CD nº 34/2023

Página 1

ANPD

Autoridade Nacional de Proteção de Dados

VOTO Nº 35/2023/DIR/MW/ANPD

PROCESSO Nº 00261.002987/2023-21

INTERESSADO: Autoridade Nacional de Proteção de Dados Pessoais – ANPD

DIRETORA

MIRIAM WIMMER

1. ASSUNTO

1.1. Relatório de Ciclo de Monitoramento - 1º Semestre de 2023.

2. EMENTA

2.1. RELATÓRIO DE CICLO DE MONITORAMENTO - 1º SEMESTRE DE 2023. APROVAÇÃO DO DOCUMENTO, COM INDICAÇÃO DE PROVIDÊNCIAS ADICIONAIS A SEREM OBSERVADAS PELA COORDENAÇÃO-GERAL DE FISCALIZAÇÃO, NOS TERMOS DO ART. 20, § 2º, DO REGULAMENTO DE FISCALIZAÇÃO, APROVADO PELA RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021.

3. RELATÓRIO

3.1. Trata-se do Relatório de Ciclo de Monitoramento (SEI nº 4716631), referente ao 1º Semestre de 2023, submetido à deliberação do Conselho Diretor pela Coordenação-Geral de Fiscalização (CGF), conforme exige o art. 20, § 2º, do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021.

3.2. De acordo com o exposto na Nota Técnica nº 3/2023/DIM/CGF/ANPD (SEI nº 4711664), o Relatório de Ciclo de Monitoramento avalia as atividades realizadas durante o 1º Semestre de 2023 e apresenta as ações planejadas para o ano de 2024.

3.3. O processo foi distribuído a este Gabinete após sorteio realizado em 10 de novembro de 2023, conforme certificado nos autos (SEI nº 4725240).

4. ANÁLISE

4.1. O Relatório de Ciclo de Monitoramento (RCM) foi instituído pelo art. 20 do Regulamento de Fiscalização como instrumento de avaliação, prestação de contas e planejamento da atividade de fiscalização da ANPD.

4.2. Nessa linha, o §1º do art. 20 estabelece que o RCM deve avaliar as atividades de fiscalização realizadas durante o ciclo anual de monitoramento, direcionar a estratégia de fiscalização para o ano seguinte e consolidar as informações obtidas a partir de requerimentos e comunicações de incidentes e de outras fontes obtidas pela CGF. Além disso, conforme o § 3º do art. 20, o RCM deve ser “submetido à deliberação do Conselho Diretor ao final do ciclo e pode indicar outras necessidades de atuação da ANPD, além de suas competências fiscalizatória e sancionatória”.

4.3. Considerando esses parâmetros regulamentares, verifico que o RCM 2023 está aderente ao disposto no art. 20 do Regulamento de Fiscalização, na medida em que contempla: (i) avaliação das atividades realizadas durante o ano de 2023; (ii) informações sobre os requerimentos e comunicados de incidentes recebidos no período; e (iii) direcionamento da estratégia de fiscalização para o biênio 2024-2025.

4.4. Sobre as principais informações apresentadas no RCM 2023, vale transcrever a síntese apresentada na Nota Técnica nº 3/2023/DIM/CGF/ANPD (SEI nº 4711664):

Voto 35 (4740561)

SEI 00261.002987/2023-21 / pg. 1

Página 2

5.3. O Relatório de Ciclo de Monitoramento - 1º Semestre de 2023 é o segundo relatório deste tipo produzido pela ANPD, e abrange o período de janeiro a junho de 2023. A alteração na periodicidade do ciclo de monitoramento se deveu à necessidade de uniformização dos trâmites para submissão do Relatório de Ciclo de Monitoramento e do Mapa de Temas Prioritários (MTP) ao Conselho Diretor da ANPD. Dessa forma, a aprovação e a publicação desses instrumentos de planejamento poderão ocorrer simultaneamente até 01/02/2024, o primeiro ano de vigência do Mapa de Temas Prioritários.

5.4. O RCM foi elaborado a partir de subsídios que incluem as informações obtidas a partir de requerimentos, comunicações de incidentes e outras fontes de insumos coletadas no 1º Semestre de 2023, oferecendo uma visão abrangente das atividades de fiscalização da ANPD. O documento reflete tanto os progressos realizados em 2023 quanto as projeções estratégicas para orientar, juntamente com o Mapa de Temas Prioritários, as ações de fiscalização da ANPD no decorrer do próximo ciclo.

