigiria também a análise contextual das denúncias, uma vez que referências indiretas, como cargos, unidades administrativas, locais, circunstâncias específicas ou eventos identificáveis, poderiam permitir a associação das informações a pessoas determinadas ou determináveis. Eventual disponibilização de manifestação cujo conteúdo permitiria a identificação do denunciante poderia acarretar violação da proteção da identidade do denunciante, garantia legal fundamental ao funcionamento do Sistema de Ouvidorias do Poder Executivo Federal, conforme Art. 6º, § 2º do Decreto nº 10.153/2019.

4.3.3. No artigo 9º, a Portaria 118/2024 estabelece procedimento específico para a cessão de dados de manifestações registradas na plataforma Fala.BR, a ser conduzido pela Controladoria-Geral da União, com avaliação prévia das condições de segurança, pseudonimização e das salvaguardas necessárias à proteção de dados pessoais.

4.8. Por outro lado, é importante distinguir que eventuais atividades de coleta e tratamento de dados pessoais realizadas por agregadores — inclusive mediante técnicas de raspagem de dados — podem, em tese, atrair a incidência da Lei nº 13.709/2018, desde que analisadas sob a perspectiva da proteção de dados pessoais, e não sob o enfoque de infraestrutura ou tráfego de rede. Nessa linha, diferentemente do que sustenta o requerente, a manifestação da ANPD não se exime de sua competência legal, mas apenas delimita adequadamente o objeto da atuação institucional.

5.1. Sendo a ANPD uma autarquia de natureza especial, os dados de controle de acesso de visitantes e terceiros constituem registros produzidos no exercício de função pública, estando, portanto, sujeitos ao princípio da transparência e ao direito de acesso à informação assegurado pela LAI. O acesso a esse conjunto de informações é essencial para o controle social, já que tais registros permitem identificar, por exemplo, os contatos e as agendas das autoridades públicas.

20. No entanto, como notou a SRE na Nota Técnica nº 2/2026/CGRS/SRE/ANPD (SEI nº 0284021), uma vez que a fixação de diretrizes à PNDP, a ser feita pela ANPD, não importa na edição de um ato normativo, mas sim na produção de subsídios para a sua elaboração pelo órgão competente (isto é, a Presidência da República), resta que tais expedientes não são obrigatórios no caso em voga:

O incentivo à governança de dados pessoais: incentivo à governança de dados como valor estratégico para controle do tratamento de dados, alinhada a padrões internacionais de boas práticas, voltadas para o desenvolvimento institucional e econômico. Estímulo para a adoção de medidas de segurança, administrativas e técnicas adequadas para a proteção dos dados pessoais, bem como o devido tratamento e comunicação dos incidentes pelos agentes de tratamento inclusive com adoção de avaliações de impacto à proteção de dados e de modelos de gestão de riscos.

O fomento à transparência: incentivo à publicação de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, em harmonia com o direito ao acesso à informação e a autodeterminação informativa.

deve-se ter o cuidado de não confundir tal abordagem como sinônimo de minimização do tratamento de dados pessoais ou, ainda, com anonimização dedados. No caso, dados com identificadores vinculados ao usuário (pessoa natural identificada ou identificável)são objeto de tratamento tanto na entrada (input) dados comportamentais, por exemplo quanto na saída (output),com a inferência referente à idade, se abaixo ou acima do limite de 13 anos de idade. Isso significa,portanto, que os dados pessoais tratados desde a entrada (input) deverão passar pelo crivo do princípio da necessidade (LGPD, art. 6º, inciso III), obrigação que vincula o controlador por todo o ciclo de vida de um sistema de inteligência artificial, incluindo as fases de treinamento, validação e de implementação[8].

Cumpre ressaltar que a obrigação de empregar mecanismos de aferição etária no tratamento de dados pessoais de crianças e adolescentes decorre da interpretação da LGPD, tal como delineado na Nota Técnica nº 50/2024/FIS/CGF/ANPD e endossado pelo Conselho Diretor no Voto nº 9/2024/DIR-AS/CD (SEI nº 0162377). A obrigação decorre, também, dos termos de uso da plataforma do TikTok, que proíbem usuários menores de 13 anos de idade. Não seria coerente admitir que o controlador estabeleça idade mínima para seus serviços e, simultaneamente, se exima de adotar meios minimamente aptos para que não seja realizado o reiterado e contínuo tratamento de dados pessoais de indivíduos dessa faixa de idade.

74.É importante destacar essas dimensões da segurança jurídica, pois, se de um lado o ECA Digital e seu regime regulatório atingem o novo plano de conformidade, de outro, os fatos ocorridos anteriormente à sua entrada em vigor seguem submetidos aos preceitos jurídicos da LGPD, no que tange à fundamentação jurídica das exigências de aferição etária para o tratamento de dados pessoais de crianças e adolescentes. Isso significa que, no tocante à aferição etária: (i) incide a LGPD em relação aos fatos ocorridos antes da entrada em vigor do ECA Digital, em especial nas situações de infração àlegislação de proteção de dados pessoais identificadas por esta Agência; e (ii) aos fatos posteriores a entrada em vigor do ECA Digital, incluídas as etapas de execução do plano de conformidade que se diferem no tempo, aplica-se o regime da nova lei e suas obrigações de aferição de idade, o que resulta em cenário de adaptação progressiva e de incidência transversal a todos os agentes regulados.

75.Nesse contexto, o ECA Digital não deve ser compreendido como o marco inaugural da obrigação de aferição etária no ordenamento brasileiro. O dever de impedir, por meios eficazes, o tratamento irregular de dados de crianças já decorria da LGPD e vinha sendo concretizado pela atuação desta Agência. O que se discute nesse recurso não é a existência da obrigação decorrente da LGPD e contra a qual tampouco se insurge a Recorrente -, mas o modo e o tempo de sua implementação,matéria que passou a ser disciplinada também por lei superveniente.

“As medidas cautelares: I - deverão ser proporcionais e necessárias ao risco e ao dano identificados; II - não obstam o prosseguimento do processo administrativo de fiscalização; e III - não poderão ser adotadas com o objetivo de determinar a agentes regulados a moderação de conteúdos criminosos ou ilícitos de forma isolada.”

Inclusão indispensável à utilidade do instituto: atribuído efeito suspensivo, a simples interposição do recurso neutralizaria a medida destinada justamente a afastar o perigo de dano ou o risco ao resultado útil do processo.

Cumpre destacar que a multa diária não se confunde com sanção administrativa, pois esta não possui natureza punitiva, mas caráter coercitivo, destinando-se a compelir o agente regulado ao cumprimento da obrigação imposta pela medida cautelar. Por isso mesmo, sua incidência pressupõe o efetivo descumprimento da determinação e limita-se ao período em que este perdurar, cessando com o adimplemento da obrigação.

No inciso III, substituição de “solicitação” por “determinação” de regularização, de modo que a medida deixe de ostentar natureza de mera provocação.

§ 1º O plano de conformidade não exime o agente regulado do cumprimento das obrigações previstas na regulamentação. § 2º Caberá ao agente regulado comprovar o atendimento ao resultado esperado, além das medidas adotadas para reversão da situação dentro do prazo estabelecido. § 3º O não cumprimento do plano de conformidade enseja a progressão da ANPD para a atuação repressiva, com a adoção das medidas compatíveis, e será considerado agravante caso seja instaurado procedimento sancionador.

o recorte proposto para a reincidência genérica, limitada a infrações previstas na mesma legislação, por ser objetivo e aderente aos precedentes sobre o tema. A solução é, ademais, a única compatível com o art. 35, § 1º, inciso II, da Lei nº 15.211, de 17 de setembro de 2025, que restringe expressamente a agravante à “reincidência na prática de infrações previstas nesta Lei”, impondo, em observância à legalidade estrita e à interpretação restritiva das normas sancionadoras, que apenas infrações à própria Lei nº 15.211/2025 sejam computadas naquele regime.

“§ 1º A aplicação de sanção não exclui a adoção, pela ANPD, de outras medidas administrativas previstas nas demais disposições legais e regulamentares em vigor, para garantir a conformidade do infrator.

“Art. 8º-D A infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais de crianças e adolescentes ou de usuários de provedores de aplicações de internet.

