CD nº 14/2023

Página 1

Gabinete do Diretor Arthur Pereira Sabbat

VOTO Nº 14/2023/DIR/AS/ANPD

PROCESSO Nº 00261.000397/2022-82 INTERESSADO: Autoridade Nacional de Proteção de Dados – ANPD DIRETOR ARTHUR PEREIRA SABBAT

1. ASSUNTO

1.1. Proposta de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP).

2. EMENTA

2.1. PROPOSTA MODELO DE REGISTRO DAS OPERAÇÕES DE TRATAMENTO DE DADOS PESSOAIS PARA AGENTES DE TRATAMENTO DE PEQUENO PORTE (ATPP). CARÁTER NÃO VINCULANTE. PARÁGRAFO ÚNICO DO ART. 9º DA RESOLUÇÃO CD/ANPD Nº 2, DE 27 DE JANEIRO DE 2022.

3. RELATÓRIO

3.1. Vêm à apreciação deste Relator proposta de modelo de registro das atividades de tratamento de dados para Agentes de Tratamento de Pequeno Porte (ATPP), de caráter não vinculante, veiculado pela Nota nº 6/2023/CGN/ANPD, de 22 de maio de 2022 (SEI 3916972), com fundamento no parágrafo único do art. 9º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (Regulamento de aplicação da LGPD para Agentes de Tratamento de Pequeno Porte).

3.2. A proposta inicial foi elaborada pela Coordenação-Geral de Normatização (SEI 3567131), que justificou a proposta por meio da nota técnica nº 33/2022/CGN/ANPD (SEI 3567003), com destaque para os seguintes pontos: (i) identificar os dados pessoais tratados pelos agentes de tratamento; (ii) facilitar a atribuição de bases legais de tratamento; (iii) auxiliar no atendimento solicitações de exercício de direitos pelos titulares de dados pessoais; (iv) auxiliar a conformidade com legislações de proteções de dados pessoais; (v) facilitar a aderência aos princípios da LGPD (transparência, responsabilização e outros); (vi) para fins de fiscalização por esta Autoridade.

3.3. A proposta recebeu comentários e sugestões dos demais servidores da ANPD e, em 16 de maio, foram realizados apresentação e alinhamento com o Conselho Diretor da ANPD, sobre a consulta interna realizada do modelo de registro simplificado de operações de tratamento. O Conselho Diretor apontou a necessidade de amadurecimento de alguns temas e a importância de outras etapas de revisão para avaliar o nível de aprofundamento, tendo em vista se tratar de formulário simplificado.

3.4. A proposta foi encaminhada para análise da Procuradoria Federal Especializada da ANPD, que se manifestou por meio da Nota Jurídica nº 00010/2022/GAB/ASJUR-ANPD/CGU/AGU (SEI nº 3636053), pela conformação jurídica do feito, mas apresentou sugestão de incluir um campo destinado à identificação da operação de tratamento e pela tomada de subsídios.

3.5. A sugestão não foi acatada pela CGN, conforme disposto na Nota Técnica nº 45/2022/CGN/ANPD (SEI 3726615), por entender que a sugestão tornaria o modelo mais complexo e poderia dificultar o preenchimento do documento proposto. Ato contínuo, a CGN emitiu despacho (SEI 3726171) autorizando a realização de tomada de subsídios por meio da plataforma “Participa Mais Brasil”,

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 1

Página 2

no período de 4 de novembro até 4 de dezembro de 2023. Tal prazo, ainda, foi prorrogado conforme consta no despacho SEI nº 3786223, para 4 de janeiro de 2023.

3.6. Após a contribuição da sociedade (SEI nº 3850434), a CGN emitiu a Nota Técnica 6/2023/CGN/ANPD, de 22 de maio de 2022, simplificando ainda mais o modelo proposto (SEI 3916972), na qual reduziu o número de campos do formulário, de forma a atingir o escopo do art. 9º, parágrafo único da Resolução CD/ANPD nº 2/2022.

3.7. Em 22 de maio de 2023 o processo foi distribuído para a minha Relatoria, conforme certidão de distribuição 4268010 (SEI 4268010).

3.8. É o relatório.

