CD nº 20/2024

Página 1

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Joacil Rael

VOTO Nº 26/2024/DIR-JR/CD

PROCESSO Nº 00216.000015/2023-47

DIRETOR RELATOR

Joacil Rael

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 1

Página 2

3.3. Na reunião do Comitê de Governança do dia 30/06/2023, foi apresentada a minuta da Política Interna de Proteção de Dados Pessoais pela encarregada (SEI 0054291).

3.4. O documento (SEI 0054293 e 0054295) foi disponibilizado para consulta interna (SEI 0054292).

3.5. Ato contínuo, por meio do Despacho SEI 0054299, encaminhou-se a minuta para análise da Procuradoria Federal Especializada - PFE, acompanhada dos subsídios constantes da Nota Técnica nº 14/2023/GT28-2021/ANPD (SEI 0054297).

3.6. Na sequência, a PFE opinou pela viabilidade jurídico-formal da minuta, com recomendações de ajustes, conforme exposto no PARECER n. 00006/2024/GAB/PFE/ANPD/PGF/AGU (SEI 0103430).

3.7. A encarregada elaborou a Nota Técnica nº 201/2024/ENCARREGADO/GABPR/ANPD (SEI 0128515), a fim de endereçar as recomendações feitas pela PFE. Em seguida, encaminhou os autos ao gabinete do Diretor-Presidente para ciência e encaminhamentos.

3.8. O gabinete do Diretor-Presidente encaminhou os autos à Secretaria-Geral para conhecimento e providências relativas à apreciação e deliberação do Conselho Diretor (SEI 0128572).

3.9. O processo foi distribuído a este Gabinete após sorteio realizado em 24/06/2024, conforme certificado nos autos (SEI 0128875).

3.10. É o relatório.

4. ANÁLISE

4.1. Trata-se da Política Interna de Proteção de Dados Pessoais, qual estabelece princípios, diretrizes e regras para as operações de tratamento de dados pessoais realizadas no âmbito da Autoridade Nacional de Proteção de Dados (ANPD). A iniciativa está fundamentada no art. 50 da LGPD e na necessidade de adoção de cuidados contínuos ao longo de todo o ciclo de tratamento de dados pessoais. Senão vejamos:

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 2

Página 3

e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.

4.2. A Política Interna de Proteção de Dados Pessoais de um documento de orientação institucional das práticas a serem tomadas em relação à proteção de dados pessoais no âmbito da ANPD. O art. 41, inciso III, da LGPD estabelece a necessidade de o controlador indicar encarregado pelo tratamento de dados pessoais, a quem caberá orientar os servidores, colaboradores e terceiros a respeito das práticas a serem tomadas em relação à proteção de dados pessoais. Vejamos:

Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais. […]

(…)

§ 2º As atividades do encarregado consistem em:

(…)

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais.

4.3. Diante deste contexto, a proposta apresentada encontra-se devidamente motivada e orientará o tratamento dos dados pessoais no âmbito da ANPD, conferindo maior segurança jurídica às operações de tratamento realizadas pela instituição.

4.4. A seguir, serão analisados os aspectos processuais e o mérito da minuta proposta, incluindo a estrutura e conteúdo da Resolução e da Política (Anexo).

4.5. Inicialmente, verifico que foram observados os procedimentos formais aplicáveis à hipótese, de modo que a instauração e a instrução do

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 3

Página 4

processo obedeceram às disposições regimentais, havendo a necessária motivação para a edição do ato normativo. Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de uma Política “expressa decisão quanto ao provimento normativo de competência da ANPD”, em conformidade com o art. 51 do Regimento Interno.

4.6. Instada a se manifestar, a Procuradoria Federal Especializada – PFE/ANPD, por meio do PARECER n. 00006/2024/GAB/PFE/ANPD/PGF/AGU, opinou pela “…viabilidade jurídico-formal da minuta apresentada (Minuta (SEI/ANPD 0066830), observadas as recomendações constantes dos parágrafos 23 e 24.”

4.7. Por fim, verificado o atendimento aos requisitos formais aplicáveis, bem como que o ato normativo escolhido é adequado ao propósito, passo à análise de mérito da minuta.

4.8. No que diz respeito à estrutura da minuta da Resolução, não promovi alterações, uma vez que está de acordo com o modelo adotado, usualmente, pela ANPD. Sendo isto que tinha a analisar, passo às considerações sobre a minuta da Política (Anexo) propriamente dita.

4.9. No que diz respeito à estrutura da minuta da Política, destaco que excluí seções e modifiquei alguns capítulos, com o intuito de tornar o texto mais objetivo.

4.10. Os CAPÍTULOS I e II são pertinentes a todo tipo de norma. Tais capítulos apontam, respectivamente, as disposições gerais e os princípios e diretrizes aplicáveis.

4.11. Já o CAPÍTULO III dispõe sobre o tratamento dos dados pessoais realizado no âmbito das atividades realizadas pela ANPD. Este capítulo aborda, em geral, questões relacionadas ao armazenamento, compartilhamento, transferência internacional, acesso aos dados, medidas de segurança, direitos dos titulares.