“Parágrafo único. A hipótese referida no caput deste artigo será caracterizada nas situações em que a conduta infratora puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um produto ou serviço, assim como ocasionar danos materiais ou morais, desde que não seja classificada como grave.” | Acresce-se “produto ou” em atenção ao âmbito material da Lei nº 15.211, de 17 de setembro de 2025. Suprime-se o rol exemplificativo de danos, transposto do art. 8º, § 2º, cujo catálogo (discriminação, violação à integridade física, direito à imagem, fraudes financeiras e uso indevido de identidade) foi concebido para o tratamento de dados pessoais.

Procedeu-se também com o desdobramento da alínea referente ao dever de cuidado. A redação da área técnica reunia, em uma única alínea, o dever de cuidado e os deveres de prevenção, proteção, informação e segurança. São deveres de origem e objeto distintos: o primeiro decorre do Marco Civil da Internet e dos decretos que o regulamentam, recai sobre conteúdo gerado por terceiros e tem como padrão de imputação a falha sistêmica; os demais decorrem do art. 5º da Lei nº 15.211, de 17 de setembro de 2025, e recaem sobre a concepção e a operação do próprio produto ou serviço. Com o desdobramento nas últimas alíneas e a separação dos §§ 1º e 2º, cada violação / dever passa a deter delineamento próprio. Além disso, inclusão da expressão "por si só" no § 1º, inciso II, em correspondência ao art. 16-B, § 3º, do Decreto nº 8.771/2016.

Inclusão de atenuante que se reporta à política de boas práticas e de governança do art. 2º, inciso VI, próprio da Lei nº 13.709, de 14 de agosto de 2018, e erigido em critério de dosimetria pelo art. 52, § 1º, inciso IX, daquele diploma. Não aplicável aos demais regimes, uma vez que se utiliza o termo “titulares”.

Quanto ao teto absoluto, registra-se que o art. 52, inciso II, da LGPD e o art. 35, inciso II, do ECA Digital preveem o limite de R$ 50.000.000,00 (cinquenta milhões de reais) por infração, inexistindo

previsão correspondente na Lei nº 12.965, de 23 de abril de 2014. A extensão do teto às infrações ao Marco Civil da Internet traduz opção regulatória voltada à previsibilidade e à segurança jurídica na dosimetria.

Correção de erro na formulação matemática, decorrente da transposição, para o regime da base alternativa por usuário, da fórmula concebida para o cálculo por faixas de valores absolutos. A fórmula anterior produzia três resultados incompatíveis com o art. 35, inciso II, da Lei nº 15.211, de 17 de setembro de 2025: (i) quando a extensão do dano fosse igual a zero, o valor-base equivaleria ao próprio piso por usuário, independentemente do número de usuários cadastrados, afastando o mínimo legal de R$ 10,00 por usuário; (ii) a diferença entre os valores apurados para infrações leves e graves era de aproximadamente 20%, o que esvaziava a proporcionalidade entre a gravidade da falta e a intensidade da sanção; e (iii) o resultado jamais alcançava o teto legal de R$ 1.000,00 por usuário, ainda que adotados os parâmetros mais gravosos. A reorganização da fórmula, de modo que a quantidade de usuários multiplique a integralidade da

expressão, restabelece a proporcionalidade ao número de usuários e assegura que o valor apurado permaneça compreendido entre os limites legais de R$ 10,00 e R$ 1.000,00 por usuário cadastrado.

4.2. No âmbito infraconstitucional esse direito foi estabelecido na Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais – LGPD, que no art. 55-J, §3º determina que a ANPD deve se articular com outros órgãos reguladores e atuar de forma coordenada com estes, sempre com o objetivo de “assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados”.

4.7. A celebração do ACT promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido, o § 4º do mesmo artigo, estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

4.7. Como se pode observar, a celebração do ACT entre a ANPD e a ANS promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a troca de experiências e a aproximação entre as equipes técnicas e, enfim, a atuação coordenada "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD.

4.13. A celebração do ACT promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido, o § 4º do mesmo artigo, estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

4.8. Há ainda que se chamar atenção ao fato de que a celebração do ACT em questão permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada entre as agências reguladoras "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido de alinhamento com a LGPD, o § 4º do mesmo artigo, estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

4.14. Há ainda que se chamar atenção ao fato de que a celebração do ACT em questão permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada entre as agências reguladoras "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido de alinhamento com a LGPD, o § 4º do mesmo artigo, estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

4.6. A celebração do ACT promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD.

27. A celebração do ACT promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada "com vistas a assegurar o cumprimento de suas atribuições com maior eficiência", nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido, o § 4º do mesmo artigo, estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

4.1.4. À luz do artigo 55-J, inciso XXIII da Lei Geral de Proteção de Dados (LGPD), o Aditivo a ser celebrado entre a ANPD e o CADE tem amparo legal e se alinha às competências institucionais desta Agência, que abarca: > “XXIII - articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação. (...)”

4.1.5. O AA a ser celebrado entre a ANPD e a DG-CONNECT encontra amparo legal e se alinha às competências institucionais desta Agência, conforme artigo 55-J, incisos, XXIII da Lei Geral de Proteção de Dados (LGPD), que estabelece competência expressa à ANPD para: " XXIII - articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação. (...)"

**4.8.** Assim, a Procuradoria Federal junto à Agência Nacional de Proteção de Dados se manifestou favoravelmente ao Acordo, por meio do Parecer nº 00038/2026/GAB/PFE/ANPD/PGF/AGU (SEI nº 0297749): "O ACT a ser celebrado com a ANPD apresenta-se, assim, como instrumento complementar e de apoio ao pleno exercício das competências da ANEEL, ao possibilitar a execução conjunta de ações educativas, a realização de reuniões técnicas e a elaboração de estudos, orientações e documentos técnicos especificamente voltados ao tratamento de dados pessoais no âmbito do setor elétrico". **4.9.** A celebração do ACT promoverá, justamente, o fortalecimento e a ampliação dessas iniciativas, o que permitirá a racionalização de procedimentos, a aproximação entre as equipes técnicas e, enfim, a atuação coordenada com vistas a assegurar o cumprimento de suas atribuições com maior eficiência, nos termos do art. 55-J, § 3º, da LGPD. No mesmo sentido, o § 4º do mesmo artigo estabelece que a ANPD deve manter "fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD".

3.7.A presente manifestação terá por objeto a avaliação quanto ao preenchimento dos ritos legais e regimentais precedentes à disponibilização da minuta da resolução de fiscalização à consulta pública exigida pelo artigo 53 da LGPD,não se prestando, portanto, à avaliação exaustiva do normativo proposto, avaliação a ser realizada após a etapa de consulta pública, nos termos do disposto no artigo 65do Regimento Interno da ANPD, disponibilizado por meio da Portaria nº 1, de 8 de março de 2021.

4.12.Conforme relatado, deixo de apreciar em profundidade, neste momento,a minuta de resolução proposta, resguardando apontada avaliação à futura e definitiva deliberação do assunto pelo Conselho Diretor.

5.6. Anote-se que, em consonância com o Regimento Interno e com o art. 55-J, § 2º, da LGPD, o presente regulamento será submetido à consulta e à audiência públicas, fase após a qual as contribuições apresentadas pela sociedade deverão ser devidamente apreciadas pela área técnica, com posterior análise pela Procuradoria e deliberação final pelo Conselho Diretor. Caberá à CGN disponibilizar as informações relativas à participação da sociedade na página da ANPD na internet, conforme previsto no art. 24 da Portaria nº 16/2021.

4.15. O novo art. 9º simplifica o procedimento para alteração da Agenda Regulatória. Assim, enquanto a proposta original continha referência apenas ao "projeto de regulamentação adicional", foi destacada a possibilidade de alterações de natureza diversa, a exemplo de definição de novas metas ou prazos para projetos já existentes. Além disso, apesar da exclusão do prazo anual para alteração da agenda (prevista no art. 8º do texto original), foi acrescentada referência à necessidade de "motivação" da alteração, que deve se basear em "fatos novos e urgentes". Com isso, poderão ser atendidas eventuais necessidades prementes de modificação do documento, assegurando-se, ao mesmo tempo, a estabilidade e a previsibilidade das ações normativas da ANPD.

