CD nº 13/2024

Página 1

VOTO Nº 10/2024/DIR-MW/CD

PROCESSO Nº 00261.000226/2022-53

DIRETORA RELATORA: MIRIAM WIMMER

1. ASSUNTO

1.1. Resolução que aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais.

2. EMENTA

2.1. RESOLUÇÃO. REGULAMENTO SOBRE A ATUAÇÃO DO ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS. APROVAÇÃO DA MINUTA, COM ALTERAÇÕES.

3. RELATÓRIO

3.1. Trata-se de minuta de Resolução, que aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, encaminhada ao Conselho Diretor pela Coordenação-Geral de Normatização (CGN).

3.4. A versão preliminar do Regulamento foi submetida à consulta pública e à discussão em audiência pública por decisão do Conselho Diretor (SEI nº 0054974), nos termos do Voto nº 44/2023/DIR/AS/ANPD (SEI nº 0054958), do qual consta detalhado relato sobre as fases antecedentes deste processo.

3.5. De acordo com o exposto na Nota Técnica (NT) nº 11/2024/CGN/ANPD (SEI nº 0113821), foram recebidas 1.129 (mil cento e vinte e nove) contribuições de 193 (cento e noventa e três) participantes no âmbito da Consulta Pública, além de ouvidas 51 (cinquenta e uma) pessoas na Audiência Pública. As contribuições foram devidamente analisadas pela área técnica.

3.6. A análise técnica resultou em uma nova versão da minuta de Regulamento (SEI nº 011403), submetida à apreciação da Procuradoria Federal Especializada (PFE). A PFE opinou pela viabilidade jurídico-formal da

Página 2

minuta, com recomendações de ajustes, conforme o exposto no Parecer nº 21/2024/GAB/PFE/ANPD/PGF/AGU (SEI nº 0122578).

3.8. Na sequência, a área técnica elaborou a Nota Técnica nº 208/2024/CGN/ANPD (SEI nº 012551), por meio da qual acatou parte das recomendações da PFE, efetuando os ajustes correspondentes na minuta. A versão revista foi juntada ao processo (SEI nº 0125698).

3.11. O processo foi distribuído a este Gabinete após sorteio realizado em 07 de junho de 2024, conforme certificado nos autos (SEI nº 0125894).

4. ANÁLISE

I - Aspectos formais

4.1. Inicialmente, verifico que a instauração e a instrução do processo obedeceram às disposições legais e regimentais aplicáveis, havendo a necessária motivação para a edição do normativo proposto, observados os princípios aplicáveis, em particular os que constam da Constituição Federal e da Lei nº 9.784, de 29 de janeiro de 199.

4.2. Nesse sentido, a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de regulamento “expressa decisão quanto ao provimento normativo de competência da ANPD”, em conformidade com o art. 51 do Regimento Interno. De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte:

Art. 63. Os atos de caráter normativo da ANPD serão expedidos por meio de Resoluções, de competência exclusiva do Conselho Diretor, observados os procedimentos relativos à Consulta Pública e à Audiência Pública.

§ 1º A edição de atos normativos da ANPD será precedida de Análise de Impacto Regulatório, que será elaborada nos termos da legislação pertinente, contendo informações e dados sobre os prováveis efeitos do ato, a fim de verificar a razoabilidade do impacto e subsidiar a tomada de decisão.

4.3. Além disso, em conformidade com o exigido no art. 55-J, § 2º, da Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD), constam do processo: (i) Relatório de Análise de Impacto Regulatório (SEI nº 0054940); e (ii) documentação que atesta a realização de consulta pública (SEI nº 0054982) e de audiência pública (SEI nº 0054988).

4.4. Registre-se, por fim, que o tema “Encarregado de proteção de dados pessoais” está previsto na Agenda Regulatória da ANPD para o biênio 2023-2024, aprovada pela Portaria nº 35, de 4 de novembro de 2022, e alterada pela Resolução CD/ANPD nº 11, de 27 de dezembro de 2023.

II - Análise de mérito

II.I. Aspectos gerais

4.5. No que concerne ao conteúdo da Resolução, entendo que a edição do ato é conveniente e oportuna, além de compatível com as disposições legais e regulamentares vigentes.

Página 3

4.6. Com efeito, o encarregado é definido pela LGPD como a “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)” (art. 5º, VIII).

4.7. Por sua vez, o art. 41 da LGPD estabelece a obrigação do controlador de indicar encarregado, delimita as suas atribuições e confere expressamente competência para a ANPD regulamentar a matéria. A redação é a seguinte:

Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.

§ 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.

§ 2º As atividades do encarregado consistem em:

I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da autoridade nacional e adotar providências;

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

§ 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

4.8. Nesse contexto, o Regulamento do encarregado pelo tratamento de dados pessoais tem por objetivo conferir maior densidade normativa às disposições da LGPD que regem a atuação deste profissional, que exerce papel-chave para a promoção da cultura de proteção de dados pessoais no país. A respeito do tema, vale citar o exposto no Guia Orientativo para Definições dos Agentes de Tratamento e do Encarregado, publicado pela ANPD:

Conforme o artigo 41 da LGPD, o controlador de dados deverá indicar um encarregado pelo tratamento de dados pessoais. No exercício de suas atribuições, o encarregado pode desempenhar um importante papel de fomentar e disseminar a cultura da proteção de dados pessoais na organização, como, por exemplo, ao receber solicitações de titulares e da autoridade nacional e adotar providências, ou, ainda, ao orientar funcionários e contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais. (Guia Orientativo para Definições dos Agentes de Tratamento e do Encarregado, p. 22. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia_agentes_de_tratamento_e_encarregado_defeso_eleitoral.pdf.)

4.9. Sobre o conteúdo da norma, o Relatório de Análise de Impacto Regulatório (SEI nº 0054940) identificou, inicialmente, quatro problemas principais a serem enfrentados pelo Regulamento, a saber: (i) formas de atuação do encarregado; (ii) conhecimentos desejáveis para a sua atuação; (iii) atribuições; e (iv) hipóteses de dispensa da indicação.

Página 4

Regulatório, SEI nº 0054940) identificou, inicialmente, quatro problemas principais a serem enfrentados pelo Regulamento, a saber: (i) formas de atuação do encarregado; (ii) conhecimentos desejáveis para a sua atuação; (iii) atribuições; e (iv) hipóteses de dispensa da indicação.

4.10. A partir da análise desses problemas e de outros suscitados durante o processo de consulta à sociedade, a versão do Regulamento submetida à apreciação do Conselho Diretor estabelece regras sobre a indicação do encarregado; as suas características, formas de atuação e atribuições; a divulgação de sua identidade e de informações de contato; os deveres dos agentes de tratamento; e as situações de conflito de interesse.

