CD nº 16/2023

Página 1

VOTO Nº 18/2023/DIR/MW/ANPD

PROCESSO Nº 00261.001548/2023-09

INTERESSADO: Autoridade Nacional de Proteção de Dados Pessoais – ANPD

DIRETORA

MIRIAM WIMMER

1. ASSUNTO

1.1. Relatório de Ciclo de Monitoramento - 2022.

2. EMENTA

RELATÓRIO DE CICLO DE MONITORAMENTO - 2022. APROVAÇÃO DO DOCUMENTO, COM INDICAÇÃO DE PROVIDÊNCIAS ADICIONAIS A SEREM OBSERVADAS PELA COORDENAÇÃO-GERAL DE FISCALIZAÇÃO, NOS TERMOS DO ART. 20, § 2º, DO REGULAMENTO DE FISCALIZAÇÃO, APROVADO PELA RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021.

3. RELATÓRIO

3.1. Trata-se do Relatório de Ciclo de Monitoramento, referente ao ano de 2022, submetido à deliberação do Conselho Diretor pela Coordenação-Geral de Fiscalização (CGF), conforme exige o art. 20, § 2º, do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021.

3.2. De acordo com o exposto na Nota Técnica nº 1/2023/DIM/CGF/ANPD (SEI nº 4321660), retificada pelo Despacho SEI nº 4343182, o Relatório de Ciclo de Monitoramento avalia as atividades realizadas durante o ano de 2022 em apresenta ações, temas e setores considerados prioritários para a atuação da fiscalização no ano de 2023.

3.3. Foram juntadas ao processo duas versões do Relatório: a versão completa (SEI nº 4341726; 4344969) e a versão pública (SEI nº 4341732).

3.4. O processo foi distribuído a este Gabinete após sorteio realizado em 19 de junho de 2023, conforme certificado nos autos (SEI nº 4345915).

4. ANÁLISE

I - Aspectos gerais

4.1. O Relatório de Ciclo de Monitoramento (RCM) foi instituído pelo art. 20 do Regulamento de Fiscalização como instrumento de avaliação, prestação de contas e planejamento da atividade de fiscalização da ANPD.

4.2. Nessa linha, o §1º do art. 20 estabelece que o RCM deve avaliar as atividades de fiscalização realizadas durante o ciclo anual de monitoramento, direcionar a estratégia de fiscalização para o ano seguinte e consolidar as informações obtidas a partir de requerimentos e comunicações de incidentes e de outras fontes obtidas pela CGF. Além disso, conforme o § 3º do art. 20, o RCM deve ser “submetido à deliberação do Conselho Diretor ao final do ciclo e poderá indicar outras necessidades de atuação da ANPD, além de suas competências fiscalizatória e sancionatória”.

4.3. Sobre as principais informações apresentadas no RCM 2022, vale transcrever a síntese apresentada na Nota Técnica nº 1/2023/DIM/CGF/ANPD (SEI nº 4321660):

5.9. No que tange à análise dos dados recebidos e produzidos pela CGF no período, identificou-se, em apertada síntese, que os setores Plataforma Digital, Financeiro, Público, Serviços, Telecomunicações e Agregadores de Dados são os mais requeridos, tanto no que tange às denúncias de violação à LGPD, quanto às petições de titular.

5.10. Além disso, verificou-se que um elevado número de requerimentos não continha os requisitos de admissibilidade dispostos no art. 25 do Regulamento de Fiscalização, além de um número considerável de requerimentos que não dizia respeito à atuação da ANPD.

5.11. Adicionalmente, identificou-se, no que tange aos Comunicados de Incidente de Segurança, além do aumento significativo dos comunicados recebidos, uma prevalência de incidentes de sequestro de dados (ransomware) provocados por falhas de segurança em sistemas de informação que permitiram a violação do sigilo de dados pessoais. Quanto à atividade econômica exercida pelos agentes que comunicaram incidentes à ANPD, destacam-se a Administração Pública e os setores de saúde, educação, financeiro e de tecnologia da informação.

5.12. Com relação aos processos de fiscalização instaurados, é possível observar que a maior parte deles é relativa ao Setor Público. Outra grande parte é relacionada a agregadores, comercializadores e outros serviços relacionados a grandes bases de dados pessoais, bem como plataformas digitais. Isso demonstra alinhamento com os dados recebidos por meio de requerimentos e de comunicados de incidentes de segurança.