4.2. Ainda, à luz do art. 9º, cabe ressaltar que, diante de fatos novos e urgentes, a CGN ou os Diretores podem, motivadamente, propor alterações na Agenda Regulatória para apreciação pelo Conselho Diretor, inclusive no que se refere à revisão de prazos e metas, à edição de novas normas ou à modificação de normas vigentes. No presente caso, a aprovação do ECA Digital e o período de vacatio legis de seis meses configuram fato superveniente relevante, apto a justificar a atualização da Agenda Regulatória, assim como a transformação da ANPD em agência reguladora por meio da Medida Provisória 1317, de 17 de setembro de 2025. A consulta interna, a participação do CNPD, a participação social via Tomada de Subsídios e a submissão à análise jurídica da PFE foram devidamente documentadas e compatíveis com o rito aplicável.

4.13. No § 1º do art. 7º foi incorporada referência ao Planejamento Estratégico (que constava do art. 9º do texto original) e incluída referência à Política Nacional de Proteção de Dados Pessoais e da Privacidade. Embora não editada até a presente data, a política em questão está prevista na LGPD (art. 55-J, III ; art. 58-B, I), razão pela qual se demonstra relevante sinalizar que o planejamento regulatório da ANPD levará em consideração as suas determinações. Com o mesmo intuito, no § 2º do mesmo artigo foi incluída previsão de que o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade - CNPD poderá sugerir temas prioritários a serem considerados na elaboração da Agenda Regulatória, em conformidade com as competências deste órgão, previstas no art. 58-B, da LGPD, entre as quais se destaca a de "sugerir ações a serem realizadas pela ANPD". O § 4º atribui ao Conselho Diretor a competência para definir o mecanismo mais adequado de consulta à sociedade durante o processo de elaboração da Agenda, de modo que poderão ser realizadas, a critério do Conselho, consultas e audiências públicas ou, ainda, tomadas de subsídio. No § 5º foi incluída apenas a previsão de publicação da Agenda Regulatória na página da ANPD na internet, atendendo-se, dessa forma, aos preceitos de transparência aplicáveis à hipótese.

4.12. Desta forma, identifico que a proposta apresentada pela equipe de projeto preenche todas as exigências legais e regulatórias aplicáveis, contando com instrumentos diversos para a coleta de contribuições internas e externas à ANPD. Tal medida, representa importante ferramenta de controle e participação da sociedade, da academia e dos diversos setores regulados na identificação das prioridades regulatórias a serem observadas pela ANPD.

4.7. A esse respeito, cumpre destacar que, por se tratar de uma parceria com uma associação civil sem fins lucrativos e que não envolve a transferência de recursos financeiros, conforme estabelecido na cláusula sexta, o instrumento adequado é o acordo de cooperação, assim definido na Lei nº 13.019/2014:

4.7. Pelo demonstrado, os autos refere-se à parceria estabelecida pela administração pública com organização da sociedade civil para a consecução de finalidades de interesse público e recíproco que não envolvam a transferência de recursos financeiros, assim entendo que o Acordo de Cooperação é o instrumento adequado para formalização realizada e por isso, concordo com a prorrogação proposta por meio da minuta do Termo Aditivo, devendo-se observar, para tanto, as regras estabelecidas na Lei nº 13.019/2014 e no Decreto nº 8.726/2016.

4.31. Aqui se verifica a necessidade de alterar a conjunção alternativa “ou”, que dá a ideia de faculdade do agente em comprovar o enquadramento do tratamento tanto no art. 2º quanto no art. 3º; pela conjunção aditiva “e”, obrigando-o, dessa forma, a considerar ambos os artigos.

4.36. De outro lado, a fim de evitar a aplicação indevida da norma, o art. 5º prevê que a ANPD poderá solicitar que a organização demonstre o seu enquadramento na definição de agentes de tratamento de pequeno porte e nos demais critérios relativos ao âmbito de incidência do regulamento, conforme estabelecidos em seus arts. 2º e 3º. Em sentido similar, o art. 16 estabelece que a ANPD poderá determinar o cumprimento de obrigações dispensadas ou flexibilizadas no regulamento, tendo em vista as circunstâncias relevantes do caso concreto, tais como a natureza ou o volume das operações ou, ainda, os riscos para os titulares.

3.2.2. Em exame dos autos, em entendimento contrário ao da CGN, vislumbro que o pedido de prorrogação mencionada encontra amparo na legislação, visto que a temática relativa às microempresas e empresas de pequeno porte possui alta relevância e significativa complexidade, previstas no § 5º, do aludido art. 62, do Regimento Interno da ANPD. Tal cenário, portanto, possui o condão de ensejar prazo majorado no período de consulta pública, favorecendo análise mais pormenorizada do tema.

5.85. De acordo com a disciplina estabelecida no Regimento Interno, a Consulta Pública deve ser formalizada mediante publicação no Diário Oficial da União. O seu prazo de duração não pode ser inferior a dez dias, podendo ser ampliado em razão da complexidade, relevância e o interesse público da matéria em análise, conforme autoriza o art. 62, § 5º, do Regimento Interno. Além disso, a CGN deve divulgar as informações pertinentes na página da ANPD na internet, nos termos do art. 62, § 2º, do Regimento Interno e do art. 24 da Portaria ANPD nº 16, de 8 de julho de 2021.

4.26. No inciso III do art. 16 foi excluída a referência a órgãos e entidades "responsáveis pela regulação de setores específicos [...]", tendo em vista que, dado o caráter transversal da legislação de proteção de dados pessoais, a ANPD pode atuar de forma coordenada inclusive com órgãos e entidades que não desempenham função de regulador.

4.7. Embora o Sebrae não constitua propriamente uma entidade com funções regulatórias, é inegável a sua posição privilegiada em relação ao segmento econômico das micro e pequenas empresas, de modo que a atuação coordenada junto a ANPD constitui uma iniciativa promissora do ponto de vista da disseminação do conhecimento sobre proteção de dados pessoais no âmbito do público atendido pela instituição.

4.23. Com o mesmo objetivo, o item 2.7 traz indicação de que a avaliação dos candidatos levará em consideração critérios de diversidade, tais como raça, etnia, gênero e região de origem, aspectos que poderão ser destacados pelos candidatos em seus currículos. Além de conferir maior transparência aos critérios de avaliação, a proposta reforça o objetivo de garantir uma representação ampla e plural no âmbito do CNPD.

4.14. As regras, prazos e critérios para a formação da referida lista tríplice foram delineados nos apontados Editais, sendo importante expor que os instrumentos convocatórios evidenciaram que a avaliação a ser realizada pelo Conselho Diretor da ANPD levaria em conta, entre outros critérios, a “demonstração das características da entidade, evidenciando sua atuação comprovada em proteção de dados pessoais” e “a representatividade do candidato e da entidade, e experiência na área de proteção de dados pessoais e áreas correlatas”, além dos critérios relacionados à diversidade, tais como raça, etnia, gênero e região de origem, tendo sido facultada aos candidatos a descrição, em seus currículos, de características pessoais que atendam ao previsto neste dispositivo.

4.12. Adicionalmente, vale enfatizar que o Mapa de Temas Prioritários deve ser aprovado por Resolução do Conselho Diretor, após manifestação da Procuradoria Federal Especializada (PFE). A aprovação de atos desta natureza por Resolução segue orientação recente firmada pela PFE, já observada pelo Conselho Diretor em casos similares, a exemplo da Resolução nº 5, de 13 de março de 2023, que aprovou a Agenda de Avaliação de Resultado Regulatório para o período 2023-2026.

4.12. Adicionalmente, vale enfatizar que **o Mapa de Temas Prioritários deve ser aprovado por Resolução do Conselho Diretor, após manifestação da Procuradoria Federal Especializada (PFE).** A aprovação de atos desta natureza por Resolução segue orientação recente firmada pela PFE, já observada pelo Conselho Diretor em casos similares, a exemplo da Resolução nº 5, de 13 de março de 2023, que aprovou a Agenda de Avaliação de Resultado Regulatório para o período 2023-2026.

4.15. Já com relação ao item 16, que também estava na Fase 2, a CGN propõe que seja alterada para a Fase 4, ante às mudanças no quadro de servidores e na priorização de projetos basilares da LGPD já em execução, tais como o Relatório de Impacto à Proteção de Dados Pessoais, Encarregado, Comunicação de Incidentes de Segurança, Transferências Internacionais de Dados Pessoais e Direitos dos Titulares. Adiciona a essa justificativa a de que, para o desenho apropriado e completo da regulamentação dos referidos critérios de reconhecimento, é imprescindível que as citadas normas basilares sejam priorizadas a essa regulamentação, uma vez que servirão de sólido e concreto subsídio à construção desses critérios.