4. ANÁLISE

I - ANÁLISE FORMAL

4.1. Avalio, preliminarmente, que a instauração e a instrução do processo obedeceram às disposições legais e regimentais aplicáveis, para a elaboração de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP), com fundamento nas competências de caráter educativo da ANPD decorrentes do art. 55-J, VI e VII, da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD). Art. 55-J - Compete à ANPD: (…) VI - promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança; VII - promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade; XVIII - editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se a esta Lei;

4.2. O parágrafo único do citado artigo estabelece que a Autoridade Nacional de Proteção de Dados (ANPD) poderá estabelecer diretrizes para a elaboração do registro de atividades de tratamento de dados, que o regulamentou por meio da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (Regulamento de aplicação da LGPD para Agentes de Tratamento de Pequeno Porte), que dispõe no artigo 9, parágrafo único, que a ANPD fornecerá modelo para o registro simplificado.

4.3. O art. 16, inciso II, do Regimento Interno da ANPD, atribui à CGN as competências para a elaboração de guias e recomendações, bem como proposições normativas, regulamentos, orientações e procedimentos simplificados, nos termos da LGPD, a serem submetidas à aprovação pelo Conselho Diretor. O modelo foi submetido a comentários e sugestões dos demais servidores da ANPD e da sociedade, na modalidade tomada de subsídios, para possibilitar que os setores interessados pudessem se manifestar sobre o tema.

4.4. Como demonstrado, foram observados os procedimentos aplicáveis à espécie, de forma que a instauração e a instrução do processo obedeceram às disposições legais e regimentais aplicáveis.

II - ANÁLISE DE MÉRITO

4.5. A LGPD previu no art. 37 que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Determina-se, em distintas disposições, que os dados pessoais somente possam ser coletados para finalidades específicas, devem ser tratados com confidencialidade, só podem ser compartilhados em casos permitidos por lei e que devem ser protegidos com medidas técnicas e administrativas adequadas.

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 2

Página 3

Além disso, dispõe também sobre a necessidade de transparência e informação aos titulares dos dados.

4.6. Basicamente, a ANPD está disponibilizando um modelo para orientar os agentes de tratamento de dados, especialmente aqueles de pequeno porte, uma vez que não possuem referências de documentos para uso. O modelo não é obrigatório e pode ser aprimorado pelos próprios agentes de tratamento, sendo uma espécie de guia orientativo. Ele tem como objetivo incentivar a realização do registro de operações e contribuir para a proteção e a segurança dos dados tratados pelos diversos interessados.

4.7. Conforme a Nota Técnica nº 6/2023/CGN/ANPD, datada de 22 de maio de 2022, o modelo de registro de atividades de tratamento de dados pessoais proposto foi desenvolvido a partir de referências internacionais, como o Regulamento Geral de Proteção de Dados (RGPD) da União Europeia, bem como modelos de registro utilizados pela Comissão de Informação do Reino Unido (ICO) e pela Comissão Nacional de Informática e Liberdades da França (CNIL). O que significa que o modelo adotado pela ANPD está alinhado a boas práticas internacionais e pode ser um guia eficaz para as empresas de pequeno porte que realizam o tratamento de dados pessoais.

4.8. O formulário apresentado pela CGN contém 10 itens a serem preenchidos pelo ATPP, que vão desde informações sobre a identificação da empresa responsável pelo tratamento, até o período de armazenamento dos dados e as medidas de segurança adotadas para protegê-los.

4.9. O item 1 do formulário, apresenta traz informações necessárias para identificar a empresa ou organização responsável pelo tratamento de dados pessoais, possibilitando o exercício dos direitos dos titulares e para que a ANPD possa entrar em contato com o agente de tratamento em caso de violações, contribuindo para a transparência e a efetividade do tratamento de dados pessoais.

4.10. Com relação aos itens 2 e 3, que dispõe respectivamente acerca da natureza dos dados pessoais (dados pessoais comuns e sensíveis) e da categoria de titulares (crianças e adolescentes e idosos) entendo que tais itens são dispensáveis pois a Coordenação-Geral de Fiscalização da ANPD seria capaz de identificar essas informações a partir do tipo de dado pessoal registrado, e, portanto, não seria necessário para os Agentes de Tratamento de Pequeno Porte categorizá-los dessa forma. Em resumo, a supressão dessas seções simplificaria e otimizaria o registro e permitiria mais espaço para que o ATPP se concentre nas informações relevantes à análise da ANPD.

