CD nº 6/2023 — Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados (RIPD)

Página 1

PRESIDÊNCIA DA REPÚBLICA

Autoridade Nacional de Proteção de Dados Diretor Joacil Rael

VOTO Nº 6/2023/DIR/JR/ANPD

PROCESSO Nº 00261.002096/2022-93

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD) DIRETOR

JOACIL BASILIO RAEL

I. ASSUNTO

1. Publicação do documento Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

1. EMENTA

2.1. MINUTA DO DOCUMENTO PERGUNTAS E RESPOSTAS SOBRE O

RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS (RIPD).

1. RELATÓRIO

3.1. O presente processo versa sobre o documento Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais - RIPD (SEI 3681771). Referido documento tem como objetivo prestar esclarecimentos para a elaboração do Relatório de Impacto à Proteção de Dados (RIPD) pelos agentes regulados, nos termos dos artigos 5º, XVII e 38 da Lei nº 13.709, de 18 de agosto de 2018, Lei Geral de Proteção de Dados (LGPD).

3.2. Importa relatar que o texto do documento (SEI 3681771) foi submetido à consulta interna no período de 19/08/2022 a 25/08/2022, tendo sido ainda discutido na 32º Reunião Técnica do Conselho Diretor (RTCD), realizada em 26 de setembro de 2022 (SEI 3681770), e posteriormente enviado à Coordenação-Geral de Normatização por meio do Despacho da Diretora Nairane Rabelo (SEI 3681768).

3.3. A CGN elaborou a Nota Técnica nº 42/2022/CGN/ANPD (SEI 3701377) apresentando as 16 (dezesseis) perguntas e um fluxograma de elaboração e atualização do RIPD (SEI 3738158), com o objetivo de trazer maior clareza e didática ao tema.

3.4. A Nota técnica foi submetida à apreciação da Procuradoria Federal Especializada junto à ANPD (PFE/ANPD), que emitiu o Parecer 00032/2022/GAB/PFE/ANPD/PGF/AGU (SEI 3701377), com análise dos aspectos jurídicos do documento.

3.5. Considerando as recomendações apresentadas pela PFE/ANPD, a CGN elaborou a Nota Técnica nº 7/2023/CGN/ANPD (SEI 3957734), com uma nova minuta do documento de perguntas e respostas (SEI 3958443).

3.6. O processo foi distribuído a este Gabinete após sorteio, conforme Certidão de Distribuição (SEI 3975434).

3.7. É o relatório. Passo à análise. 4, ANÁLISE

DOS ASPECTOS FORMAIS

4.1. Conforme relatado, trata-se da análise da versão final do documento Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais - RIPD (SEI 3681771), com fundamento nas competências atribuídas ao Conselho Diretor pelos arts. 55-J, incisos 1 e VI, da LGPD, no 7º, inciso VIII,

Página 2

do Regimento Interno da ANPD.

4.2. A elaboração do documento se deu por solicitação do Conselho Diretor, tendo como justificativa a necessidade de apresentar orientações e esclarecimentos sobre a elaboração do Relatório de Impacto à Proteção de Dados pelos controladores, conforme previsto nos artigos 5º, inciso XVII, e 38 da LGPD.

4.3. Não obstante o tema encontrar-se na Agenda Regulatória do biênio 2023/2024, conforme Portaria ANPD nº 35, de 4 de novembro de 2022, constatou-se a necessidade urgente de trazer esclarecimentos à sociedade sobre o relatório, tendo em vista que o processo de regulamentação da matéria está em andamento no âmbito da ANPD, conforme pode ser observado no processo n.

00261.000617/2021-97.

4.4. Dito isto, entendo terem sido observados os procedimentos aplicáveis à espécie, de forma que a instauração e instrução do processo até aqui obedeceram às disposições regimentais aplicáveis, havendo a necessária motivação para a elaboração do documento.

4.5. Destaco que em razão de sua natureza meramente orientativa, o documento segue rito simplificado, prescindindo de formalidades indispensáveis às demais ações regulatórias desta Autoridade, a exemplo de previsão da agenda regulatória, realização de consulta à sociedade ou a elaboração de análise de impacto regulatório.

4.6. Com efeito, as orientações constantes no documento sob análise atendem às determinações da LGPD, em especial aquelas estampadas nos artigos 55-J, VI, VII e VIII, que atribuem a competência de “promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais”, “promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade” e “estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais”.

4.7. Nesse mesmo sentido, o regimento interno da ANPD, em seu art. 16, II, dispõe ser competência da CGN: “elaborar guias e recomendações, bem como proposições normativas, orientações e procedimentos simplificados nos termos da Lei nº 13.709, de 2018, a serem submetidas à aprovação pelo Conselho Diretor”.

4.8. Portanto, entendo estarem preenchidos os requisitos de ordem formal aplicáveis ao caso. Da mesma forma, noto que o documento se encontra adequado para o atendimento dos propósitos pretendidos, porquanto apresenta, no formato de perguntas e respostas, orientações e recomendações da ANPD sobre a elaboração do RIPD.