4.46. Com relação ao item 12, sobre Regras de Boas Práticas e de Governança, a Coordenação-Geral informou que o resultado do projeto regulatório em questão depende da conclusão de projetos “basilares” da LGPD, os quais se encontram em execução naquela Coordenação, como o Regulamento sobre o Relatório de Impacto à Proteção de Dados Pessoais, bem como o de Direitos dos Titulares.

2.1. Segundo o disposto no art. 74 do Regimento Interno da ANPD, cabe pedido de reconsideração das decisões da ANPD quando o Conselho Diretor funcionar como instância única, não podendo o pedido de reconsideração ser distribuído ao mesmo Diretor que proferiu o voto condutor da decisão recorrida.

**4.6.** Como se pode observar, o pedido de reconsideração somente é cabível nas hipóteses em que o Conselho Diretor funciona como "instância única", o que ocorre apenas quando a decisão de primeira instância administrativa é proferida pelo próprio órgão máximo da ANPD - o que não se verifica na hipótese dos autos, uma vez que a decisão de primeira instância foi proferida pela Coordenação-Geral de Fiscalização. **4.7.** Dessa forma, ainda que a Petição SEI nº 0162473 tivesse por intuito a reconsideração da decisão do Conselho Diretor acima transcrita, o que se considera apenas para fins de argumentação, não haveria como se admitir o seu processamento como pedido de reconsideração, uma vez que o Despacho Decisório PR/ANPD nº 55/2024 foi proferido em segunda e última instância administrativa.

3.16. Pelo exposto, considerando a característica mutável das medidas cautelares administrativas, bem como intenção da Meta em propor a implementação de medidas para mitigar riscos e evitar a ocorrência de danos aos titulares e, ainda, a presente argumentação de que seria tecnicamente inviável o cumprimento das medidas impostas no prazo determinado, entendo razoável a extensão do prazo de 5 (cinco) dias úteis para o cumprimento do item (b) do Despacho Decisório CD/ANPD nº 20/2024. 4. VOTO

3.31. Por fim, com relação à alegação da impossibilidade do cumprimento da medida no prazo estipulado, acolho a sugestão manifestada no item 6.2 da Nota Técnica 56 (0160249) para que “seja determinado novo prazo para que a ByteDance Brasil Tecnologia Ltda ("ByteDance Brasil") suspenda integralmente o recurso "feed sem cadastro" da Plataforma TikTok no Brasil, tendo em vistas as dificuldades técnicas informadas para o cumprimento da supramencionada decisão no prazo determinado pelo Despacho Decisório nº 2/2024/CGF/ANPD (0153682).” 3.32. Considero que se trata de medida razoável, uma vez que a recorrente informa experimentar dificuldades técnicas de complexidade elevada para a suspensão do “feed sem cadastro”, sendo que o prazo estipulado no Despacho Decisório 28 (0161128) se aproxima. Além do mais, o presente recurso administrativo não deve ser julgado antes do dia 25/12/2024, em razão da necessidade do cumprimento de prazos regulamentares pelo Conselho Diretor da ANPD.

4.8. Ademais, deve-se considerar que o pedido apresentado é genérico e que não especifica, de forma clara e precisa, qual a informação requerida, condições estas exigidas pelo Decreto nº 7.724/2012 (art. 12, III; art. 13, I) para que o pedido seja considerado válido.

4.7. Assim, entendo que o pedido apresentado não especifica, de forma clara e precisa, qual a informação requerida, condição esta exigida pelo Decreto nº 7.724/2012 (art. 12, III) para que o pedido seja considerado válido.

4.3. Contudo, o cabimento do recurso encontra limitações importantes no ordenamento jurídico aplicável. O despacho emitido pela Coordenação-Geral de Fiscalização, que arquivou o requerimento do titular, segue os parâmetros estabelecidos pela Resolução nº 1 da ANPD, especificamente o art. 25. Este dispositivo prevê que os requerimentos podem ser incluídos no ciclo de monitoramento e análise agregada, sem necessidade de instauração de um processo administrativo individualizado. Nessa hipótese, o despacho que determina tal inclusão não comporta recurso.

A ANPD esclarece que não há previsão legal para recurso ou complementação em denúncias e petições de titular.

4.3.4. Tal orientação proferida pela Ouvidoria da ANPD encontra respaldo no art. 11, §1º, inciso III, da Lei nº 12.527/2011, segundo o qual, não sendo possível conceder o acesso imediato à informação, o órgão ou entidade pública deverá indicar, quando de seu conhecimento, o órgão ou a entidade que detenha a informação ou o canal adequado para sua obtenção.

(b) Quanto aos protocolos de segurança do próprio sistema Comunica PF, trata-se de informação de competência da Polícia Federal, órgão que o opera. A ANPD não acessa o sistema nem detém conhecimento documentado de seus mecanismos internos de salvaguarda, devendo o solicitante, nesse ponto, dirigir-se diretamente àquele órgão.

4.13.Considerando a inspiração da legislação brasileira no Regulamento Geral sobre a Proteção de Dados (RGPD), fez-se necessária a análise dos conceitos elencados no guia orientativo à luz da interpretação europeia, sem afastamento do ordenamento jurídico e da realidade brasileira.

4.14.Pretende-se aqui uma convergência entre conceitos globais a partir da lógica da LGPD, o que não representa esgotar todas as possibilidades de harmonização legislativa. Tal feito importa na viabilidade da aplicação da lei brasileira em esfera internacional.

4.18. A esse respeito, sugiro a elaboração e divulgação de proposta de modelo de Política de Segurança da Informação (PSI) simplificada, em momento oportuno, pela ANPD, sem pretensão de esgotar a matéria, mesmo porque, para a plena adequação da PSI à organização, faz-se necessário entender como funciona o fluxo operacional para que nenhum elemento de segurança necessário à proteção dos dados pessoais deixe de ser contemplado.

4.2. Assim como outros agentes, os que estão envolvidos com o tratamento de dados pessoais no contexto político-eleitoral também devem cumprir as regras trazidas pela LGPD, além da legislação eleitoral aplicável. 4.3. O vasto fluxo informacional, inclusive de dados pessoais, cria preocupações sem precedentes sobre privacidade, como através das oportunidades que agentes de tratamento possuem para exercer influência sobre a vontade dos titulares. Essa influência pode afetar de sobremaneira o processo democrático, de modo que é essencial atuar com transparência e dentro dos limites legais.

4.11. Ressalta-se que a ANPD não pretende, ao publicar o referido guia, esgotar as possibilidades interpretativas sobre o tema, ou sequer considera essa publicação sua versão final, já que compreende a necessidade de revisão interpretativa constante considerando a realidade social que se transforma rapidamente com a evolução tecnológica.

4.9. Acertadamente, a CGN (3238702) acatou recomendação da assessoria jurídica (3222301) em manter redação "pode ser" ao invés de "é" no item 68, que trata da equiparação de suboperador a operador. A redação da versão a ser publicada mantém a possibilidade de que o suboperador seja equiparado ao operador, com base na previsão da responsabilização solidária do art. 42, §1º, I, da LGPD.

Já o banner de segundo nível deve descrever as categorias de cookies de acordo com suas finalidades e desativar os cookies baseados no consentimento por padrão.

Assim, entre outras recomendações, o Guia orienta que o banner de primeiro nível contenha botão de fácil visualização, que permita rejeitar todos os cookies não necessários.

4.22. Assim, o texto foi alterado, adotando-se a redação constante na página de dúvidas da ANPD[3] sobre a inviabilidade de manifestação individualizada da autoridade para consultas jurídicas relacionadas a situações concretas. Não obstante, inseri a indicação de que o controlador pode enviar suas dúvidas e questionamentos ao endereço eletrônico da ouvidoria para fins estatísticos, como forma de insumo e possível direcionamento à atuação regulatória ou para a emissão de orientações específicas pela ANPD.

4.16. Todo tratamento de dados pessoais envolve, em alguma medida, riscos aos direitos e liberdades dos titulares de dados. Este é inerente e presumido da própria operação. Contudo, percebo da avaliação da doutrina predominante sobre o assunto, destacando aqui, ainda, as importantes considerações recebidas pela ANPD durante as reuniões técnicas sobre o RIPD[1], que a elaboração do RIPD tem natureza de exceção, a ser realizada apenas quando identificado um tratamento que implique risco significativo, portanto um alto risco, aos direitos e liberdades dos titulares e à garantia dos princípios da LGPD.