5.5. Ao longo do RCM são apresentados os resultados obtidos durante o primeiro semestre de 2023 na CGF, bem como uma análise dos dados coletados. A partir desses resultados, são propostas ações visando fortalecer as práticas de proteção de dados no âmbito da ANPD, bem como proporcionar subsídios para a tomada de decisões estratégicas e a implementação de melhorias contínuas, contribuindo para uma atuação transparente, confiável e em conformidade com as diretrizes estabelecidas pela LGPD.

5.6. Neste ciclo de monitoramento, foi incluída, ainda, a avaliação parcial das atividades de fiscalização propostas no ciclo anterior, além da introdução de propostas de temas para a elaboração do Mapa de Temas Prioritários.

5.7. As principais atividades realizadas pela CGF durante o período consistem na recepção e análise de requerimentos (denúncias e petições de titulares); análise de processos de comunicação de incidentes de segurança; monitoramento de atividades de tratamento; condução de processos de fiscalização; e condução de processos administrativos sancionadores.

5.8. No primeiro semestre de 2023, a CGF recebeu 496 requerimentos (entre denúncias e petições de titulares) e 163 comunicações de incidentes de segurança, além de terem sido instaurados 2 processos de fiscalização e 1 processo administrativo sancionador. Ademais, foram conduzidos 11 processos de fiscalização, instaurados em anos anteriores.

5.9. Consoante ao Relatório anterior (SEI nº 4341732), identificou-se, quando da análise dos dados recebidos e produzidos pela CGF, que os setores: Público (especialmente o Poder Executivo); Bancos, Financeiras e Administradoras de Cartão; Plataforma Digital; Telecomunicações e Agregadores de Dados são os mais requeridos, tanto no que tange às denúncias de violação à LGPD, quanto às petições de titular. Além disso, constatou-se um elevado número de requerimentos que não continham os requisitos de admissibilidade dispostos no art. 25 do Regulamento de Fiscalização.

5.10. No que tange aos Comunicados de Incidente de Segurança, observou-se, além do aumento dos comunicados recebidos, uma prevalência de incidentes de sequestro de dados (ransomware) provocados por falhas de segurança em sistemas de informação que permitiram a violação do sigilo de dados pessoais.

5.11. Nessa temática, destaca-se ainda, que no relatório do período anterior, identificou-se um risco significativo de aumento do volume de processos acumulados, agravado pelas restrições operacionais relacionadas à estrutura e aos recursos humanos. Como possível consequência dessas limitações, os processos de comunicação de incidentes de segurança que já estavam em andamento corriam o risco de prescrição.

5.12. Diante dos riscos mencionados, por meio do Voto nº 18/2023/DIR/MW/ANPD (SEI nº 4362548), determinou-se que a CGF apresentasse um plano de ação ao Conselho Diretor com o objetivo de reduzir o estoque de comunicações de incidentes de segurança ainda não analisados. Considerando as restrições de recursos operacionais, o Conselho Diretor estabeleceu critérios para priorizar a análise, levando em consideração que muitos incidentes eram de menor gravidade e não exigiam ações adicionais por parte da ANPD.

5.13. Atendendo à determinação do voto supramencionado, a CGF implementou um Plano de Ação no âmbito da Coordenação de Tratamento de Incidentes de Segurança, o qual está atualmente em andamento. No que diz respeito aos processos de 2021, 123 deles já foram finalizados (52 estão sob análise, considerando a necessidade de priorização, e 2 foram priorizados).

5.14. Além do tratamento de requerimentos e dos comunicados de incidente de segurança, de janeiro a junho de 2023, 2 processos de fiscalização foram iniciados pela CGF. O primeiro deles trata da verificação da conformidade da coleta e compartilhamento de dados pessoais de crianças e adolescentes por plataformas digitais de ensino, que teve origem em denúncias recebidas pela Câmara de Deputados do Brasil e pela Human Rights Watch, que continham indícios contundentes de que plataformas digitais de educação, durante a pandemia e endossadas pelos Estados de São

Voto 35 (4740561)  SEI 00261.002987/2023-21 / pg. 2

Página 3

Paulo e Minas Gerais, estariam coletando dados pessoais de crianças e adolescentes e compartilhando com empresas de publicidade, as AdTechs, em desacordo com as normas estatuídas pela LGPD. O segundo processo foi instaurado para a verificação de conformidade do tratamento de dados pessoais no setor farmacêutico, face às empresas RaiaDrogasil S.A, Stix Fidelidade e Inteligência S.A e Federação Brasileira das Redes Associativistas e Independentes de Farmácias - Febrafar. Adicionalmente, outros 10 processos de fiscalização instaurados em 2021 e 2022 continuam em andamento.