H. DO CARÁTER ORIENTATIVO

4.9. Ademais, julgo oportuno destacar desde logo a natureza não vinculativa do documento ora avaliado, indicando ainda, que a regulamentação do tema, que está em andamento, poderá alterar, excluir ou inserir novas orientações da ANPD sobre assunto.

4.10. Trata-se, nesse sentido, de documento de orientação e de recomendação, que serve ao propósito de esclarecer dúvidas e apresentar, de forma transparente, os principais entendimentos da Autoridade sobre o RIPD.

1. Com isso, promove-se a cultura da proteção de dados pessoais, a previsibilidade e a segurança jurídica no ambiente regulado, além de incentivar os agentes de tratamento, em especial os controladores de dados, a adotarem práticas aderentes à legislação, em conformidade com o princípio da responsabilização e prestação de contas (art. 6º, X, LGPD).

HI. DO MÉRITO

4.12. Conforme já mencionado, a LGPD prevê em seus artigos 5º, inciso XVII, e 38, o RIPD, como importante instrumento a ser manejado pelos controladores de dados pessoais para a avaliação constante e sistemática de suas operações de tratamento de dados pessoais que envolvam alto risco para os direitos e liberdades dos titulares de dados.

Página 3

4.13. Nesse contexto, o documento contém recomendações da ANPD sobre a elaboração, as metodologias a serem consideradas pelos controladores para a gestão dos riscos, os requisitos mínimos, entre outras orientações.

4.14. Dito isto, indico ter realizado algumas alterações no documento encaminhado a este gabinete (SEI 3958450). Algumas das modificações foram de ordem meramente formal, com o objetivo de tornar mais clara a redação dos dispositivos, excluir trechos repetidos ou com redação semelhante em mais de uma reposta, ou corrigir erros materiais constantes no documento. Estas modificações não serão apresentadas de forma individualizada no presente voto. Contudo, todas as alterações estão registradas nas marcas de revisão na minuta anexada ao processo.

4.15. Não obstante, algumas alterações relacionadas ao conteúdo do documento também foram realizadas. Desta forma, passo a discorrer nos tópicos subsequentes sobre as principais modificações materiais realizadas na minuta.

A. DO ALTO RISCO

4.16. Todo tratamento de dados pessoais envolve, em alguma medida, riscos aos direitos e liberdades dos titulares de dados. Este é inerente e presumido da própria operação. Contudo, percebo da avaliação da doutrina predominante sobre o assunto, destacando aqui, ainda, as importantes considerações

recebidas pela ANPD durante as reuniões técnicas sobre o RIPDHI!, que a elaboração do RIPD tem natureza de exceção, a ser realizada apenas quando identificado um tratamento que implique risco significativo, portanto um alto risco, aos direitos e liberdades dos titulares e à garantia dos princípios da LGPD.

4.17. Essa leitura avança de uma perspectiva dualista do risco — relacionada à existência ou inexistência de risco associado a uma operação de tratamento —, destacada, dentre outros autores, por

Maria Cecília Gomes!2l, para uma avaliação mais refinada, a partir de um processo de identificação, avaliação e compreensão dos riscos e dos seus impactos aos direitos dos titulares.

4.18. Essa percepção já estava apresentada na versão do documento enviada a este gabinete. No entanto, julgo pertinente ajustar e padronizar as referências constantes no documento aos riscos que devem dar ensejo à elaboração do RIPD pelos controladores, de forma a não deixar dúvidas de que o RIPD deve ser elaborado apenas quando identificado um alto risco aos direitos e liberdades dos titulares de dados.

4.19. Nessa trilha, alterei a resposta da pergunta de nº 1, indicando que “o RIPD é o documento que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na LGPD e às liberdades civis e aos direitos fundamentais do titular de dados.”

4.20. Como consequência desta alteração, também foram ajustadas as referências ao alto risco constantes nas perguntas 3, 4 e 9 do documento.

B. DA POSSIBILIDADE DE CONSULTA À ANPD

1. Com o objetivo de simplificar a resposta oferecida e melhor expor a essência da informação a ser passada aos controladores, além de manter a uniformização da linguagem constante no documento à já adotada pela autoridade em outros documentos publicados, a redação da resposta à pergunta de nº 11 foi modificada.

4.22. Assim, o texto foi alterado, adotando-se a redação constante na página de dúvidas da

ANPD!B! sobre a inviabilidade de manifestação individualizada da autoridade para consultas jurídicas relacionadas a situações concretas. Não obstante, inseri a indicação de que o controlador pode enviar suas dúvidas e questionamentos ao endereço eletrônico da ouvidoria para fins estatísticos, como forma de insumo e possível direcionamento à atuação regulatória ou para a emissão de orientações específicas pela ANPD.

C. DOS TIPOS DE DADOS E DA SUA RELAÇÃO EXAUSTIVA

Página 4

4.23. Ao indicar quais dados e informações incluir no RIPD, foi feita uma alteração na redação da resposta apresentada para a pergunta de nº 15, com o objetivo de evitar transposição completa da base de dados, dispensando a apresentação de informação excessiva e pouco eficiente quando da elaboração do RIPD.