4.11. O item 4 traz a finalidade do tratamento, significa que as informações pessoais coletadas devem ser utilizadas apenas para fins específicos, legítimos e informados previamente aos titulares dos dados.

4.12. O item 5 dispõe sobre “Dados Pessoais”, definido pelo art. 5º da LGPD como a informação relacionada a pessoa natural identificada ou identificável. Nesse sentido, alguns exemplos de dados pessoais são: nome, RG, CPF, data de nascimento, endereço residencial, dentre outros. No caso desse campo, o preenchimento pode incluir dados pessoais sensíveis.

4.13. O item 6 dispõe sobre “processo”, “finalidade” e “base legal adotada”. Tais itens permitem que o tratamento de dados pessoais seja realizado com propósitos legítimos e explícitos, em que se informa o nome do processo interno ao qual o presente registro se refere (tratamento de dados realizado), a finalidade (motivo do tratamento), e a hipótese legal que justifica o o tratamento realizado, conforme os artigos 7º e 11 da LGPD. Por exemplo: Processo - coleta de dados pessoais de candidatos; Finalidade - avaliar e selecionar candidatos; Hipótese legal - consentimento.

4.14. O item 7 trata do compartilhamento de dados, que nos termos da LGPD, refere à transferência ou divulgação de informações pessoais de um indivíduo por uma empresa ou organização, para outra organização ou terceiro, mas que deve ter a devida autorização e consentimento do titular dos dados, ressalvadas as hipóteses de dispensa. Por exemplo, o ATPP deve descrever o fluxo de compartilhamento para fora da organização e o nome dos terceiros, com quem os dados foram compartilhados. Por exemplo, compartilhamento de dados com empresa Y para fins de marketing.

4.15. O item 8 do documento trata do período de armazenamento dos dados pessoais, que nos termos do artigo 15 da LGPD deve ser limitado ao tempo necessário para cumprir a finalidade para a qual os dados foram coletados. Sendo assim, as empresas devem criar uma política de retenção de dados que especifique quando e por quanto tempo cada tipo de dado pessoal será armazenado, considerando as exigências legais e regulamentares. Após o fim desse período, é importante eliminar ou anonimizar as informações para evitar exposição indevida dos dados pessoais dos titulares. Se a empresa não tiver uma

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 3

Página 4

política específica, é possível simplesmente informar que o artigo 15 está sendo seguido.

4.16. O item 9 dispõe sobre medidas de segurança utilizadas pelo ATPP, para fins de manuseio seguro dos dados dos titulares. Nesse contexto, é importante destacar que a ANPD publicou Guia Orientativo referente à Segurança da Informação para Agentes de Tratamento de Pequeno Porte , endereçado a esses agentes que, em razão de seu porte e de eventuais limitações, muitas vezes não possuem dentre o seu quadro de funcionários, pessoas especializadas em segurança da informação e que necessitam aprimorá-la em relação ao tratamento de dados pessoais. É importante lembrar que as medidas de segurança devem ser adequadas ao tipo de dado que está sendo tratado e ao risco associado ao tratamento desses dados. Algumas das medidas incluem: criptografia; controle de acesso; anonimização; antivírus atualizado; backups; pseudonimização; firewall; entre outros.

4.17. Por último, no item “observações”, o espaço seria para que o ATPP possa inserir informações adicionais, se houver, como dados de encarregados e de operadores, transferências internacionais de dados pessoais, se for o caso, etc.

5. ALTERAÇÕES PROPOSTAS PELO RELATOR

5.1. Do ponto de vista formal, proponho ajustes no cabeçalho do modelo, para inserir o vocábulo “operações”, em substituição ao termo “atividades”, em paralelismo com o disposto com a LGPD e com a Resolução CD/ANPD nº 2/2022.