5.15. Acerca dos processos administrativos sancionadores, tem-se que, no período avaliado foi instaurado um processo sancionador em face do Instituto Nacional do Seguro Social - INSS, por ausência de comunicação de incidente de segurança aos titulares e não atendimento de medida preventiva adotada pela ANPD. Dentre os processos administrativos sancionadores instaurados, um deles, face à empresa Telekall Infoservices, foi concluído em primeira instância.

5.16. Com relação à avaliação das atividades realizadas, esclarece-se que, em virtude de necessidade de uniformização de prazos para a apresentação do Mapa de Temas Prioritários (MTP) e do RCM, o 2º Ciclo de Monitoramento foi reduzido. O Conselho Diretor da ANPD deliberou pela submissão de ambos os instrumentos ao pleno do Conselho até 30/11/2023. Haja vista que o RCM é insumo para elaboração do Mapa de Temas Prioritários, optou-se por eleger, como data limite para a coleta de informações e dados, o dia 30/06/2023. Dessa forma, haveria tempo hábil para a elaboração do RCM e posterior formulação do MTP. Isso posto, não foi possível avaliar de forma plena as ações realizadas com base nas atividades propostas para 2023. No entanto, tem-se que a maior parte das ações propostas para 2023 já foram iniciadas e estão em andamento.

5.17. Já no que tange as ações propostas para o biênio 2024/2025, o Regulamento de Fiscalização determina que a Coordenação-Geral de Fiscalização realize o monitoramento das atividades de tratamento de dados pessoais, visando, dentre outras ações, planejar e subsidiar a atuação fiscalizatória com informações relevantes. Para tanto, a CGF dispõe de dois instrumentos, quais sejam, o Relatório de Ciclo de Monitoramento e o Mapa de Temas Prioritários. Nesse sentido, entendeu-se que a ferramenta adequada para elencar os temas prioritários para a CGF seria o MTP, com o apoio das informações trazidas pelo RCM.

5.18. Nesse contexto, o RCM indicou os seguintes temas a serem considerados para a incorporação no MTP 2024/2025: Agregadores de Dados; Setor Público, especialmente relacionado aos poderes executivo e judiciário; Telecomunicações; Financeiro; Plataformas Digitais, especialmente relacionado às intermediadoras de serviços; Direito dos titulares; e Ações Educativas.

[…]

5.19. Diante do exposto e dos elementos constantes no Relatório de Ciclo de Monitoramento (SEI nº 4716631) e considerando o disposto no art. 20, §2º,do Regulamento de Fiscalização, sugere-se o encaminhamento dessa Nota Técnica e seus anexos para deliberação pelo Conselho Diretor, com a proposta de que aprove, de modo a orientar a atuação da Coordenação-Geral de Fiscalização:

a) a avaliação parcial das ações propostas para 2023;

b) as ações propostas para o biênio 2024-25;

c) o ciclo de monitoramento bianual 2024-25.

4.5. Em relação aos procedimentos para aprovação do Relatório de Ciclo de Monitoramento e do Mapa de Temas Prioritários, destaco que, no processo nº 00261.001548/2023-09, que tratou do RCM 2022, o Conselho Diretor da ANPD determinou à CGF a apresentação até 30/11/2023 de ambos os instrumentos, nos termos do exposto no Voto nº 18/2023/DIR/MW/ANPD (SEI nº 4362548). Na mesma ocasião, também foi determinada a instauração de processos de fiscalização em face de agregadores de dados e a elaboração de um plano de ação para reduzir o estoque de comunicados de incidentes de segurança. Confira-se:

4.6. O RCM 2022 é o primeiro elaborado pela CGF após a publicação do Regulamento de Fiscalização, que ocorreu em outubro de 2021. Por isso, não houve ainda manifestação deste Conselho Diretor sobre o procedimento e o cronograma de sua aprovação. A relevância dessas questões fica evidente ao se considerar que o Regulamento de Fiscalização se limita a estabelecer que o RCM “será submetido à deliberação do Conselho Diretor ao final do ciclo” (art. 20, § 2º), sem indicar prazos e procedimentos específicos a serem observados na hipótese.