4.24. Assim, foi inserida a indicação de que os dados deverão estar suficientemente detalhados para que da leitura do RIPD tanto o controlador quanto a ANPD tenham ampla compreensão dos tratamentos realizados, seus riscos e das medidas adotadas para sua mitigação.

D. DA FUSÃO DAS QUESTÕES 14 e 15

4.25. Finalmente, julguei pertinente unificar as respostas das perguntas de nº 14 e

1. Assim, inseri, como último parágrafo para a resposta da pergunta de nº 14, relacionada às ações a serem desenvolvidas após a elaboração do RIPD, a recomendação aos controladores de manter, de forma contínua, a revisão das premissas utilizadas para a elaboração do relatório, com necessidade de especial atenção para os fatores de risco avaliados.

1. VOTO

5.1. Ante o exposto, voto pela aprovação do documento Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais — RIPD e sua publicação junto ao sítio eletrônico da Autoridade Nacional de Proteção de Dados.

5.2. Destaco que as alterações propostas restam consolidadas na minuta do documento que segue anexa ao presente voto.

5.3. Considerando a relevância e a urgência na apresentação de orientações e recomendações sobre o Relatório de Impacto à Proteção de Dados, proponho a votação por meio de circuito deliberativo, nos termos do $ 1º do art. 40, do Regimento Interno.

5.4. Por fim, registro a necessidade de envio do documento à Assessoria de Comunicação da ANPD para a definição de identidade visual a ser adotada e posterior publicação do documento no portal da ANPD.

5.5. É como voto.

JOACIL BASILIO RAEL Diretor Relator

[1] Todas as reuniões estão disponíveis na página da ANPD youtube, acessível em: https://www.youtube.com/(Danpdgov/playlists

[2] GOMES, Maria Cecília O. Entre o método e a complexidade: compreendendo a noção de risco na LGPD. In Temas atuais de proteção de dados. PALHARES, Felipe (Coord.). São Paulo: Thomson Reuters Brasil, 2020, pp 245-271.

[3] Acessível em: https://www.gov.br/anpd/pt-br/canais atendimento/cidadao-titular-de-dados/duvidas- sobre-a-lgpd/duvidas

do

] Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 20/03/2023, às 17:36, * conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Página 5

A autenticidade do documento pode ser conferida informando o código verificador 4051807 e o código = CRC 38D0C2B2 no site:

https://super.presidencia.gov.br/controlador externo.php?

acao=documento conferir&id orgao acesso externo=0

Referência: Processo nº 00261.002096/2022-93 SUPER nº 4051807

Página 6

MINISTÉRIO DA JUSTIÇA E SEGURANÇA PÚBLICA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete do Diretor Arthur Pereira Sabbat

VOTO Nº 7/2023/DIR/AS/ANPD

PROCESSO Nº 00261.002096/2022-93

INTERESSADO: ANPD CIRCUITO DELIBERATIVO Nº 06/2023 (SEI 4053118) DIRETOR ARTHUR PEREIRA SABBAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do $ 1º do art. 28 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

EIS

oto no Circuito Deliberativo:

=

x Acompanho o Relator (Voto nº 6/2023/DIR/JR/ANPD - SEI 4051807)

Não acompanho o Relator, nos seguintes termos:

• Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 21/03/2023, às ] 11:46, conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de

Referência: Processo nº 00261.002096/2022-93 SUPER nº 4054306

Página 7

ANPD

Autoridade Nacional de Proteção de Dados

VOTO Nº 8/2023/DIR/MW/ANPD

PROCESSO Nº 00261.002096/2022-93 INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Publicação do documento Perguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

IX

Acompanho o Relator (Voto nº 6/2023/DIR/JR/ANPD, SEI nº 4051807)

Não acompanho o Relator, nos termos do Voto indicado a seguir:

art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020 .

) Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 22/03/2023, às 17:11, conforme horário oficial de Brasília, com fundamento no $ 3º do

Referência: Processo nº 00261.002096/2022-93

SUPER nº 4054654

Página 8

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete do Diretor-Presidente

VOTO Nº 9/2023/GABPR/ANPD

PROCESSO Nº 00261.002096/2022-93

INTERESSADO: ANPD CIRCUITO DELIBERATIVO Nº 06/2023 DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do $ 1º do art. 28 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

X	Não aplicável à hipótese

Voto no Circuito Deliberativo:

X	Acompanho o Relator (Voto nº 6/2023/DIR/JR/ANPD - SEI 4051807)

Não acompanho o Relator, nos seguintes termos:

• Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, ] em 23/03/2023, às 11:28, conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do A Decreto nº 10.543, de 13 de novembro de 2020 .

= A autenticidade do documento pode ser conferida informando o código verificador 4054774 e o código = CRC 62E0146C no site:

https://super.presidencia.gov.br/controlador externo.php?

EI acao=documento conferir&id orgao acesso externo=0

Referência: Processo nº 00261.002096/2022-93 SUPER nº 4054774