4.11. Como se pode observar, trata-se de questões que demandam a edição de norma pela ANPD, com vistas a conferir maior segurança jurídica à atuação dos agentes de tratamento e dos encarregados, além de assegurar as condições necessárias para a promoção da cultura de proteção de dados pessoais no âmbito de organizações públicas e privadas e para a garantia de direitos dos titulares.

4.12. Por todas essas razões, a edição do Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais se demonstra válida e oportuna, capaz de conferir maior eficácia às disposições da LGPD, especialmente no que concerne ao propósito de incentivar a responsabilização e a prestação de contas, bem como a conformidade de agentes de tratamento ao disposto na legislação.

4.13. Não obstante, vislumbro a necessidade de alguns ajustes, com o fim de aprimorar a clareza e a objetividade da minuta de Resolução.

4.15. A seguir, elenco as alterações efetuadas, com as respectivas justificativas. Essas alterações podem ser visualizadas também na versão com marcas de revisão (SEI nº 0131549) juntada ao processo.

II.II. Alterações realizadas na minuta

a) Texto da Resolução

4.17. Em relação ao texto da Resolução, proponho as seguintes alterações:

Página 5

TABELA — ALTERAÇÕES SUGERIDAS (texto da Resolução)

Preâmbulo:

O CONSELHO DIRETOR DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD), no uso de suas atribuições legais, considerando o disposto nos arts. 41, § 3º e 55-J, inciso XIII, da Lei nº 13.709, de 14 de agosto de 2018, e considerando bem como a deliberação tomada nos autos do processo nº 00261.000226/2022-53 e a deliberação tomada no Circuito Deliberativo nº X/2024, resolve:

Art. 1º Esta Resolução fica aprova o Regulamento anexo que estabelece normas complementares sobre a atuação do encarregado pelo tratamento de dados pessoais, na forma do Anexo desta Resolução.

Art. 2º O Regulamento de Aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para Agentes de Tratamento de Pequeno Porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, passa a vigorar com a seguinte alteração:

“Art. 11. …………………………………………………………………………

§ 1º O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados e com a ANPD, em atendimento ao disposto no

art. 41,

§ 2º, I e II, da LGPD.” (NR)

Art. 3º O descumprimento das normas previstas no Regulamento anexo ensejará a aplicação de sanção nos termos do

art. 52 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 4º 2º Esta Resolução entra em vigor na data de sua publicação.

4.18. As alterações efetuadas no preâmbulo e no art. 1º são de ordem formal e visam a ajustar o formato desta Resolução ao padrão adotado em outras Resoluções da ANPD.

4.19. O art. 2º foi excluído, pois o dispositivo alteraria o Regulamento de Agentes de Tratamento de Pequeno Porte, aprovado pela Resolução nº 2/2022, com o objetivo de criar para esses agentes de tratamento a obrigação de manter um “canal de comunicação” com a ANPD, além do canal já previsto para o titular, na hipótese de dispensa de indicação de encarregado. Tal obrigação poderia tornar inócua a regra vigente, que dispensa a indicação de encarregado por agentes de tratamento de pequeno porte, visto que custos similares poderiam ser gerados em decorrência da necessidade de disponibilizar canal de comunicação com a ANPD. Vale ressaltar que a dispensa em questão não afasta a obrigação legal de o agente de tratamento receber e responder notificações da ANPD pelas vias ordinárias de comunicação, inclusive por meio eletrônico.

Página 6

4.20. O art. 3º também foi excluído, por se tratar de regra desnecessária e que foge ao escopo do Regulamento sobre o Encarregado. Com efeito, a possibilidade de aplicação de sanções administrativas decorre da própria LGPD (em seu art. 52) e do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução nº 4/2023. De acordo com o art. 2º, II, deste Regulamento, configura infração punível pela ANPD o “descumprimento de obrigação estabelecida na Lei nº 13.709, de 14 de agosto de 2018 (LGPD), e nos regulamentos expedidos pela ANPD”.

4.21. Por fim, conforme redação proposta ao art. 4º (art. 2º, conforme a nova numeração) sugiro que a norma entre em vigor na data de sua publicação, seguindo a praxe adotada em outros Regulamentos da ANPD.

4.22. Destaco que a previsão de vacatio legis é medida que deve ser prevista apenas em atos normativos de maior repercussão, entre outras hipóteses similares previstas no art. 17 do Decreto nº 12.002/2024. A redação do dispositivo é a seguinte:

Art. 17. A vacatio legis ou a postergação da produção de efeitos será prevista nos atos normativos:

I - de maior repercussão;

II - que demandem tempo para esclarecimento de seu conteúdo aos destinatários;

III - que exijam medidas de adaptação pela população;

IV - que exijam medidas administrativas prévias para sua aplicação de modo ordenado; ou

V - em que não convenha a produção de efeitos antes da edição de ato normativo inferior ainda não publicado.

Parágrafo único. Para estabelecer a vacatio legis, serão considerados:

I - o prazo necessário para amplo conhecimento pelos destinatários;

II - o tempo necessário para adaptação da administração pública e dos particulares aos novos procedimentos, regras e exigências; e

III - o período do mês, do ano ou da semana mais adequado para o início da aplicação das novas regras.

4.23. No caso dos autos, o Regulamento sobre a atuação do encarregado não gera grande repercussão e não exige medidas de adaptação pela população. Seu âmbito de incidência é restrito aos agentes de tratamento que detêm obrigação de indicar encarregado, não demandando a adoção de medidas administrativas adicionais ou, mesmo, a edição de ato normativo inferior. Isso porque, de forma geral, o Regulamento detalha e fixa entendimentos sobre regras já conhecidas e previstas na LGPD desde 2018. Ressalto, ainda, que a imediata vigência do Regulamento é medida que se impõe para conferir maior segurança jurídica à atuação deste profissional e seu relacionamento com os agentes de tratamento, os titulares e a ANPD.

b) Disposições preliminares

Página 7

4.25. O quadro a seguir traz as alterações efetuadas no Capítulo I do Regulamento, que trata das disposições preliminares:

TABELA — ALTERAÇÕES SUGERIDAS (ANEXO, CAPÍTULO I - DISPOSIÇÕES PRELIMINARES)

Art. 1º

Este Regulamento tem por objetivo estabelecer normas complementares sobre a indicação, a definição, as atribuições e a atuação do encarregado, de que trata a Lei nº 13.709, de 14 de agosto de 2018.