4.19. Importa mencionar que a legislação de proteção de dados não pode ser interpretada ou aplicada de forma a impedir o exercício da autonomia intelectual e didático-científica nos ambientes acadêmicos, desde que o tratamento de dados pessoais esteja amparado nos princípios e garantias da LGPD. É nesse sentido que o Guia em análise avança, apresentando possibilidades, recomendações e boas práticas para o uso de dados pessoais no âmbito de estudos e pesquisas.

de dados pessoais para fins de realização de estudos e pesquisas, ressaltando que qualquer tratamento realizado por órgãos de pesquisa que tenha por objetivo o atendimento de outras finalidades, alheias à realização de estudos, deve estar amparado em outra hipótese legal que seja mais adequada ao caso, respeitadas todas as disposições da LGPD.

Em relação às hipóteses de tratamento do caso autuado que o recorrente requer acesso, cabe reforçar a confusão semântica feita no recurso. Os termos “hipóteses de tratamento” e “base legal” são similares para fins da LGPD, sendo utilizados para dispor sobre os fundamentos legais para as atividades de tratamento com dados pessoais, previstos no art. 7 e art. 11 da LGPD.

TITULAR: É ~~o dono dos dados pessoais, precisa ser uma pessoa natural.~~ **a quem se referem os dados pessoais.**

2.12. Adicionalmente, entendo pertinente que seja incluída menção, ainda na introdução, quanto à delimitação do escopo do presente Glossário, a fim de tornar ainda mais claro que se trata apenas da compilação de termos, não tendo sido contempladas, portanto, definições inovadoras ou que serão objeto de processo regulatório pela ANPD.

2.43. Da mesma forma, em relação ao termo Sandbox Regulatório, em que pese não haver incorreção na definição proposta pela CGN, considerando que foi extraída de Estudo Técnico elaborado pela CGTP, o qual possui caráter preliminar, entendo que seja pertinente a remoção e posterior inclusão, tão logo haja outro documento resultante de deliberação desse Conselho Diretor. É notório, todavia, que o conceito de Sandbox já resta definido no art. 2º, II da Lei Complementar nº 182/2021, o qual poderia ser contemplado nessa definição. De todo modo, considerando que o presente Glossário considera as definições constantes apenas da LGPD e de documentos expedidos pela Autoridade no intuito de promover a consolidação desses em um único documento, sugiro removê-la, sem prejuízo de que futuramente seja adicionada, tão logo haja uma definição pelo colegiado da ANPD.

2.13. Além disso, uma vez que alguns dos termos que estão sendo definidos possam eventualmente também constar de outras normas e terem outros sentidos dentro dos seus respectivos microssistemas normativos, proponho que seja inserida na introdução, afirmação no sentido de que as definições apresentadas no presente glossário são referentes exclusivamente ao universo normativo da proteção de dados pessoais, não se confundindo com outras definições legais porventura aplicáveis a outros âmbitos.

2.35. Relativamente ao termo “eliminação de dados pessoais”, sugiro a remoção, no próprio termo, do trecho "de dados pessoais", uma vez que que não consta da definição da Lei, e a remoção, ainda, da expressão “sanção que consiste na”, uma vez que nem toda a eliminação se configura em sanção, haja

2.24.Destaca-se, ainda, que as orientações apresentadas neste Texto,incluindo o teste de balanceamento, também são aplicáveis à hipótese legal para a “garantia da prevenção à fraude e à segurança do titular”, prevista no art. 11, II, g, da LGPD. Embora limitada a uma finalidade específica, esta hipótese legal segue sistemática similar à do legítimo interesse, visto que autoriza o tratamento de dados pessoais, desde que não prevaleçam direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

Na parte introdutória da seção sobre fornecedores, reafirma-se a aplicabilidade do art. 39, §2º, e do art. que dispõe sobre o tratamento diferenciado de fornecedores de forma proporcional à sua capacidade “de influenciar, de moderar ou de intervir na disponibilização, na circulação ou no alcance dos conteúdos acessíveis por crianças e adolescentes”; Acréscimo de uma figura esquemática sobre os fatores do tratamento diferenciado; Menção a cadeias complexas que envolvem múltiplos agentes.

| P. 18 | Presunção legal e Teste de acesso provável | Refutabilidade da presunção legal de acesso provável.

Esclarecimento de que dispositivos híbridos (físicos com acesso eletrônico) continuam sendo enquadrados dentro do conceito de “fornecimento por meio eletrônico”, a exemplo de dispositivos de realidade aumentada.

Diferenciação entre redes sociais e comunicações interpessoais privadas; Aprimoramento da redação sobre os indícios de caracterização de rede social, que tem caráter meramente ilustrativo e não afasta a análise casuística; Ênfase de que, ainda que não seja uma rede social, fornecedores enquadrados no Eca Digital têm de respeitar as demais disposições da lei.

Diferenciação entre requisição individual e uso individual. Concretamente, ressalta-se que a utilização coletiva ou compartilhada (por exemplo, pelo compartilhamento de dispositivos ou pela utilização coletiva de um serviço de streaming) não afasta a característica de requisição individual.

Esclarecimento de que funcionalidades ou adaptações para fins de acessibilidade não caracterizam, isoladamente, o acesso provável, havendo de se considerar a arquitetura, a usabilidade, os fluxos de interação e demais elementos do produto ou serviço.

Esclarecimento de que a probabilidade de uso e a atratividade independem da intenção declarada do fornecedor, mas sim de elementos concretos.

4.3.7. Outra alteração consiste em destacar a primazia do escopo de aplicação da lei em relação às medidas adotadas pelo fornecedor em cumprimento às obrigações do ECA Digital e do Decreto nº 12.880/2026. A partir da definição do produto ou serviço como direcionado a crianças e adolescentes ou de acesso provável por eles, decorrem as obrigações legais, entre as quais a de aferir a idade dos usuários. A aferição de idade constitui, assim, cumprimento de obrigação legal posterior à definição da incidência da norma, e não excludente do acesso provável.

conduziria a resultado circular: o cumprimento de uma obrigação legal retiraria o fornecedor do âmbito da norma que a impõe, o que autorizaria a supressão da própria medida e, em consequência, restabeleceria as condições de acesso provável.

4.3.4. Abaixo, passo a justificar, de maneira individuada, as alterações acima apresentadas. N o subitem Loja de aplicações de internet, recomendo que a redação referente ao consentimento dos pais e responsáveis legais para o download de aplicativos por crianças e adolescentes esclareça a necessidade de que esse seja “livre e informado”. Com isso, ressalta-se a natureza voluntária, consciente e deliberada do ato, de maneira a garantir a autonomia da vontade e a autodeterminação e eliminar consequências de eventuais assimetrias informacionais e de poder.

4.3.6. N o item 3, “Acesso provável por crianças e adolescentes”, recomendo a substituição da expressão “de inteligência artificial generativa” por “capazes de geração de conteúdo e interação com usuários a partir de instruções em linguagem natural”. Isso porque a redação anterior não reflete o que dispõe o art. 11 do Decreto nº 12.880/2026, e pode criar a falsa percepção de que todos os sistemas de IA generativa estariam abrangidos, inclusive os que não têm capacidade de interagir com o usuário.

4.3.5. Além disso, proponho a exclusão da referência a “responsabilidade ampliada”. A menção ao papel estrutural dessa categoria de fornecedor é suficiente, e o termo pode gerar confusão, pois sugere que as lojas de aplicação estariam sujeitas a um regime de responsabilidade mais amplo que os demais fornecedores. O ECA Digital não prevê “responsabilidade ampliada” a determinados fornecedores, mas sim obrigações legais distintas. É o caso, por exemplo, dos arts. 24 a 26, relativos às redes sociais, e do art. 31, relativo aos provedores de aplicação de internet.

4.3.9. Além disso, sugiro acrescentar parágrafo que esclareça que a análise de risco realizada no teste de acesso provável não se confunde com o gerenciamento de riscos previsto no art. 8º, I, do ECA Digital. O significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial de crianças e adolescentes, referido no art. 1º, III, funciona como critério de delimitação do âmbito material de aplicação da Lei. Já a avaliação e o gerenciamento de riscos constituem deveres legais dos agentes regulados (arts. 6º, caput, 8º, I, e 16, parágrafo único, I, do ECA Digital; art. 47 do Decreto nº 12.880/2026) e, portanto, pressupõem a incidência da Lei.