4.7. Por outro lado, com base nas informações e análises efetuadas no RCM, a CGF também deve elaborar o Mapa de Temas Prioritários. Trata-se de documento de planejamento bianual da atividade de fiscalização, o qual, segundo os arts. 21 e 22 do Regulamento de Fiscalização, estabelecerá os temas considerados prioritários para a atuação da ANPD no período, com base em

Voto 35 (4740561)　　SEI 00261.002987/2023-21 / pg. 3

Página 4

critérios de risco, gravidade, atualidade e relevância, incluindo, entre outros aspectos, os objetivos a serem alcançados ou os indicadores usados para medir a consecução desses objetivos, quando cabível.

4.8. Ressalte-se que, de acordo com o RCM 2022, o primeiro Mapa de Temas Prioritários da ANPD será elaborado para o biênio 2024-2025.

4.9. Ocorre que, de forma similar às disposições que tratam do RCM, não há no Regulamento de Fiscalização regras que disponham, de forma mais detalhada, sobre prazos e procedimentos a serem observados na hipótese. De fato, o art. 23 do Regulamento se limita a estabelecer que o Mapa deve ser submetido à “aprovação do Conselho Diretor”.

4.10. Diante de tal cenário, e a fim de conferir maior uniformidade aos trâmites processuais do RCM e do Mapa de Temas Prioritários, proponho determinar à CGF a submissão do RCM 2023 e do Mapa de Temas Prioritários 2024-2025 ao Conselho Diretor até 30/11/2023. Este prazo é o mesmo adotado no procedimento estabelecido para a Agenda Regulatória, conforme o § 3º do art. 7º, da Portaria ANPD nº 16/2021.

4.11. Dessa forma, além de seguir parâmetro adotado em seara similar, o prazo proposto permitirá a aprovação e a publicação dos instrumentos de planejamento da fiscalização até 01/02/2024, primeiro ano de vigência do Mapa de Temas Prioritários, seguindo, também quanto a este ponto, a data fixada para a aprovação da Agenda Regulatória (art. 7º, § 3º, Regulamento de Fiscalização).

4.12. Adicionalmente, vale enfatizar que o Mapa de Temas Prioritários deve ser aprovado por Resolução do Conselho Diretor, após manifestação da Procuradoria Federal Especializada (PFE). A aprovação de atos desta natureza por Resolução segue orientação recente firmada pela PFE, já observada pelo Conselho Diretor em casos similares, a exemplo da Resolução nº 5, de 13 de março de 2023, que aprovou a Agenda de Avaliação de Resultado Regulatório para o período 2023-2026.

4.13. Para o biênio subsequente (2025-2026), esses prazos poderão ser estabelecidos na própria Resolução que aprovar o Mapa 2024-2025. Assim, a Resolução fixaria o cronograma de submissão ao Conselho Diretor dos próximos RCM e Mapa de Temas Prioritários.

4.14. Por fim, destaco que o parágrafo único do art. 19 do Regulamento de Fiscalização prevê que o ciclo de monitoramento será anual, podendo ser estabelecido prazo superior por decisão do Conselho Diretor. Assim, caso a CGF entenda pertinente, também poderá incluir a ampliação desse prazo na minuta de Resolução que aprova o Mapa de Temas Prioritários – por exemplo, para dois anos, a fim de coincidir com o período bienal de vigência do Mapa.

[…]

5.1. Diante de todo o exposto, voto pela aprovação do Relatório de Ciclo de Monitoramento, conforme as minutas anexadas aos autos (SEI nº 4341726; e nº 4341732), determinando-se que a CGF adote as seguintes orientações e providências adicionais relativas às atividades de fiscalização:

(a) até 30/11/2023, submissão do Relatório de Ciclo de Monitoramento 2023 e da minuta de Resolução que aprova o Mapa de Temas Prioritários para o biênio 2024-2025 à apreciação do Conselho Diretor, após manifestação da Procuradoria Federal Especializada;

(b) até 31/08/2023, apresentação ao Conselho Diretor de um plano de ação com vistas a reduzir o estoque de comunicados de incidentes de segurança ainda não analisados, observando-se, desde já, os critérios de prioridade de análise fixados no item 4.20 deste voto;

(c) inclusão, entre as ações prioritárias da fiscalização em 2023, da instauração de procedimento de fiscalização em face dos agregadores de dados “Tudo sobre Todos” e “Transparência.CC”.

4.6. Como se pode observar, foi atendida a determinação (efetuada na alínea “a” do item 5.1 acima transcrito) quanto à submissão do RCM 2023 ao Conselho Diretor, objeto de análise do presente processo. Vale pontuar que a elaboração de RCM parcial, isto é, limitado ao 1º semestre de 2023, foi necessária para uniformizar procedimentos e prazos, de modo a viabilizar o início do ciclo bianual (2024-2025) de monitoramento no próximo ano, conforme a justificativa apresentada na NT nº 3/2023/DIM/CGF/ANPD (SEI nº 4711664).