Art. 2º Para fins deste Regulamento adota

m-se as seguintes definições:

I - agentes de tratamento: o controlador e o operador;

II - conflito de interesse: a situação que possa comprometer, influenciar ou afetar, de maneira imprópria, a objetividade e o julgamento técnico no desempenho das atribuições do encarregado;

III - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

IV - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

V - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

VI - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VII - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento; e

VIII - tratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

4.26. No título do Anexo foi incluída a expressão “pelo tratamento de dados pessoais”, a mesma prevista na ementa da Resolução.

4.27. Por sua vez, no art. 1º foi realizado apenas ajuste de ordem formal, a fim de tornar mais simples e direto o comando normativo, com a exclusão da frase “tem por objetivo”.

4.28. O novo art. 2º apresenta as definições dos principais termos utilizados no Regulamento, de forma similar ao previsto na versão submetida à consulta pública e conforme a praxe observada em outros regulamentos da ANPD. As definições seguem o disposto na LGPD, salvo quanto à definição de “conflito de interesse”, por se tratar de expressão utilizada especificamente neste Regulamento. Ressalte-se que a definição de conflito de interesse já constava da minuta apresentada pela área técnica (art. 20), tendo sido realizada apenas a sua realocação no art. 2º, II, e as adaptações necessárias.

4.29. Entendo que as definições são importantes para facilitar a compreensão da norma, especialmente por pessoas que não sejam especialistas na área de proteção de dados. Nessa linha, observo que a relação de conceitos apresentada no art. 2º atende ao disposto no art. 11, § 1º, do Decreto nº 12.002/2024, na medida em que as palavras e expressões definidas possuem múltiplos significados, de modo que se torna necessário delimitar o significado empregado no ato normativo, com o intuito, tal como mencionado, de facilitar a compreensão da norma pelo intérprete, notadamente aquele não familiarizado com a legislação de proteção de dados pessoais.

c) Da indicação do encarregado

Página 8

4.30. No que concerne à Seção I, do Capítulo II, as alterações propostas são as seguintes:

TABELA — ALTERAÇÕES SUGERIDAS (ANEXO, CAPÍTULO II, SEÇÃO I - DA INDICAÇÃO DO ENCARREGADO)

Art. 2º 3º. O agente de tratamento ao proceder à A indicação do encarregado deverá fazê-lo por meio de deve ser realizada por ato formal do agente de tratamento, devendo nele detalhar do qual constem as formas de atuação e as atividades a serem desempenhadas.

§ 1º Entende-se por ato formal o documento escrito, datado e assinado, que, de maneira clara e inequívoca, demonstra a intenção do agente de tratamento em designar como encarregado uma pessoa natural integrante do quadro organizacional ou externa a esse, ou uma pessoa jurídica, incluindo, as suas formas de atuação e as atividades a serem desempenhadas por ela.

§ 2º O documento referido no caput deverá ser mantido pelo agente de tratamento e apresentado à ANPD, quando solicitado.

§ 3º Os Agentes de Tratamento de Pequeno Porte dispensados de indicar encarregado devem disponibilizar um canal de comunicação com o titular de dados e com a ANPD, nos termos do

art. 11 do Regulamento de aplicação da LGPD para Agentes de Tratamento de Pequeno Porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.

Art. 3º 4º Nas ausências, impedimentos e vacâncias do encarregado, a função será exercida por substituto formalmente designado.

Parágrafo único. As situações referidas no caput não poderão consistir em obstáculos para o exercício dos direitos dos titulares ou para o atendimento às comunicações da ANPD.

Art. 4º 5º As pessoas jurídicas de direito público, referidas no

art. 1º,

parágrafo único, da Lei nº 12.527, de 18 de novembro de 2011, deverão indicar encarregado quando realizarem operações de tratamento de dados pessoais, recaindo a indicação, preferencialmente, sobre servidores ou empregados públicos detentores de reputação ilibada e estável.

§ 1º A indicação deverá ser publicada em Diário Oficial da União, do Estado, do Distrito Federal ou do Município, a depender da esfera de atuação do agente de tratamento.

§ 2º Entes despersonalizados da Administração Pública que detenham obrigações típicas de controlador poderão indicar encarregado próprio, considerando o contexto e o volume dos tratamentos de dados pessoais realizados e a necessidade de desconcentração administrativa, no caso do Poder Público, poderá ser indicado encarregado para atuar em órgão pertencente à estrutura organizacional de pessoa jurídica de direito público, observadas as obrigações previstas neste Regulamento.

§ 3º A indicação de encarregado nos termos do

§ 2º do caput faz presumir sua competência sobre toda a estrutura organizacional subordinada ao órgão, exceto em caso de ressalva expressa no ato de indicação.

Art. 5º 6º A indicação de encarregado por operadores é facultativa e será considerada política de boas práticas de governança para fins do disposto no

art. 52,

§ 1º, inciso IX, da Lei nº 13.709, de 14 de agosto de 2018, e no

art. 13, inciso II, do anexo da Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, desde que observadas as normas deste Regulamento e sem prejuízo da obrigação prevista no

art. 5º.

Página 9

4.30. (continuação da tabela — ALTERAÇÕES SUGERIDAS)

Art. 6º 7º Cabe ao agente de tratamento estabelecer, considerando o contexto, o volume e o risco das operações de tratamento realizadas, as qualificações profissionais necessárias para o desempenho das atribuições do encarregado, considerando seus conhecimentos sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas a fim de atender às exigências da Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único. A indicação do encarregado deverá observar as suas qualidades profissionais, e, principalmente, seus conhecimentos relativos à disciplina da privacidade e da proteção de dados, bem como aqueles necessários para o desempenho das atribuições previstas neste Regulamento.

4.31. Como se pode observar, as alterações propostas nesta Seção são de ordem formal e têm por objetivo adotar formato mais simples e direto, aprimorando a técnica legislativa adotada no Regulamento.

4.33. No art. 3º, § 1º, destaco a inclusão de requisito de que o ato formal de indicação do encarregado deve ser “datado e assinado” pelo agente de tratamento, conferindo, assim, maior objetividade aos requisitos formais exigidos para a comprovação da indicação. Os requisitos adicionais da pessoa natural (se integrante ou não do quadro organizacional do agente de tratamento) foram excluídos da definição de ato formal, pois passaram a integrar a Seção I, do Capítulo II, que trata das características do encarregado. Da mesma forma, a frase “as suas formas de atuação e as atividades a serem desempenhadas” foram excluídas do § 1º, uma vez que constam do caput do art. 3º.