4.2. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 4246353), trata-se de parceria entre a ANPD e um órgão público, que visa "à união de esforços para o alcance de objetivos comuns, baseado no interesse público, [...] sem obrigação de repasse de recursos entre si [...]".

4.2. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 3590311), trata-se de parceria entre a ANPD e um órgão público, que visa "a realização do objetivo comum amparado na mútua cooperação técnica entre órgãos da Administração Pública ou entre estes e entidades privadas sem fins lucrativos, [...] da qual não decorra obrigação de repasse de recursos entre os partícipes".

4.2. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 0160808), trata-se de parceria entre a ANPD e uma entidade pública, que se destina "à execução de ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens".

4.3. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 0181875), trata-se de parceria entre a ANPD e uma entidade pública, que se destina "à execução de ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens."

4.2. O instrumento proposto, acordo de cooperação técnica, é o adequado para a hipótese, pois o ACT é cabível para a execução de ações de interesse recíproco entre órgãos e entidades da Administração Pública, sem transferência de recursos financeiros.

4.2. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 0212938), trata-se de parceria entre a ANPD e um serviço social autônomo, que se destina "à execução de ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens."

4.2. O Acordo de Cooperação Técnica (ACT) é o instrumento adequado para a hipótese, pois, conforme mencionado pela PFE, destina-se à execução de “ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens”.

4.2. O ACT é o instrumento adequado à hipótese, pois, conforme mencionado pela PFE (SEI nº 0247441), trata-se de parceria entre a ANPD e um órgão da administração pública federal, que se destina "à execução de ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens."

4.1.2. O ACT é o instrumento jurídico formalizado entre órgãos e entidades da Administração Pública, ou entre estes e entidades privadas sem fins lucrativos, com o objetivo de estabelecer interesse na mútua cooperação técnica, visando à execução de programas de trabalho, projetos, atividades ou eventos de interesse recíproco, do qual não decorra obrigação de repasse de recursos entre os partícipes, conforme art. 2º, inciso XIII do Decreto nº 11.531/2023.

execução de programas de trabalho, projetos, atividades ou eventos de interesse recíproco, do qual não decorra obrigação de repasse de recursos entre os partícipes, conforme art. 2º, inciso XIII do Decreto nº 11.531/2023.

4.2. O ACT é o instrumento adequado ao caso, pois, conforme mencionado pela PFE (SEI nº 0297749), trata-se de parceria entre órgãos da administração pública federal, que se destina “à execução de ações de interesse recíproco e em regime de mútua colaboração, a título gratuito, diferenciando-se dos convênios administrativos por não envolver transferência de recursos ou doação de bens.”

4.15. Cumpre destacar que a ANPD dispõe de canais próprios para o tratamento de situações concretas que envolvam potencial violação à legislação de proteção de dados pessoais. Em especial, é facultado ao titular de dados pessoais apresentar petições quando não conseguir exercer seus direitos perante o controlador, bem como denúncias em casos de supostas infrações à LGPD. Tais manifestações são recebidas e tratadas de forma estruturada, sendo consideradas no planejamento e na priorização das atividades de fiscalização da Agência, inclusive em contextos que possam envolver riscos relevantes aos titulares. Assim, eventuais situações concretas, como as descritas pelo requerente, devem ser encaminhadas por esses meios institucionais adequados, que permitem a análise específica do caso, conforme explicado na página https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/denuncia-peticao-de-titular.

4.12. Finalmente, cumpre destacar que a ANPD dispõe de canais próprios para o tratamento de situações concretas que envolvam potencial violação à legislação de proteção de dados pessoais. Em especial, é facultado ao titular de dados pessoais apresentar petições quando não conseguir exercer seus direitos perante o controlador, bem como denúncias em casos de supostas infrações à LGPD. Tais manifestações são recebidas e tratadas de forma estruturada, sendo consideradas no planejamento e na priorização das atividades de fiscalização da Agência, inclusive em contextos que possam envolver riscos relevantes aos titulares. Assim, eventuais situações concretas, como as descritas pelo requerente, devem ser encaminhadas por esses meios institucionais adequados, que permitem a análise específica do caso, conforme explicado na página https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/denuncia-peticao-de-titular.

4.2.11. **Cláusula Terceira** - Trata dos procedimentos para solicitar e conceder assistência mútua, impondo a necessidade de motivação e descrição dos fatos que ensejam o pedido. Estipula, ainda, que a solicitação deve ser proporcional, não gerando ônus excessivo à parte requerida.

- *Cláusula Terceira – Dos Procedimentos da Assistência Mútua: disciplina a tramitação dos pedidos de assistência, que devem conter motivação, descrição dos fatos e finalidade do uso das informações, além de prever notificações sobre exatidão e atualizações de dados compartilhados.*

5.7. • *Cláusula Quarta – Dos Procedimentos da Assistência Mútua: disciplina a tramitação dos pedidos de cooperação, que devem ser fundamentados, delimitados e compatíveis com o Memorando, além de prever mecanismos de comunicação, notificações sobre exatidão das informações e investigações preliminares.*

4.26. Na Cláusula Décima Quarta – Da Publicidade e Divulgação, determina-se que eventuais ações de divulgação terão caráter educativo, sendo vedada promoção pessoal de autoridades.

4.2.19. **Cláusula Décima Primeira** - Estabelece que a publicidade das ações decorrentes do MdE deve ter caráter educativo, vedando a promoção pessoal de autoridades ou servidores públicos.

4.22. Na Cláusula Décima Primeira – Da Publicidade e Divulgação, determina-se que eventuais ações de divulgação tenham caráter educativo, vedada a promoção pessoal de autoridades ou servidores.

- A Cláusula Décima Terceira determina que eventuais ações de divulgação terão caráter educativo, informativo ou de orientação social, sendo vedada a inclusão de nomes, símbolos ou imagens que impliquem promoção pessoal de autoridades ou servidores públicos de ambas as partes.

- Cláusula Décima Segunda – Da Publicidade e Divulgação: determina que as ações de divulgação terão caráter educativo e informativo, vedada a promoção pessoal de autoridades.

5.17. • Cláusula Décima Quarta – Da Publicidade e Divulgação: determina que ações de divulgação tenham caráter educativo e social, vedada a promoção pessoal, além de prever a publicação formal do instrumento em cada jurisdição.

4.6. No art. 2º foi incluída referência aos fundamentos da disciplina da proteção de dados pessoais (art. 2º, LGPD), uma vez que se trata de norma que traz princípios essenciais a serem observados em qualquer regulamentação expedida pela ANPD. Foi excluído o inciso III, que trazia referência à "redução de custos para provimento dos serviços", em razão de sua incompatibilidade com a natureza transversal da regulamentação no âmbito da proteção de dados pessoais, que pode afetar setores diversos, incluindo o Poder Público.

4.10. No que concerne à definição de Tomada de Subsídio, foi acrescentado que se trata de instrumento simplificado e discricionário de consulta à sociedade. Com isso, fica mais nítida a distinção entre este instrumento e a Consulta Pública, uma vez que a realização desta é obrigatória, conforme a previsão do art. 55-J, § 2º, da LGPD.

4.12. Em relação à Agenda Regulatória, proponho no art. 7º uma redação mais flexível, com referência às metas e aos prazos a serem observados. Assim, ao invés de indicar apenas o "início" de cada projeto, a Agenda poderá também apontar metas diferenciadas, tais como "realização de consulta pública", "elaboração de AIR" ou, ainda, nos casos mais urgentes, "aprovação da norma". Ressalto que esse modelo de agenda regulatória é seguido por outras agências, a exemplo da Anatel.

4.21. Já no texto alterado, o novo parágrafo único do art. 13 reproduz o texto do art. 63, § 2º, do Regimento Interno, referindo-se à legislação que autoriza, excepcionalmente, a dispensa de elaboração de AIR. Ressalto que a avaliação quanto à possibilidade de dispensa deve ser efetuada no caso concreto, mediante análise técnica e jurídica motivadas, que levem em consideração as hipóteses previstas no art. 4º do Decreto nº 10.411/2020 e as disposições pertinentes da LGPD.

4.23. Por sua vez, no § 1º do art. 15 foi incluída referência aos "agentes de tratamento" como uma das perspectivas relevantes que devem ser consideradas na elaboração da AIR.

“Art. 3º A dispensa e a flexibilização das obrigações previstas nesta resolução não são aplicáveis a agentes de tratamento de pequeno porte que realizem tratamento de alto risco e em larga escala para os titulares, ressalvada a hipótese prevista no art. 13, Parágrafo único”.