5.13. Dessa forma, os setores prioritários elencados por essa CGF no RCM são os seguintes: Setor Público, Plataformas Digitais e Agregadores e Comercializadores de Dados.

5.14. Com base nessas informações, foram sugeridas ações para 2023, referentes à fiscalização, ao redesenho de fluxos internos, a ações educativas, ao monitoramento e orientação de setores específicos e ações de conformidade com o setor público, incremento e capacitação de recursos humanos, ações de transparência ativa, dentre outras.

5.15. Para concretizar tais ações, foram elencadas atividades de planejamento e de priorização, conforme tabela abaixo:

Voto 18 (4362548) SEI 00261.001548/2023-09 / pg. 1

Página 2

4.4. Portanto, verifica-se que os requisitos regulamentares foram atendidos, uma vez que o RCM referente ao ano de 2022 foi submetido à deliberação do Conselho Diretor após o encerramento do ciclo anual de monitoramento, contemplando os seguintes aspectos, em consonância com o disposto no art. 20 do Regulamento de Fiscalização: (i) avaliação das atividades realizadas durante o ano; (ii) informações sobre os requerimentos e comunicados de incidentes recebidos no período; e (iii) direcionamento da estratégia de fiscalização para o ano de 2023.

4.5. Não obstante, com o intuito de aprimorar e fortalecer as atividades da fiscalização da ANPD, identifiquei três pontos de atenção, que demandam orientação específica por parte do Conselho Diretor ou providências adicionais por parte da CGF, conforme passo a demonstrar nas três próximas seções deste voto.

II - Cronograma e procedimento de aprovação do Relatório de Ciclo de Monitoramento 2023 e do Mapa de Temas Prioritários 2024-2025

4.6. O RCM 2022 é o primeiro elaborado pela CGF após a publicação do Regulamento de Fiscalização, que ocorreu em outubro de 2021. Por isso, não houve ainda manifestação deste Conselho Diretor sobre o procedimento e o cronograma de sua aprovação. A relevância dessas questões fica evidente ao se considerar que o Regulamento de Fiscalização se limita a estabelecer que o RCM “será submetido à deliberação do Conselho Diretor ao final do ciclo” (art. 20, § 2º), sem indicar prazos e procedimentos específicos a serem observados na hipótese.

4.7. Por outro lado, com base nas informações e análises efetuadas no RCM, a CGF também deve elaborar o Mapa de Temas Prioritários. Trata-se de documento de planejamento bianual da atividade de fiscalização, o qual, segundo os arts. 21 e 22 do Regulamento de Fiscalização, estabelecerá os temas considerados prioritários para a atuação da ANPD no período, com base em critérios de risco, gravidade, atualidade e relevância, incluindo, entre outros aspectos, os objetivos a serem alcançados ou os indicadores usados para medir a consecução desses objetivos, quando cabível.

4.8. Ressalte-se que, de acordo com o RCM 2022, o primeiro Mapa de Temas Prioritários da ANPD será elaborado para o biênio 2024-2025.

4.9. Ocorre que, de forma similar às disposições que tratam do RCM, não há no Regulamento de Fiscalização regras que disponham, de forma mais detalhada, sobre prazos e procedimentos a serem observados na hipótese. De fato, o art. 23 do Regulamento se limita a estabelecer que o Mapa deve ser submetido à “aprovação do Conselho Diretor”.

4.10. Diante de tal cenário, e a fim de conferir maior uniformidade aos trâmites processuais do RCM e do Mapa de Temas Prioritários, proponho determinar à CGF a submissão do RCM 2023 e do Mapa de Temas Prioritários 2024-2025 ao Conselho Diretor até 30/11/2023. Este prazo é o mesmo adotado no procedimento estabelecido para a Agenda Regulatória, conforme o § 3º do art. 7º, da Portaria ANPD nº 16/2021.

4.11. Dessa forma, além de seguir parâmetro adotado em seara similar, o prazo proposto permitirá a aprovação e a publicação dos instrumentos de planejamento da fiscalização até 01/02/2024, primeiro ano de vigência do Mapa de Temas Prioritários, seguindo, também quanto a este ponto, a data fixada para a aprovação da Agenda Regulatória (art. 7º, § 3º, Regulamento de Fiscalização).