4.34. No art. 3º, § 2º, foi excluída a expressão “mantido pelo agente de tratamento”, haja vista a previsão de que o documento de indicação do encarregado deverá ser “apresentado à ANPD, quando solicitado”, o que, por decorrência lógica, pressupõe o seu armazenamento.

4.35. No art. 3º, § 3º, foi excluída a expressão “e com a ANPD”, de forma coerente com a alteração realizada no texto da Resolução, mediante a exclusão do art. 2º. Este dispositivo previa a obrigação de agentes de tratamento de pequeno porte manterem um canal de comunicação com a ANPD, mesmo quando dispensada a indicação de encarregado, proposta esta não acatada, conforme explicitado anteriormente neste voto.

4.36. No caput do art. 5º foi incluída a referência a “empregados públicos”, a fim de abrir regimes jurídicos de pessoal que se submetem ao regime celetista, a exemplo do regime aplicável às empresas estatais. Pela mesma razão, foi excluída a expressão “estáveis”. Isso porque a estabilidade é uma garantia institucional própria dos servidores públicos, que não alcança os empregados públicos.

Página 10

de fevereiro de 2023, desde que observadas as normas deste Regulamento e sem prejuízo da obrigação prevista no art. 5º.

Art. 6º 7º Cabe ao agente de tratamento estabelecer, considerando o contexto, o volume e o risco das operações de tratamento realizadas, as qualificações profissionais necessárias para o desempenho das atribuições do encarregado, considerando seus conhecimentos sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas a fim de atender às exigências da Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único. A indicação do encarregado deverá observar as suas qualidades profissionais, e, principalmente, seus conhecimentos relativos à disciplina da privacidade e da proteção de dados, bem como aqueles necessários para o desempenho das atribuições previstas neste Regulamento.

4.31. Como se pode observar, as alterações propostas nesta Seção são de ordem formal e têm por objetivo adotar formato mais simples e direto, aprimorando a técnica legislativa adotada no Regulamento.

4.33. No art. 3º, § 1º, destaco a inclusão de requisito de que o ato formal de indicação do encarregado deve ser “datado e assinado” pelo agente de tratamento, conferindo, assim, maior objetividade aos requisitos formais exigidos para a comprovação da indicação. Os requisitos adicionais da pessoa natural (se integrante ou não do quadro organizacional do agente de tratamento) foram excluídos da definição de ato formal, pois passaram a integrar a Seção I, do Capítulo II, que trata das características do encarregado. Da mesma forma, a frase “as suas formas de atuação e as atividades a serem desempenhadas” foram excluídas do § 1º, uma vez que constam do caput do art. 3º.

4.34. No art. 3º, § 2º, foi excluída a expressão “mantido pelo agente de tratamento”, haja vista a previsão de que o documento de indicação do encarregado deverá ser “apresentado à ANPD, quando solicitado”, o que, por decorrência lógica, pressupõe o seu armazenamento.

4.35. No art. 3º, § 3º, foi excluída a expressão “e com a ANPD”, de forma coerente com a alteração realizada no texto da Resolução, mediante a exclusão do art. 2º. Este dispositivo previa a obrigação de agentes de tratamento de pequeno porte manterem um canal de comunicação com a ANPD, mesmo quando dispensada a indicação de encarregado, proposta esta não acatada, conforme explicitado anteriormente neste voto.

4.36. No caput do art. 5º foi incluída a referência a “empregados públicos”, a fim de abrir regimes jurídicos de pessoal que se submetem ao regime celetista, a exemplo do regime aplicável às empresas estatais. Pela mesma razão, foi excluída a expressão “estáveis”. Isso porque a estabilidade é uma garantia institucional própria dos servidores públicos, que não alcança os

Página 11

empregados públicos.

4.37. A redação proposta para o § 2º do art. 5º contém menção a “entes despersonalizados da Administração Pública que detenham obrigações típicas de controlador”, seguindo a terminologia consagrada no Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Confira-se:

23. De outro lado, a LGPD atribui aos órgãos públicos obrigações típicas de controlador, indicando que, no setor público, essas obrigações devem ser distribuídas entre as principais unidades administrativas despersonalizadas que integram a pessoa jurídica de direito público e realizam tratamento de dados pessoais.

24. Nesse sentido, a União, como controladora, é a responsável perante a LGPD, mas as atribuições de controlador, por força da desconcentração administrativa, são exercidas pelos órgãos públicos que desempenham funções em nome da pessoa jurídica da qual fazem parte, fenômeno que caracteriza a distribuição interna das competências. É o que se verifica nas hipóteses de uso compartilhado de dados pessoais (art. 26), de atendimento às exigências da ANPD (art. 29) e de aplicação de sanções administrativas (art. 52, § 3º).

25. No mesmo sentido, ressalta-se que os órgãos públicos devem cumprir os deveres de transparência e de nomeação de encarregado (pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares de dados e a ANPD), pois além de atuarem em nome da pessoa jurídica da qual fazem parte, tais obrigações decorrem expressamente da LGPD (art. 23, I e II). (Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, abril/2022, p. 10. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/Segunda_Versao_do_Guia_de_Agentes_de_Tratamento_retificada.pdf)

4.38. Assim, o regulamento se mostra compatível com as interpretações já fixadas pela ANPD sobre o tema, com a expressa previsão de que entes públicos despersonalizados, a exemplo de órgãos públicos, poderão indicar encarregado quando exercerem obrigações típicas de controlador, o que costuma ocorrer em razão da desconcentração administrativa própria do setor público.

4.39. No art. 6º foram efetuadas apenas alterações de ordem formal, com vistas a aprimorar a redação do dispositivo e facilitar a sua compreensão.

4.40. Quanto ao art. 7º, as alterações visam a reunir no caput as previsões relativas às qualificações profissionais do encarregado e que devem ser avaliadas pelo controlador, antes de realizar a sua indicação. Foi excluída, ainda, a expressão “qualidades profissionais”, que constava do parágrafo único, limitando-se a norma ao âmbito das “qualificações profissionais”, o que se demonstra adequado e suficiente para os propósitos do artigo em questão.

Página 12

4.41. Em relação à Seção II, do Capítulo II, proponho as seguintes alterações:

TABELA — ALTERAÇÕES SUGERIDAS (ANEXO, CAPÍTULO II, SEÇÃO II - DA IDENTIDADE E DAS INFORMAÇÕES DE CONTATO DO ENCARREGADO)

Art. 7º 8º O agente de tratamento deverá divulgar e manter atualizadas a identidade e as informações de contato do encarregado em local de destaque e de fácil acesso.

Parágrafo único. Caso a indicação do encarregado recaia sobre pessoa jurídica, deverá ser informada a identidade e as informações de contato da pessoa natural representante.