5.2. Ademais, Entendo ser pertinente que tal formulário seja disponibilizado pela ANPD em formato de planilha Excel (SEI 4302838), que pode ser mais adequada à realidade organizacional dos agentes de tratamento, podendo, ainda, tal formulário ser disponibilizado em formato pdf.

5.3. No mérito, proponho a supressão dos campos “Natureza dos Dados Pessoais” e “Categoria de Dados Pessoais”, pois a seção “Dados Pessoais” já seria suficiente para que a ANPD identifique o tipo, a natureza e a categoria, sem a necessidade de classificação adicional por parte dos envolvidos, de modo a tornar mais simples o preenchimento do registro em tela. O quadro a seguir apresenta os itens trazidos pela Nota Técnica 6/2023/CGN/ANPD, para fins de melhor visualização das modificações propostas.

MODELO FORMULÁRIO SIMPLIFICADO DE REGISTRO DE OPERAÇÕES DE TRATAMENTO PARA AGENTES DE TRATAMENTO DE PEQUENO PORTE

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 4

Página 5

5.4. Sendo essas as principais alterações a serem incorporadas ao formulário, acompanhadas das correspondentes justificativas técnicas e jurídicas, entendo conveniente e oportuna a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revista e consolidada da minuta (SEI 4302838) à apreciação dos demais membros do colegiado.

6. VOTO

6.1. Diante de todo o exposto, voto pela aprovação da proposta de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP), com as alterações sugeridas (SEI 4302838)

6.2. É como voto.

ARTHUR PEREIRA SABBAT Diretor Relator

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 5

Página 6

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 01/06/2023, às 10:31, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4268077 e o código CRC 92857B69 no site: https://super.presidencia.gov.br/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000397/2022-82 SUPER nº 4268077

Voto 14 (4268077) SEI 00261.000397/2022-82 / pg. 6

Página 7

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete do Diretor Joacil Rael

VOTO Nº 16/2023/DIR/JR/ANPD

PROCESSO Nº 00261.000397/2022-82 INTERESSADO: Autoridade Nacional de Proteção de Dados – ANPD

CIRCUITO DELIBERATIVO Nº 14/2023 (SEI nº 4303120) DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 02/06/2023, às 11:02, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4306519 e o código CRC 5ADE2D87 no site: https://super.presidencia.gov.br/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000397/2022-82 SUPER nº 4306519

Voto 16 (4306519) SEI 00261.000397/2022-82 / pg. 7

Página 8

VOTO Nº 16/2023/DIR/MW/ANPD

PROCESSO Nº 00261.000397/2022-82 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Proposta de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP).

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 07/06/2023, às 18:09, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020 .

A autenticidade do documento pode ser conferida informando o código verificador 4308742 e o código CRC 58EC9881 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000397/2022-82 SUPER nº 4308742

Voto 16 (4308742) SEI 00261.000397/2022-82 / pg. 8

Página 9

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete da Diretora Nairane Rabelo Leitão

VOTO Nº 10/2023/DIR/NR/ANPD

PROCESSO Nº 00261.000397/2022-82 INTERESSADO: Autoridade Nacional de Proteção de Dados – ANPD ASSUNTO: Proposta de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP).

VOTO EM CIRCUITO DELIBERATIVO DIRETORA NAIRANE RABELO LEITÃO

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão, Diretor(a), em 12/06/2023, às 15:12, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4312215 e o código CRC 1527680A no site: https://super.presidencia.gov.br/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000397/2022-82 SUPER nº 4312215

Voto 10 (4312215) SEI 00261.000397/2022-82 / pg. 9

Página 10

VOTO Nº 17/2023/GABPR/ANPD

PROCESSO Nº 00261.000397/2022-82 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Proposta de modelo de registro das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP).

VOTO EM CIRCUITO DELIBERATIVO

DIRETOR-PRESIDENTE

WALDEMAR GONÇALVES ORTUNHO JUNIOR

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 12/06/2023, às 16:54, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020 .

A autenticidade do documento pode ser conferida informando o código verificador 4323004 e o código CRC 535434A3 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000397/2022-82 SUPER nº 4323004

Voto 17 (4323004) SEI 00261.000397/2022-82 / pg. 10