4.12. Adicionalmente, vale enfatizar que o Mapa de Temas Prioritários deve ser aprovado por Resolução do Conselho Diretor, após manifestação da Procuradoria Federal Especializada (PFE). A aprovação de atos desta natureza por Resolução segue orientação recente firmada pela PFE, já observada pelo Conselho Diretor em casos similares, a exemplo da Resolução nº 5, de 13 de março de 2023, que aprovou a Agenda de Avaliação de Resultado Regulatório para o período 2023-2026.

4.13. Para o biênio subsequente (2025-2026), esses prazos poderão ser estabelecidos na própria Resolução que aprovar o Mapa 2024-2025. Assim, a Resolução fixaria o cronograma de submissão ao Conselho Diretor dos próximos RCM e Mapa de Temas Prioritários.

4.14. Por fim, destaco que o parágrafo único do art. 19 do Regulamento de Fiscalização prevê que o ciclo de monitoramento será anual, podendo ser estabelecido prazo superior por decisão do Conselho Diretor. Assim, caso a CGF entenda pertinente, também poderá incluir a ampliação desse prazo na minuta de Resolução que aprova o Mapa de Temas Prioritários – por exemplo, para dois anos, a fim de coincidir com o período bienal de vigência do Mapa.

III - Estoque de processos de comunicação de incidentes de segurança

4.15. De acordo com as informações apresentadas no RCM, até dezembro de 2022, a ANPD recebeu 473 comunicados de incidentes de segurança. No comparativo entre os anos de 2021 e 2022, verifica-se um crescimento significativo de 56% dos comunicados recebidos. A CGF avalia que o potencial de crescimento futuro desses comunicados é ainda maior, haja vista que o Regulamento de Comunicação de Incidentes deve ser publicado em breve e que, em outros países, como Reino Unido e França, o quantitativo anual é muito superior ao recebido pela ANPD.

4.16. A questão a ser considerada é que o atual cenário já é de forte represamento da análise de processos de comunicados de incidentes de segurança. Como relatado no RCM, “até o momento, menos de 10% dos incidentes comunicados tiveram sua análise finalizada (SEI 4341726, p. 25). Tal situação se verifica mesmo diante da avaliação de que “parte significativa dos incidentes cuja análise ainda não foi finalizada se refere a incidentes de menor gravidade e pode não requerer ações adicionais por parte da Autoridade ou do controlador dos dados” (SEI 4341726, p. 25).

4.17. Apesar disso, o RCM não apresenta quais providências serão adotadas para endereçar a questão do represamento de comunicados de incidentes de segurança e para minimizar os impactos negativos já previstos, tais como “aumento significativo do acervo processual e eventual prescrição de processos em razão de limitações operacionais” (SEI 4341726, p. 31).

4.18. Por tais razões, e considerando a relevância da questão, proponho determinar à CGF que apresente ao Conselho Diretor, até 31/08/2023, um plano de ação com vistas a reduzir o estoque de comunicados de incidentes de segurança ainda não analisados.

4.19. Ainda sobre o tema, deve-se considerar a importância de serem estabelecidos pelo Conselho Diretor critérios de priorização da análise. Como mencionado, o próprio RCM identifica que parte significativa dos incidentes são de menor gravidade e não demandam ações adicionais por parte da ANPD. Na mesma linha, em outro trecho, o RCM conclui que “somente será possível realizar a análise tempestiva de casos graves e considerados prioritários” (SEI 4341726, p. 31).

4.20. Postos esses termos, em complemento ao previsto no RCM, proponho que, até que sobrevenha regulamentação específica sobre o tema, a CGF considere os seguintes critérios de prioridade:

Critérios de prioridade para análise de comunicados de incidentes de segurança pela CGF

Voto 18 (4362548)　 SEI 00261.001548/2023-09 / pg. 2

Página 3

1. A CGF deve priorizar a análise de processos de comunicados de incidentes de segurança nos quais o controlador:

a) não realizou a comunicação aos titulares de dados pessoais; e

b) verifique-se a presença de, ao menos, uma das seguintes condições:

(b.1.) o incidente abrange dados sensíveis, dados de crianças e adolescentes ou dados que exponham o titular à fraude;

(b.2.) recorrência, isto é, o mesmo controlador comunicou a ocorrência de outros incidentes nos últimos dois anos; ou

(b.3.) a principal atividade do controlador afetada pelo incidente de segurança envolve tratamento de alto risco, nos termos do art. 4º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.