Art. 8º 9º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e precisa, objetiva, em local de destaque e de fácil acesso, preferencialmente no sítio eletrônico do agente de tratamento, ressalvada a hipótese do

§ 3º deste artigo.

§ 1º A divulgação da identidade do encarregado abrangerá, no mínimo:

I - o nome completo, se for pessoa natural; ou

II - o nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável, se pessoa jurídica.

§ 2º A divulgação das informações de contato do encarregado deverá abranger, no mínimo, os dados referentes aos meios de comunicação que viabilizem o exercício dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunicações da ANPD.

§ 3º O agente de tratamento que não possuir sítio eletrônico poderá realizar a divulgação da identidade e das informações de contato do encarregado por quaisquer outros meios de comunicação disponíveis, especialmente aqueles usualmente utilizados para contato com os titulares.

4.42. A maioria das alterações tem por objetivo a reorganização dos dispositivos da Seção, reunindo os mesmos assuntos em um único dispositivo. Assim, a expressão “em local de destaque e de fácil acesso”, que constava do art. 8º, foi realocada no art. 9º. Da mesma forma, as determinações do parágrafo único do art. 8º sobre a indicação de pessoa jurídica como encarregado foram reunidas no § 1º do art. 9º. Já no § 2º do art. 9º foram efetuados apenas ajustes simples de redação.

Página 13

4.43. Registro, ainda, a exclusão da palavra “preferencialmente” do caput do art. 9º e a inclusão da frase “ressalvada a hipótese do § 3º deste artigo”, o qual traz uma exceção à regra geral de divulgação das informações do encarregado no sítio eletrônico do agente de tratamento. Neste ponto, acolho a fundamentação apresentada no Voto nº 44/2023/DIR/AS/ANPD (SEI nº 0054958), do Diretor Arthur Sabat, proferido no momento anterior à realização da consulta pública. Confira-se:

4.25. No art. 6º, promovo ajustes verbais e na estrutura para conferir maior clareza ao texto. Insiro o § 2º, com a seguinte redação: “§ 2º O agente de tratamento que não dispuser de sítio eletrônico próprio poderá realizar a divulgação de que trata o caput por quaisquer outros meios de comunicação disponíveis, inclusive aqueles usualmente utilizados para contato com os titulares, observado o disposto no § 1º deste artigo.” Fica o parágrafo único, portanto, convertido em § 1º. A ideia é que as informações devem ser divulgadas no sítio eletrônico como regra geral, tendo em vista que as principais empresas e órgãos públicos possuem sites na internet. Desse modo, na redação proposta não haveria exceção apenas no caso de o agente de tratamento não possuir página própria. (Voto nº 44/2023/DIR/AS/ANPD, SEI nº 0054958).

4.44. A proposta se demonstra mais adequada, uma vez que apresenta regra de natureza objetiva, com maior segurança jurídica aos agentes de tratamento, promovendo e fortalecendo, ademais, os princípios da transparência e do livre acesso e as condições para o exercício dos direitos dos titulares, conforme previsto na LGPD.

e) Dos deveres dos agentes de tratamento

4.45. O quadro abaixo apresenta as alterações efetuadas na Seção II, do Capítulo II:

TABELA — ALTERAÇÕES SUGERIDAS (ANEXO, CAPÍTULO II, DEVERES DOS AGENTES DE TRATAMENTO)

Art. 9º 10. O agente de tratamento deverá:

I - prover os meios necessários para o exercício das atribuições do encarregado, neles compreendidos, entre outros, recursos humanos, técnicos e administrativos;

II - solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;

III - garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

III - assegurar a opção de atendimento humano para viabilizar o exercício da atividade prevista no art. 41, § 2º, incisos I e II, da Lei nº 13.709, de 14 de agosto de 2018; e

IV - assegurar aos titulares meios céleres, eficazes e adequados para viabilizar a comunicação com o encarregado e o exercício de direitos; e

V - garantir ao encarregado acesso direto às pessoas de maior nível hierárquico dentro da organização, aos responsáveis pela tomada das decisões estratégicas que afetem ou envolvam o tratamento de dados pessoais, bem como às demais áreas da organização.

Art. 10 11. O agente de tratamento é o responsável pela conformidade do tratamento de dados pessoais, nos termos da Lei nº 13.709, de 14 de agosto de 2018.

Página 14

4.46. O novo inciso II do art. 10 inclui, entre as obrigações do agente de tratamento, a previsão de que este deverá solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais. Esta regra está em harmonia com o art. 41, § 2º, III, da LGPD, que atribui competência ao encarregado para orientar os funcionários da organização a respeito das práticas a serem adotadas em relação à proteção de dados pessoais. É natural, assim, que o agente de tratamento solicite o auxílio do encarregado para o adequado endereçamento, no âmbito da organização, das principais questões relacionadas ao tratamento de dados pessoais. Ressalto, ainda, que este inciso é complementado pelo disposto no art. 16 do Regulamento, que relaciona atividades em que o encarregado deve prestar assistência e orientação ao agente de tratamento, a exemplo das atividades de registro das operações e elaboração de relatório de impacto à proteção de dados pessoais.

4.47. No inciso III foi incluída apenas a palavra “indevidas”, de modo a qualificar o tipo de interferência que não é aceitável em relação às atividades exercidas pelo encarregado e que podem afetar a sua autonomia técnica.

4.48. Em relação ao novo inciso IV, cabe tecer as seguintes considerações. A redação anterior (inciso III conforme a numeração original) se referia à obrigação de “assegurar a opção de atendimento humano”, sem especificar ou detalhar de que forma tal atendimento deveria ocorrer e sem qualquer diferenciação em relação aos agentes de tratamento, conforme o porte ou o setor, por exemplo.

Página 15

4.49. Assim, a regra poderia criar insegurança jurídica às organizações públicas e privadas, uma vez que não seriam definidos quais mecanismos de “atendimento humano” deveriam ser disponibilizados, por exemplo, se por meio de atendimento telefônico ou por chat disponível na página do agente de tratamento na internet.

4.50. Importante destacar que, em determinadas situações, o atendimento automatizado pode se revelar mais eficiente aos interesses dos titulares. A título de exemplo, considere-se que a Agência Nacional de Telecomunicações (Anatel) determina às grandes prestadoras que assegurem aos consumidores de serviços de telecomunicações a opção de “rescisão do contrato de forma automatizada, sem intervenção humana” (art. 7º, § 1º, Resolução nº 632/2014). No caso em questão, portanto, a Anatel reconhece que, para o fim de rescisão do contrato, pode ser mais favorável ao consumidor a disponibilização de atendimento automatizado. Ademais, tal obrigação é aplicável apenas às grandes prestadoras, não se estendendo às prestadoras de pequeno porte.