4.7. Não obstante, resta pendente a submissão ao Conselho Diretor da minuta de Resolução que aprova o Mapa de Temas Prioritários para o biênio 2024-2025. Destaco, ainda, que a ampliação do prazo do ciclo de monitoramento (de anual para bienal), solicitada na NT nº nº 3/2023/DIM/CGF/ANPD (SEI nº 4711664), deve ser objeto da própria minuta de Resolução que aprova o Mapa de Temas Prioritários, conforme expressamente indicado no item 4.14 do voto acima citado. Da mesma forma, embora o RCM 2023 traga a indicação de possíveis temas a serem considerados na elaboração do Mapa de Temas

Voto 35 (4740561)　　SEI 00261.002987/2023-21 / pg. 4

Página 5

Prioritários, é possível que, no momento oportuno, outros temas sejam incluídos na versão a ser apreciada pelo Conselho Diretor.

4.8. Em relação à providência mencionada na alínea “b” do item 5.1. do Voto nº 18/2023/DIR/MW/ANPD (SEI nº 4362548), a CGF informou que foi elaborado e já está em execução o plano de ação com vistas a reduzir o estoque de comunicados de incidentes de segurança.

4.9. Por fim, até a presente data, ainda não foi instaurado procedimento de fiscalização em face dos agregadores de dados “Tudo sobre Todos” e “Transparência.CC”, o que deve ser providenciado pela CGF, em atendimento ao determinado no item “c” do item 5.1. do Voto nº 18/2023/DIR/MW/ANPD.

4.10. Sendo essas as principais questões a serem abordadas na presente análise, entendo pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e do RCM 2023 à apreciação dos demais membros do colegiado.

5. VOTO

5.1. Diante de todo o exposto, voto pela aprovação do Relatório de Ciclo de Monitoramento referente ao 1º semestre de 2023, incluindo a avaliação parcial das ações propostas para 2023 e as ações propostas para o biênio 2024-2025, conforme a minuta anexada aos autos (SEI nº 4716631), reiterando-se a necessidade de que a CGF adote as providências determinadas pelo Conselho Diretor no processo nº 00261.001548/2023-09, nos termos do exposto no Voto nº 18/2023/DIR/MW/ANPD (SEI nº 4362548), quanto ao Mapa de Temas Prioritários e à fiscalização dos agregadores de dados “Tudo sobre Todos” e “Transparência.CC”.

Por fim, considerando a relevância da matéria e a premente necessidade de posicionamento sobre o tema no âmbito da ANPD, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno.

5.2. É como voto.

Miriam Wimmer

Diretora Relatora

ASSINADO ELETRONICAMENTE

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 20/11/2023, às 10:44, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4740561 e o código CRC C1E37112 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.002987/2023-21

SUPER nº 4740561

Voto 35 (4740561)  SEI 00261.002987/2023-21 / pg. 5

Página 6

ANPD

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Gabinete do Diretor Joacil Rael

VOTO Nº 37/2023/DIR/JR/ANPD

PROCESSO Nº 00261.002987/2023-21

INTERESSADO: ANPD

ASSUNTO: Relatório de Ciclo de Monitoramento - 1º Semestre de 2023.

CIRCUITO DELIBERATIVO Nº 34/2023 (SEI 4747233)

DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 27/11/2023, às 17:47, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4771228 e o código CRC 1024BF35 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.002987/2023-21

SUPER nº 4771228

Voto 37 (4771228)

SEI 00261.002987/2023-21 / pg. 6

Página 7

ANPD

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Gabinete do Diretor Arthur Sabbat

VOTO Nº 47/2023/DIR/AS/ANPD

PROCESSO Nº 00261.002987/2023-21

INTERESSADO: ANPD

ASSUNTO: Relatório de Ciclo de Monitoramento - 1º Semestre de 2023.

CIRCUITO DELIBERATIVO Nº 34/2023 (SEI 4747233)

DIRETOR ARTHUR SABBAT

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 28/11/2023, às 11:33, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade do documento pode ser conferida informando o código verificador 4776074 e o código CRC 85ED4397 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.002987/2023-21

SUPER nº 4776074

Voto 47 (4776074)

SEI 00261.002987/2023-21 / pg. 7