2. O processo não considerado prioritário, por não atender aos critérios indicados acima, poderá ser arquivado após análise sumária, desde que realizada a comunicação aos titulares, dispensada esta comunicação nos casos em que não identificada a existência de risco ou dano relevante, conforme o disposto no art. 48 da Lei nº 13.709/2018.

3. A CGF poderá proceder à análise de processos que não atendam aos critérios de priorização acima indicados, caso outras circunstâncias relevantes identificadas no caso concreto indiquem a pertinência de sua realização.

4.21. Ressalto que os critérios de prioridade propostos seguem os parâmetros já adotados pela ANPD em contextos similares, a exemplo da definição de tratamento de alto risco, que consta do art. 4º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 e das orientações sobre a elaboração de relatório de impacto à proteção de dados pessoais, recentemente disponibilizada na página eletrônica da Autoridade (https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/relatorio-de-impacto-a-protecao-de-dados-pessoais-ripd).

4.22. Por fim, vale enfatizar que esses critérios podem ser futuramente revistos e incorporados à minuta de Resolução que aprovar o Mapa de Temas Prioritários para o biênio 2024-2025.

IV - Agregadores de dados

4.23. Conforme definido no RCM, os agregadores de dados – também conhecidos como “data brokers” ou “corretores de dados” – são plataformas que “coletam, agregam e organizam dados disponíveis na internet e em outras fontes, com o objetivo de comercializá-los para terceiros” (SEI 4341726, p. 8).

4.24. Essas organizações, que tratam dados pessoais em larga escala e, muitas vezes, em operações complexas e com reduzida transparência, estão entre as mais demandadas pelos titulares em petições dirigidas à ANPD durante o ano de 2022. Em especial, considerando os agentes de tratamento individualmente, os sites “Tudo sobre Todos” e “Transparência.CC” ocupam, respectivamente, a 2ª e a 3ª colocação entre os mais denunciados. Conforme exposto no RCM (SEI 4341726, p. 8):

No caso do site Transparência.CC, nota-se que a publicização das informações se dá pela compilação das informações públicas dos sócios das empresas brasileiras, sendo que o maior motivo de denúncia é o de que a empresa não possui canal de comunicação ou encarregado pelo tratamento de dados pessoais para o exercício de direitos.

Já no caso do site Tudo Sobre Todos, há a agregação de diversos dados públicos com o objetivo de venda de informações. Assim como no site Transparência.CC, a maior parte das denúncias indica que a empresa não possui canal de comunicação ou encarregado pelo tratamento de dados pessoais para o exercício de direitos.

4.25. Como se pode observar, além de se encontrarem entre os mais denunciados e de integrarem setor considerado prioritário pela fiscalização, o RCM aponta a possível ocorrência de infrações graves à legislação de proteção de dados pessoais, notadamente no que concerne à falta de transparência e à violação a direitos dos titulares.

4.26. Não obstante, o RCM indica, de forma genérica, que a CGF avaliará a conveniência de instaurar procedimento de fiscalização em face dos agentes de tratamento mencionados após concluir a análise de processos de agregadores de dados já em curso, em particular os referentes a Unifour e a Contact Pró. Dessa forma, seria possível que “a atuação nos casos já existentes e a divulgação de suas conclusões produza reflexos sobre esses controladores” (SEI 4341726, p. 8).

4.27. Embora a concentração de esforços nos processos em curso seja medida razoável e justificável em face da limitação de recursos humanos e operacionais, entendo que a instauração de procedimento de fiscalização em face dos agregadores de dados “Tudo sobre Todos” e “Transparência.CC” deve integrar a lista de prioridades das atividades de fiscalização em 2023, dadas as condições identificadas no RCM, em especial a existência de potenciais infrações graves e o fato de os referidos agentes de tratamento estarem entre os “campeões” de denúncias remetidas à ANPD em 2022, integrando, ademais, setor considerado prioritário pela CGF.