4.51. Como demonstra o exemplo mencionado, a regulamentação sobre o tipo de atendimento que deve ser disponibilizado ao titular - isto é, se automatizado, humano ou híbrido - envolve uma série de nuances, que não foram suficientemente discutidas ao longo deste processo. Nesse sentido, a regulamentação do tema demanda maior cautela e amparo em um estudo mais aprofundado, inclusive considerando os eventuais impactos sobre organizações públicas e privadas reguladas. Além disso, deve-se levar em conta a intrínseca conexão do assunto com a regulamentação sobre o exercício dos direitos dos titulares, tema também previsto na agenda regulatória da ANPD.

4.52. Por tais razões, proponho a substituição do antigo inciso III pelo novo inciso IV, que traz uma regra de cunho mais geral e coloca ênfase na celeridade, eficácia e adequação dos meios de comunicação com o encarregado e de exercício de direitos. Reconheço que os meios de atendimento podem ser distintos conforme a incidência de fatores os mais diversos, tais como o contexto e a natureza do agente de tratamento, o inciso IV proposto se concentra na eficiência e no resultado para o titular do mecanismo de comunicação com o encarregado adotado pelo agente de tratamento. Dada a sua natureza mais geral, a nova regra não afasta e nem se demonstra incompatível com uma eventual e futura regulamentação sobre a disponibilização de atendimento humano ao titular.

f) Das características

4.53. O quadro abaixo apresenta as alterações efetuadas na Seção I, do Capítulo II:

TABELA — ALTERAÇÕES SUGERIDAS (ANEXO, CAPÍTULO II, SEÇÃO I)

Página 16

(continuação da tabela — ALTERAÇÕES SUGERIDAS, CAPÍTULO III, SEÇÃO I - DAS CARACTERÍSTICAS DO ENCARREGADO)

Art. 11 12. O encarregado poderá ser:

I - uma pessoa natural, integrante do quadro organizacional do agente de tratamento ou externa a esse; ou

II - uma pessoa jurídica.

Art. 12 13. O encarregado deverá ser capaz de comunicar-se com os titulares de dados e com a ANPD, de forma clara e precisa e em língua portuguesa.

Art. 13 14. O exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade nem qualquer certificação ou formação profissional específica.

Art. 14. O encarregado poderá acumular funções e exercer as suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesses.

Art. 15. As atividades do encarregado referentes ao contato com a ANPD e com os titulares de dados pessoais não poderão ser realizadas exclusivamente por meio de processos automatizados.

4.54. No título da Seção I foi excluída a expressão “e formas de atuação”, uma vez que, em razão das alterações efetuadas, a Seção passou a dispor apenas sobre as características do encarregado. Registro, ainda, que a Seção II dispõe sobre tema similar (“Das Atividades e das Atribuições”), conforme será abordado mais adiante.

4.55. O art. 12 foi dividido em incisos e passou a contar com referências expressas à possibilidade de indicação de um encarregado pessoa natural ou pessoa jurídica, informação que constava apenas da definição de “ato formal”, apresentada no art. 2º, § 1º (numeração original); e do art. 7º, parágrafo único (numeração original).

4.56. No art. 13 foi excluída a expressão “de dados”, uma vez que o termo consagrado na LGPD é apenas “titular”, conforme o disposto em seu art. 5º, V.

4.57. O art. 14 (numeração original) foi realocado para a Seção III, do Capítulo III, que trata do conflito de interesse, em razão da pertinência temática, acatando, neste ponto, recomendação da PFE (SEI nº 0122578, p. 7).

4.58. Por fim, o art. 15 (numeração original) estabelecia vedação de

Página 17

atendimento a titulares por meios exclusivamente automatizados. Proponho a sua exclusão, em conformidade com a fundamentação apresentada acima sobre o novo inciso IV do art. 10 do Regulamento. Este dispositivo trata de tema similar, porém com foco sobre a eficiência do mecanismo de comunicação adotado pelo agente de tratamento, sem entrar nos detalhes sobre qual meio deve ser adotado. Ressalto, ainda, que a comunicação entre a ANPD e o encarregado, bem como as providências que este deve adotar para o atendimento às essas comunicações, foram aglutinadas em um parágrafo único do art. 15, que será abordado mais adiante.

g) Das atividades e das atribuições

TABELA — ALTERAÇÕES SUGERIDAS (CAPÍTULO III, SEÇÃO II - DAS ATIVIDADES E DAS ATRIBUIÇÕES)

Art. 16 15. As atividades do encarregado consistem em:

I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis;

II - receber comunicações da ANPD e adotar providências;

III - orientar os funcionários e os contratados da entidade do agente de tratamento a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.

Parágrafo único. Ao receber comunicações da ANPD, o encarregado deverá adotar as medidas necessárias para o atendimento da solicitação e para o fornecimento das informações pertinentes, adotando, entre outras, as seguintes providências:

I - encaminhar internamente a demanda para as unidades competentes;

II - fornecer a orientação e a assistência necessárias ao agente de tratamento; e

III - indicar expressamente o representante do agente de tratamento perante a ANPD para fins de atuação em processos administrativos, quando esta função não for exercida pelo próprio encarregado.

Art. 17. São atribuições complementares do encarregado, sem prejuízo do disposto no inciso IV do

art. 16 deste Regulamento, orientar o agente de tratamento nas seguintes atividades:

Página 18

(continuação da tabela — ALTERAÇÕES SUGERIDAS, CAPÍTULO III, SEÇÃO II)

Art. 16. Cabe, ainda, ao encarregado, nos termos do

art. 10, inciso II, deste Regulamento, prestar assistência e orientação ao agente de tratamento na elaboração, definição e implementação, conforme o caso, de:

I - elaboração dos registros e da comunicação de incidente de segurança com dados pessoais;

II - elaboração do registro das operações de tratamento de dados pessoais;

III - elaboração de relatório de impacto à proteção de dados pessoais;

IV - identificação e análise de mecanismos internos de supervisão e de mitigação de riscos relativos ao tratamento de dados pessoais;

V - definição de medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

VI - processos e políticas internas que assegurem o cumprimento e implementação da Lei nº 13.709, de 14 de agosto de 2018, e dos regulamentos e orientações da ANPD, e na adoção de melhores práticas para proteção de dados pessoais;

VII - análise de aspectos instrumentos contratuais relacionados a que disciplinem questões relacionadas ao tratamento e à proteção da privacidade e dos dados pessoais;

VIII - transferências internacionais de dados, ~~realizadas nos termos do

art. 33, da~~ Lei nº 13.709, de 14 de agosto de 2018; e

IX - ~~formulação, implementação e divulgação de regras de boas práticas e de governança e de programa de governança em privacidade, nos termos do

art. 50 da Lei nº 13.709, de 14 de agosto de 2018;~~

X - produtos e serviços que adotem padrões de design compatíveis com os princípios previstos na LGPD, incluindo a privacidade por padrão e a limitação da coleta de dados pessoais ao mínimo necessário para a realização de suas finalidades; e

XI - outras atividades e tomada de decisões estratégicas referentes ao tratamento de dados.