“Art. 7º Os agentes de tratamento de pequeno porte ficam dispensados do envio da declaração a que se refere o art. 19, inciso II, da LGPD.” 4.40. Seria interessante adotar o mesmo verbo, nesse caso, que a LGPD, para a ação do agente diante da requisição do titular, qual seja, “fornecer”, ao invés de “enviar”. 4.41. Importante, ainda, seria tornar o objeto do artigo – a declaração – mais explícito, para tornar a leitura ainda mais direta. 4.42. Assim, propõe-se que o art. 7º passe a ter a seguinte redação: “Art. 7º Os agentes de tratamento de pequeno porte ficam dispensados de fornecer a declaração clara e completa de que trata o art. 19, inciso II, da LGPD.”

“§2º É facultado ao agente de tratamento de pequeno porte, quando solicitado pelo titular de dados, optar por anonimizar, bloquear ou eliminar os dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGDP, na forma do art. 18, inciso IV, da LGPD.” 4.37. A ideia é empregar, ao invés da preposição “por”, que empresta uma ideia de adição, o que não se quer aqui, a proposição “entre”, que dá a ideia mais objetiva de opção. 4.38. Desse modo, o §2º passa a ter a seguinte redação: “§2º É facultado ao agente de tratamento de pequeno porte, quando solicitado pelo titular de dados, optar entre anonimizar, bloquear ou eliminar os dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGDP, na forma do art. 18, inciso IV, da LGPD.”

4.29. Como se pode observar, no parágrafo único do art. 19 foi definido que o ciclo de monitoramento será anual, ressalvada a possibilidade de o Conselho Diretor estabelecer prazo maior. Com a definição do prazo na norma, confere-se maior segurança jurídica e previsibilidade aos agentes regulados.

4.41. Entre as obrigações flexibilizadas, vale mencionar as seguintes: (i) atendimento às requisições dos titulares de dados pessoais por meio eletrônico, impresso ou qualquer outro que assegure os direitos previstos na LGPD e o acesso facilitado às informações pelos titulares (art. 7º);

4.43. O incentivo à adoção de boas práticas pelos agentes de tratamento de pequeno porte também está previsto no parágrafo único do art. 12 e no § 2º do art. 13. Estes dispositivos enfatizam, respectivamente, que o atendimento às recomendações e às boas práticas de prevenção e segurança divulgadas pela ANPD e a existência de política simplificada de segurança da informação poderão ser considerados, em benefício do agente, em eventual processo sancionador, nos termos do art. 52, § 1º, VIII e IX, da LGPD. Importante registrar que, antecipando-se a essa determinação, a ANPD já disponibilizou o "Guia Orientativo - Segurança da Informação para Agentes de Tratamento de Pequeno Porte" (disponível em https://www.gov.br/anpd/pt-br/documentos-e-publicacoes).

(c) *Dados sensíveis ou de crianças e adolescentes e idosos.* Na proposta da CGN, esta hipótese havia sido indicada como um critério de classificação de infração média. Porém, considerando que a LGPD determinou que essas categorias de dados merecem ser objeto de maior proteção jurídica, notadamente quando envolvido tratamento em larga escala ou que afete significativamente direitos dos titulares, demonstra-se mais adequado a sua inclusão entre as hipóteses de infração grave;

4.34. Com efeito, observo que o tema representa, de fato, ferramenta procedimental relevante, inclusive com potencial para auxiliar nos processos de fiscalização e sancionamento da ANPD. Além disso, sua regulamentação complementa as disposições da Resolução CD/ANPD Nº 1, de 28 de outubro de 2021, que prevê em seu artigo 44 que o termo de ajustamento de conduta seguirá regulamentação própria da ANPD e legislação aplicável, sendo necessária como forma de garantir a segurança jurídica necessária para sua adequada utilização da ferramenta.

4.38. Muito embora reste evidente o esforço realizado pela equipe da CGN em apresentar maiores elementos de interpretação aos controladores, inclusive mediante a avaliação de metodologias adotadas por outras autoridades de proteção de dados pessoais, julgo, neste momento, que trazer uma metodologia específica no bojo do ato normativo, pode acabar por restringir ou limitar a adoção de outras metodologias e critérios que eventualmente se demonstrem, com maior aprofundamento e experiência, mais eficazes na avaliação de um incidente com potencial de afetar significativamente os interesses e direitos dos titulares.

4.73. Assim a mesma ação ou omissão por parte do agente de tratamento poderia ser sancionada duplamente, pois ocasionaria abertura do processo administrativo sancionador que poderia implicar a aplicação de uma determinada sanção, e esta sanção ainda poderia ser agravada pelo mesmo motivo, gerando assim uma possível situação de bis in idem.

4.2. Nesse contexto, o enunciado se apresenta como o instrumento apropriado, pois consolida o entendimento em relação às matérias, com eficácia vinculante para a própria Autoridade, conforme estabelecido no artigo 51 do Regimento Interno da ANPD (RIANPD).

4.12. A inclusão do item 1.3 expressa o entendimento de que os atuais Conselheiros em primeiro mandato poderão se inscrever no edital correspondente e pleitear a recondução ao cargo, conforme autoriza o art. 58-A, § 3º, III, da LGPD.

4.29. O item 3.2. incorpora ao edital esclarecimento fornecido pela ANPD durante o processo seletivo anterior, segundo o qual “a decisão sobre qual segmento concorrer é exclusiva da própria entidade interessada, a quem compete ‘indicar representantes livremente’, nos termos do art. 15, § 5º, do Decreto nº 10.474/2020. Assim, por exemplo, entidades que possuem características tanto de organizações da sociedade civil quanto de instituições científicas, tecnológicas ou de inovação, devem optar pelo segmento com o qual mais se identificam, apresentando as justificativas para tanto, observadas as disposições do respectivo Edital”.

2. O processo não considerado prioritário, por não atender aos critérios indicados acima, poderá ser arquivado após análise sumária, desde que realizada a comunicação aos titulares, dispensada esta comunicação nos casos em que não identificada a existência de risco ou dano relevante, conforme o disposto no art. 48 da Lei nº 13.709/2018.

1. A CGF deve priorizar a análise de processos de comunicados de incidentes de segurança nos quais o controlador: a) não realizou a comunicação aos titulares de dados pessoais; e b) verifique-se a presença de, ao menos, uma das seguintes condições: (b.1.) o incidente abrange dados sensíveis, dados de crianças e adolescentes ou dados que exponham o titular à fraude; (b.2.) recorrência, isto é, o mesmo controlador comunicou a ocorrência de outros incidentes nos últimos dois anos; ou (b.3.) a principal atividade do controlador afetada pelo incidente de segurança envolve tratamento de alto risco, nos termos do art. 4º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.

3. A CGF poderá proceder à análise de processos que não atendam aos critérios de priorização acima indicados, caso outras circunstâncias relevantes identificadas no caso concreto indiquem a pertinência de sua realização.

4.39. Vale lembrar que, no caso da decisão de adequação, os critérios para a análise estão taxativamente indicados no art. 34 da LGPD, o que reduz sobremaneira o âmbito de definição regulamentar por parte da ANPD. Por isso, esses critérios foram reproduzidos na proposta de alteração do Regulamento e especificados nos casos em que se mostrou necessário.

2.6. Sendo assim, por se tratar de medida com natureza recursal, com o objetivo de desconstituir despacho decisório de instauração de Processo Administrativo Sancionador, torna-se imperativa sua avaliação à luz do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador no âmbito da ANPD, aprovado pela Resolução CD/ANPD nº 01, de 28 Out 2021; em particular, é relevante observar o artigo 38, que estabelece que "não cabe recurso administrativo contra o despacho de instauração do processo administrativo sancionador".

2.3. Nessa toada, malgrado toda a argumentação apresentada pela Representante, observo que a medida atípica apresentada, e aqui avaliada, possui natureza recursal, porquanto tem por objetivo enfrentar, diante de pretensas ilegalidades processuais, decisão administrativa praticada pela ANPD.