5. VOTO

5.1. Diante de todo o exposto, voto pela aprovação do Relatório de Ciclo de Monitoramento, conforme as minutas anexadas aos autos (SEI nº 4341726; e nº 4341732), determinando-se que a CGF adote as seguintes orientações e providências adicionais relativas às atividades de fiscalização:

(a) até 30/11/2023, submissão do Relatório de Ciclo de Monitoramento 2023 e da minuta de Resolução que aprova o Mapa de Temas Prioritários para o biênio 2024-2025 à apreciação do Conselho Diretor, após manifestação da Procuradoria Federal Especializada;

(b) até 31/08/2023, apresentação ao Conselho Diretor de um plano de ação com vistas a reduzir o estoque de comunicados de incidentes de segurança ainda não analisados, observando-se, desde já, os critérios de prioridade de análise fixados no item 4.20 deste voto;

(c) inclusão, entre as ações prioritárias da fiscalização em 2023, da instauração de procedimento de fiscalização em face dos agregadores de dados “Tudo sobre Todos” e “Transparência.CC”.

5.2. Por fim, considerando a relevância da matéria e a urgência da regulamentação do tema no âmbito da ANPD, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno.

5.3. É como voto.

Miriam Wimmer Diretora Relatora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 28/06/2023, às 18:26, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Voto 18 (4362548) SEI 00261.001548/2023-09 / pg. 3

Página 4

A autenticidade do documento pode ser conferida informando o código verificador 4362548 e o código CRC 574EDD21 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.001548/2023-09　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 SUPER nº 4362548

Voto 18 (4362548)　　　 SEI 00261.001548/2023-09 / pg. 4

Página 5

ANPD

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

VOTO Nº 22/2023/DIR/AS/ANPD

PROCESSO Nº 00261.001548/2023-09

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 16/2023 (SEI 4374662) DIRETOR ARTHUR PEREIRA SABBAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 28 do Regimento Interno

Voto no Circuito Deliberativo:

ASSINADO ELETRONICAMENTE

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a) substituto(a), em 30/06/2023, às 09:53, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Voto 22 (4376511) SEI 00261.001548/2023-09 / pg. 5

Página 6

A autenticidade do documento pode ser conferida informando o código verificador 4376511 e o código CRC E51A1C38 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.001548/2023-09 SUPER nº 4376511

Voto 22 (4376511) SEI 00261.001548/2023-09 / pg. 6

Página 7

ANPD

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete do Diretor Joacil Rael

VOTO Nº 19/2023/DIR/JR/ANPD

PROCESSO Nº 00261.001548/2023-09

INTERESSADO: Autoridade Nacional de Proteção de Dados Pessoais – ANPD

CIRCUITO DELIBERATIVO Nº 16/2023 (SEI nº 4374662) DIRETOR JOACIL RAEL

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno

Voto no Circuito Deliberativo:

JOACIL RAEL DIRETOR

ASSINADO ELETRONICAMENTE

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 03/07/2023, às 11:07, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Voto 19 (4380527) SEI 00261.001548/2023-09 / pg. 7

Página 8

A autenticidade do documento pode ser conferida informando o código verificador 4380527 e o código CRC 51BABC63 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.001548/2023-09　　　　　　　　　　　　　　 SUPER nº 4380527

Voto 19 (4380527)　　　　　　　　　SEI 00261.001548/2023-09 / pg. 8

Página 9

PRESIDÊNCIA DA REPÚBLICA

VOTO Nº 19/2023/GABPR/ANPD

PROCESSO Nº 00261.001548/2023-09

INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Relatório de Ciclo de Monitoramento - 2022.

CIRCUITO DELIBERATIVO Nº 16/2023 (SEI Nº 4374662)

DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JÚNIOR

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 28 do Regimento Interno

Voto no Circuito Deliberativo:

WALDEMAR GONÇALVES ORTUNHO JÚNIOR DIRETOR-PRESIDENTE

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 03/07/2023, às 14:46, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4384690 e o código CRC 1A28F82C no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.001548/2023-09 SUPER nº 4384690

Voto 19 (4384690) SEI 00261.001548/2023-09 / pg. 9

Página 10

ANPD

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

VOTO Nº 15/2023/DIR/NR/ANPD

PROCESSO Nº 00261.001548/2023-09

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 16/2023 (SEI 4374662) DIRETORA NAIRANE RABELO LEITÃO

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 28 do Regimento Interno

Voto no Circuito Deliberativo:

ASSINADO ELETRONICAMENTE

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão, Diretor(a), em 03/07/2023, às 16:43, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4385111 e o código CRC F1E06703 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.001548/2023-09 SUPER nº 4385111

Voto 15 (4385111) SEI 00261.001548/2023-09 / pg. 10