Art. 18. O encarregado deverá manter sigilo sobre as informações protegidas por lei e, quando couber, sobre os dados pessoais que tomar conhecimento em decorrência do exercício de suas atividades e atribuições.

Art. 19 17. O desempenho das atividades e das atribuições dispostas nos

arts. 16 e 17 não confere ao encarregado a responsabilidade perante a ANPD pela conformidade do tratamento dos dados pessoais realizado pelo controlador.

Página 19

4.59. As alterações no art. 15 são de ordem formal e visam a aprimorar a redação do dispositivo. Assim, foi incluída a expressão “cabíveis” após “providências”, no inciso I, e substituída a expressão “da entidade” por “do agente de tratamento” no inciso III.

4.60. Ainda no art. 15 foi incluído um novo parágrafo único, que dispõe sobre o recebimento de comunicações da ANPD pelo encarregado e sobre as providências que este deve adotar em tais situações. Assim, o encarregado deverá, entre outras providências, encaminhar internamente a demanda, fornecer a orientação e a assistência necessárias para o atendimento às solicitações da ANPD e indicar o representante do agente de tratamento perante a ANPD, quando esta função não for exercida pelo próprio encarregado.

4.61. Sobre este último ponto (inciso III do parágrafo único do art. 15), a regra geral é que cabe ao encarregado receber comunicações da ANPD, conforme expressa previsão do art. 41, § 2º, II, da LGPD. Não obstante, o agente de tratamento pode indicar outro representante para receber comunicações futuras, tal como na hipótese de prepostos designados ou advogados contratados para atuar em processos específicos instaurados perante a ANPD. Nessa hipótese, tais representantes deverão ser indicados à ANPD pelo próprio encarregado, já que a este cabe, primariamente, a função de comunicação com a ANPD.

4.62. Registre-se que obrigação de natureza similar está prevista no art. 12, § 2º, do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021, segundo o qual “art. 12 […] § 2º o interessado deve informar, na primeira oportunidade em que se manifeste no processo, endereço eletrônico válido em que receberá as comunicações”. Assim, constitui ônus da parte interessada apresentar à ANPD as suas informações de contato, incluindo o nome de seus representantes e respectivos endereços eletrônicos.

4.63. A nova redação proposta para o art. 16 (que substitui o anterior art. 17 da proposta original) pretende tornar mais clara e precisa a redação do dispositivo. Durante a consulta pública, foram suscitadas dúvidas pertinentes sobre se caberia ao próprio encarregado, por exemplo, elaborar registros de comunicação de incidentes de segurança ou relatório de impacto à proteção de dados pessoais. Aparentemente, essas dúvidas surgiram em razão da forma ambígua pela qual o dispositivo estava redigido.

4.64. Assim, a nova proposta de redação enfatiza que compete ao encarregado, primariamente, “prestar assistência e orientação ao agente de tratamento”, conforme também previsto no art. 10, II, do Regulamento, referido anteriormente neste voto. Tais assistência e orientação se destinam a apoiar e auxiliar a execução das atividades mencionadas nos incisos do art. 16 no âmbito da organização. Dessa forma, fica mais claro que o Regulamento não determina e nem confere ao encarregado o dever de, diretamente, assumir a realização dessas atividades. Cabe ao encarregado apenas a função de auxiliar a realização dessas atividades, observadas, em qualquer caso, a

Página 20

estrutura administrativa e a divisão interna de competências estabelecidas pelo agente de tratamento.

4.65. Nos incisos I a IX do art. 16 foram feitos ajustes de redação para compatibilizar o regulamento com a nova disposição estabelecida no caput. As expressões “mecanismos internos de supervisão e mitigação de riscos” (inciso IV) e “processos e políticas internas que assegurem o cumprimento” (inciso VI) foram inseridas como forma de compatibilizar a terminologia utilizada no Regulamento com o previsto na LGPD, em especial em seu art. 50. Por sua vez, o ajuste efetuado no inciso VII tem por objetivo delimitar de forma mais objetiva a atuação do encarregado em relação aos instrumentos contratuais, afastando-se eventuais conflitos entre a sua atuação e as competências de outros funcionários da organização, a exemplo de advogados.

4.66. O novo inciso X destaca a necessidade de o encarregado prestar assistência e orientação quando da elaboração de novos produtos e serviços, a fim de auxiliar o agente de tratamento a adotar padrões de design compatíveis com os princípios da LGPD, especialmente a privacidade por padrão e a limitação da coleta ao mínimo necessário. Tal previsão reforça o papel do encarregado como agente capaz de promover a cultura de proteção de dados pessoais no âmbito das organizações.

4.67. O inciso XI apenas enfatiza que a indicação das atividades é exemplificativa, em harmonia com o disposto no art. 15, IV, do Regulamento, o qual se refere à possibilidade de o encarregado executar outras atribuições estabelecidas pelo agente de tratamento ou previstas em normas complementares.

4.68. O art. 18 (numeração original) foi excluído por se tratar de regra desnecessária e que foge ao escopo do presente Regulamento. Isso porque a existência de sigilo funcional é obrigação que se impõe, em maior ou menor medida, sobre todos os empregados, inclusive os do setor privado, observados os regramentos próprios e específicos, inclusive de natureza contratual, quando for o caso. Assim, não se demonstra adequado que a ANPD estabeleça regra genérica sobre sigilo funcional do encarregado, sem considerar as peculiaridades que alcançam, de forma distinta, o setor público e o setor privado, além dos diversos arranjos institucionais ou contratuais que podem ser estabelecidos nos mais diversos contextos.

4.69. Por fim, no art. 17 foram incluídas as expressões “perante a ANPD” e “realizado pelo controlador”, a fim de deixar mais claro que a atuação da ANPD se dirige, como regra, ao agente de tratamento - e não ao encarregado. Ademais, o disposto no art. 17 não implica eximir o encarregado de qualquer tipo de responsabilidade, uma vez que, como todo funcionário ou agente contratado, o encarregado poderá responder pessoalmente pelos seus atos nas hipóteses previstas na legislação pertinente.