(ii) substituição da hipótese legal de "execução de políticas públicas" por "obrigação legal" para a finalidade de "gerar dados estatísticos [...] sobre CIS, petições de titular e denúncias", tendo em vista ser este um tratamento necessário para viabilizar o cumprimento de atribuições legais da ANPD

4.7. Não obstante, resta pendente a submissão ao Conselho Diretor da minuta de Resolução que aprova o Mapa de Temas Prioritários para o biênio 2024-2025. Destaco, ainda, que a ampliação do prazo do ciclo de monitoramento (de anual para bienal), solicitada na NT nº nº 3/2023/DIM/CGF/ANPD (SEI nº 4711664), deve ser objeto da própria minuta de Resolução que aprova o Mapa de Temas Prioritários, conforme expressamente indicado no item 4.14 do voto acima citado.

4.10. Assim, a partir da mudança proposta, o próprio ciclo passará a ser bianual, o que implicará, por via de consequência, a elaboração do relatório previsto no art. 20 do mesmo regulamento com a mesma periodicidade.

4.16. Ainda, é pertinente que sejam inseridas orientações mais refinadas nos parâmetros de acompanhamento dos objetivos, direcionando as ações da fiscalização para a garantia da compatibilidade do tratamento de dados de crianças e adolescentes realizado nas plataformas digitais à LGPD e aos mecanismos e técnicas adotados para a verificação da idade e para a aferição do consentimento.

4.17. No tema 3, que trata da inteligência artificial, julgo pertinente a delimitação mais aprofundada do tema, com o objetivo de deixar mais específica a atividade da fiscalização. Para tanto, julgo pertinente detalhar o tema, direcionando-o para as ferramentas de inteligência artificial utilizadas para a finalidade de reconhecimento facial, uma espécie dentre os diversos sistemas de IA existentes.

4.5. A Agenda Regulatória foi proposta inicialmente sob a forma de portaria editada pelo Diretor-Presidente da ANPD. Contudo, conforme Nota nº 00014/2023 GAB/PFE/ANPD/PGF/AGU (SUPER nº 4795819), a PFE apontou vício de forma, pois o ato deveria ocorrer por meio de Resolução, nos termos do art. 51, inciso I, do RIANP, e propôs a convalidação do ato. Desse modo, proponho ao Conselho Diretor que proceda à convalidação da Portaria ANPD nº 35, de 04/11/22 e a converta em Resolução incorporando as alterações propostas pela área técnica.

4.14. Com relação ao item 15, a CGN argumenta que é imperiosa a alteração para a fase 4, com o argumento de que o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD), órgão consultivo da ANPD, possui papel relevante na elaboração dessas Diretrizes para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade. Acato as razões apresentadas, ante a vacância na presidência do CNPD e à pendência na nomeação de membros, uma vez que tais representantes são fundamentais na elaboração das diretrizes do referido instrumento, de modo que possibilite tempo hábil para nomeação e composição da 2ª formação do mencionado Conselho Nacional e, consequentemente, viabilize sua participação nesse projeto.

4.3.2.7. Em linhas gerais, por meio do procedimento de apuração de incidente de segurança, a ANPD apura a ocorrência de incidentes não comunicados pelo controlador, mas de que veio a tomar conhecimento por outras formas. Já por meio do procedimento de comunicação de incidente de segurança, a ANPD recebe a comunicação de incidente de segurança, de que trata o art. 48, caput e parágrafo primeiro, da LGPD.

4.3.3.11. Ao analisar a dinâmica do procedimento estabelecido, percebi que a previsão de prorrogação, somada à etapa de análise pela ANPD, pode prolongar o procedimento, de forma desnecessária, acarretando,eventualmente, numa demora na tomada de providências para mitigar ou reverter os efeitos decorrentes do incidente de segurança. Em tais situações, a redução do tempo de resposta é de suma importância para que qualquer decisão surta efeitos positivos.

4.3.3.20. Diante deste contexto, a inadmissão de comunicados de incidentes de segurança, que possam acarretar riscos ou danos relevantes aos titulares, motivadas pela falta de apresentação de documentos de representação, não me parece estar alinhada aos objetivos da norma.

4.3.3.21. Além disso, foi previsto o prazo de 15 dias úteis, contados da comunicação do incidente, para apresentação dos documentos que de que trata o §3º. Entendo, entretanto, que o prazo previsto não é adequado ao contexto da norma. A apresentação dos documentos de representação tem a finalidade de demonstrar a legitimidade ativa para realizar a comunicação e evitar a ocorrência de fraudes. Dessa forma, entendo que o momento mais adequado para sua apresentação é juntamente com a comunicação do incidente de segurança e não posteriormente.

4.31.Assim, o tratamento de dados pessoais deve atender a finalidades específicas, o que não parece ter sido adequadamente observado no presente caso, haja vista a empresa se limitar a mencionar a finalidade genérica e ampla de "treinamento de sistemas de IA generativa". Da mesma forma, é razoável suscitar, no âmbito desta cognição sumária,questionamentos sobre a compatibilidade da finalidade do tratamento posterior ("treinamento de sistemas de IA") com a finalidade original do compartilhamento das informações nas plataformas da Meta. O mesmo questionamento deve ser dirigido à legalidade da ampla, geral e indiscriminada coleta de todas as informações disponíveis e compartilhadas por usuários nas plataformas da Meta, haja vista o princípio da necessidade e o correspondente dever de limitar o tratamento ao estritamente necessário para atendimento da finalidade pretendida.

4.19. O art. 2º foi excluído, pois o dispositivo alteraria o Regulamento de Agentes de Tratamento de Pequeno Porte, aprovado pela Resolução nº 2/2022, com o objetivo de criar para esses agentes de tratamento a obrigação de manter um “canal de comunicação” com a ANPD, além do canal já previsto para o titular, na hipótese de dispensa de indicação de encarregado. Tal obrigação poderia tornar inócua a regra vigente, que dispensa a indicação de encarregado por agentes de tratamento de pequeno porte, visto que custos similares poderiam ser gerados em decorrência da necessidade de disponibilizar canal de comunicação com a ANPD. Vale ressaltar que a dispensa em questão não afasta a obrigação legal de o agente de tratamento receber e responder notificações da ANPD pelas vias ordinárias de comunicação, inclusive por meio eletrônico.

4.23. No caso dos autos, o Regulamento sobre a atuação do encarregado não gera grande repercussão e não exige medidas de adaptação pela população. Seu âmbito de incidência é restrito aos agentes de tratamento que detêm obrigação de indicar encarregado, não demandando a adoção de medidas administrativas adicionais ou, mesmo, a edição de ato normativo inferior. Isso porque, de forma geral, o Regulamento detalha e fixa entendimentos sobre regras já conhecidas e previstas na LGPD desde 2018. Ressalto, ainda, que a imediata vigência do Regulamento é medida que se impõe para conferir maior segurança jurídica à atuação deste profissional e seu relacionamento com os agentes de tratamento, os titulares e a ANPD.

4.36. No caput do art. 5º foi incluída a referência a “empregados públicos”, a fim de abrir regimes jurídicos de pessoal que se submetem ao regime celetista, a exemplo do regime aplicável às empresas estatais. Pela mesma razão, foi excluída a expressão “estáveis”. Isso porque a estabilidade é uma garantia institucional própria dos servidores públicos, que não alcança os empregados públicos.

4.38. Assim, o regulamento se mostra compatível com as interpretações já fixadas pela ANPD sobre o tema, com a expressa previsão de que entes públicos despersonalizados, a exemplo de órgãos públicos, poderão indicar encarregado quando exercerem obrigações típicas de controlador, o que costuma ocorrer em razão da desconcentração administrativa própria do setor público.

3.8. Neste sentido, proponho que os demais pedidos sejam avaliados após a análise técnica das medidas propostas e apresentação de plano de conformidade, com a especificação de prazos concretos para a implementação das medidas nos termos do art. 36 do Regulamento de Fiscalização (Resolução CD/ANPD nº 01/2021), ou de documentação que comprove a sua entrada em vigor, na forma sugerida pela CGF, sem prejuízo de determinação posterior de outras medidas de salvaguarda dos direitos dos titulares.

6.3. Sobre a motivação do ato, verifico que a decisão proferida pela Coordenação-Geral de Fiscalização foi fundamentada, adequadamente, no Relatório de Instrução nº 1/2024/CGF/ANPD, o qual, foi acolhido integralmente pela autoridade decisória como motivação com fulcro no §1º do art. 50 da Lei nº 9.784/1999 c/c o art. 55 e seguintes do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021.

6.6. Importa arrematar, por fim, que “...o julgador não está obrigado a responder a todas as questões suscitadas pelas partes, quando já tenha encontrado motivo suficiente para proferir a decisão (...)”