Página 21

4.70. As alterações propostas na Seção III, que dispõe sobre o conflito de interesse na atuação do encarregado, são as seguintes:

TABELA — ALTERAÇÕES SUGERIDAS (SEÇÃO III - DO CONFLITO DE INTERESSE)

Art. 20 18. O encarregado deverá atuar com ética, e integridade, e autonomia técnica de forma imparcial e isenta, evitando situações que possam configurar conflito de interesse, influenciar ou afetar, de maneira imprópria, sua objetividade e comprometer seu julgamento técnico no desempenho das suas atribuições, configurando conflito de interesse.

Art. 21. Configura-se conflito de interesse o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisão sobre o tratamento de dados pessoais.

Art. 19. O encarregado poderá acumular funções e exercer as suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse.

§ 1º O conflito de interesse pode se configurar:

I - entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes de tratamento distintos; ou

II - com o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado.

§ 2º A existência de conflito de interesse, ainda que presumida, será objeto de verificação no caso concreto e poderá ensejar a aplicação de sanção ao agente de tratamento nos termos do

art. 52 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 22 20. O encarregado deverá declarar ao agente de tratamento que indicar qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações prestadas.

Art. 23 21. O agente de tratamento, deve atentar para que o encarregado não exerça atribuições que acarretem conflito de interesses.

Parágrafo único. Uma vez constatada a possibilidade de conflito de interesses, o agente de tratamento deverá adotar as seguintes providências, conforme o caso:

I - não indicar a pessoa para exercer a função de encarregado;

II - adotar implementar medidas para eliminar afastar o risco de conflito de interesse; ou

II - não indicar o encarregado; ou

III - substituir a pessoa designada para exercer a função de encarregado.

Página 22

(interrupção da tabela da página anterior)

4.71. No art. 18 foi incluída a expressão “autonomia técnica” em substituição a “de forma imparcial e isenta”, seguindo a terminologia utilizada no próprio Regulamento, em seu art. 10, III. A parte final do art. 18, por apresentar a definição de “conflito de interesse”, foi realocada como inciso II do art. 2º, conforme mencionado anteriormente neste voto.

4.72. Por sua vez, o caput do art. 19 passou a contar com a mesma redação que constava do art. 14 (numeração original), conforme mencionado anteriormente, tendo em vista que o dispositivo dispõe sobre conflito de interesse. Assim, segundo a recomendação da PFE (SEI nº 0122578, p. 7), o comando em questão foi incorporado a esta Seção III em razão de sua pertinência temática. Dada essa reorganização, foi necessário dividir o § 1º em incisos, realocando a redação original do caput do art. 19 como inciso II do § 1º. Neste inciso, foi incluída ainda a frase “ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado”, como forma de deixar claro que o encarregado poderá tomar decisões referentes ao tratamento de dados pessoais em relação às operações próprias e inerentes ao exercício da função desempenhada, como, por exemplo, nos casos de comunicação com os titulares e com a ANPD.

4.73. No § 2º do art. 19 foi excluída a frase “ainda que presumida”, seguindo recomendação da PFE (SEI nº 0122578, p. 7). De fato, considerando que o conflito de interesse sempre será “objeto de verificação no caso concreto”, não há necessidade de indicar a possibilidade de conflito de interesse presumido. Também foi incluída expressa referência a “agente de tratamento”, a fim de deixar mais clara a atuação da ANPD, que se dirige, como regra, à organização (e não ao encarregado pessoalmente).

4.74. As alterações efetuadas nos arts. 20 e 21 são de ordem formal e visam apenas a aprimorar a redação e a técnica legislativa adotadas nesses dispositivos.

4.75. Sendo essas as principais alterações propostas, acompanhadas das correspondentes justificativas técnicas e jurídicas, entendo pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revista e consolidada do Regulamento sobre a atuação do encarregado à apreciação dos demais membros do Conselho Diretor.

Página 23

5. VOTO

5.1. Diante de todo o exposto, voto pela aprovação da minuta de Resolução, que aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, conforme a minuta revista e consolidada anexada aos autos (SEI nº 0131548).

5.4. Por fim, considerando a relevância da matéria e a premente necessidade de posicionamento sobre o tema no âmbito da ANPD, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno.

5.6. É como voto.

MIRIAM WIMMER

Diretora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 04/07/2024, às 17:59, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 24

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

CONSELHO DIRETOR

Diretor Arthur Sabat

Brasília-DF, na data da assinatura.

VOTO Nº 10/2024/DIR-AS/CD/ANPD

PROCESSO Nº 00261.000226/2022-53

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 13/2024 (SEI 0131610)

DIRETOR ARTHUR PEREIRA SABAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

[ ] Concordo com a redução do prazo

[ ] Não concordo com a redução do prazo

[X] Não aplicável à hipótese

Voto no Circuito Deliberativo:

ARTHUR PEREIRA SABAT

DIRETOR

Documento assinado eletronicamente por Arthur Pereira Sabat, Diretor(a), em 05/07/2024, às 16:48, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 25

Não acompanho a Relatoria, nos seguintes termos:

[assinatura digital de Arthur Pereira Sabat]

DIRETOR

Documento assinado eletronicamente por Arthur Pereira Sabat, Diretor(a), em 05/07/2024, às 16:48, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 26

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Diretor Joacil Rael

VOTO Nº 16/2024/DIR-JR/CD

PROCESSO Nº 00261.000226/2022-53

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 13/2024 (SEI 0131610)

DIRETOR JOACIL BASILIO RAEL

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

[ ] Concordo com a redução do prazo

[ ] Não concordo com a redução do prazo

[X] Não aplicável à hipótese

Voto no Circuito Deliberativo:

JOACIL BASILIO RAEL

DIRETOR

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 09/07/2024, às 16:28, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 27

(continuação da declaração de voto do Diretor Joacil Basilio Rael)

[X] Acompanho a Relatoria (VOTO Nº 10/2024/DIR-MW/CD) (SEI 0127444)

Página 28

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Gabinete do Diretor-Presidente

Brasília-DF, na data da assinatura.

VOTO Nº 10/2024/GABPR/ANPD

PROCESSO Nº 00261.000226/2022-53

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 13/2024 (0131610)

DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

[ ] Concordo com a redução do prazo

[ ] Não concordo com a redução do prazo

[X] Não aplicável à hipótese

Voto no Circuito Deliberativo:

WALDEMAR GONÇALVES ORTUNHO JUNIOR

Diretor-Presidente

Página 29

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 10/07/2024, às 16:36, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.