4.12. O CAPÍTULO IV trata dos direitos dos titulares e da forma como estes direitos podem ser exercidos perante a ANPD.

4.13. O CAPÍTULO V apresenta as responsabilidades das áreas da ANPD a respeito do tratamento dos dados pessoais.

4.14. O CAPÍTULO VI apresenta disposições sobre conscientização e

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 4

Página 5

capacitação e o CAPÍTULO VII trata das penalidades.

4.15. Considero, portanto, que o documento aborda os principais aspectos relacionados ao tratamento de dados pessoais, estando coerente com a finalidade a que se destina.

4.16. Com relação ao conteúdo, destaco que o documento analisado (SEI 0128514) passou por alterações de ordem redacional, com o objetivo de tornar mais clara a redação dos dispositivos e uniformizar as terminologias utilizadas. As modificações propostas podem ser verificadas na versão com marcas juntada ao processo (SEI 0147175).

4.17. Informo ainda que houve necessidade de renumerar os artigos em função da realocação de dispositivos.

4.18. No que diz respeito ao mérito da minuta da Política, a Nota Técnica nº 14/2023/GT28-2021/ANPD (SEI 0054297) apresentou os subsídios que foram utilizados para embasar a elaboração do documento. Vejamos:

2.3. Do Conteúdo

2.3.1. Para a produção do documento, como apresentado ao Comitê de Governança, Riscos e Controles (Comitê de Governança) (item 3 da ata da reunião do dia 30 de junho de 2023, documento SUPER 4509327), a equipe analisou o contexto interno, mapeou as Políticas de Segurança da Informação de outras instituições federais, realizou levantamento bibliográfico e estudou as ISOs.

(…)

2.3.3. Ressalta-se que o uso da terminologia “interna” no nome da Política para que não haja interpretação equivocada da finalidade do normativo.

2.3.4. Entre os dias 03 de agosto a 01 de setembro de 2023 foi disponibilizada a minuta da Política Interna de Proteção de Dados Pessoais.

4.19. Diante do exposto, considero que foram tomadas as devidas cautelas no que diz respeito ao embasamento técnico que subsidiou a minuta do ato normativo interno.

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 5

Página 6

4.19.1. Feitas estas considerações, examinarei a seguir os aspectos de maior relevância do texto apresentado, em especial, no que toca às alterações de cunho substancial realizadas no documento proposto.

4.20. No Capítulo I, o art. 1º e parágrafo primeiro foram alterados, a fim de esclarecer a finalidade, escopo de aplicação e destinatários da Política. O parágrafo segundo foi excluído, considerando a inexistência, até o presente momento, de Programa de Governança e Privacidade da ANPD.

4.21. O art. 2º, caput e parágrafo único foram realocados, em parte, para o capítulo de princípios e diretrizes, considerando a natureza tangencial das matérias dispostas no texto.

4.22. O art. 4º, que tratava da disponibilização da Política aos seus destinatários, foi excluído. Isto porque todos os documentos produzidos pela ANPD são publicados no Diários Oficial da União – DOU, sendo, portanto, desnecessário, o destaque no texto da Política Interna. Os documentos internos também são publicados na Intranet da ANPD, facilitando seu acesso aos servidores e colaboradores.

4.23. No que se refere ao Capítulo II, que dispunha sobre os princípios e diretrizes, suprimi os incisos de I a X do art. 6, uma vez que se trata de repetição dos princípios constantes do art. 6º da LGPD. Neste sentido, fiz menção dos fundamentos e princípios da LGPD no caput, sem detalhá-los. Aproveitando o contexto do capítulo, inseri aqui as diretrizes pertinentes, a partir da absorção dos arts. 7º a 12 da minuta.

4.24. Quanto ao então art. 13, que inaugura o novo Capítulo III, modifiquei o texto, a fim de alinhar à redação do art. 23 da LGPD, que dispõe sobre o tratamento de dados pessoais pelo Poder Público. No parágrafo primeiro, reforcei a necessidade de o tratamento ser realizado com base em hipótese legal adequada. Inserí ainda o parágrafo terceiro, a fim de ressaltar o princípio da necessidade.

4.25. O então art. 14 sofreu alterações de texto com a finalidade de ressaltar a aplicação do princípio da segurança. Na oportunidade, alterei o parágrafo único para tratar de forma mais objetiva sobre o término do tratamento, eliminação e hipóteses de conservação.

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 6

Página 7

4.26. O então art. 15, que tratava do uso compartilhado de dados pela ANPD, foi reformulado, a fim de alinhar ao texto do art. 26 da LGPD. Quanto ao parágrafo único, considerando que o tema tratado no dispositivo carece de regulamentação pela ANPD, entendo a especificação dos requisitos merece detalhamento oportuno. Por este motivo, excluí o dispositivo.

4.27. Quanto ao texto do então art. 19, que tratava dos prestadores de serviço terceirizados, cabe destacar que o art. 2º da minuta já informa os destinatários da Política, estando entre eles prestadores de serviços terceirizados. Neste sentido, excluí o dispositivo, a fim de evitar repetições. Com relação ao parágrafo único, transformei-o em artigo, bem como realizei ajustes redacionais, a fim de melhor endereçar o tema no documento.

4.28. O Relatório de Impacto de Proteção de Dados Pessoais encontra-se disciplinado nos art. 5º, inciso XVII e art. 55-J, inciso XIII, ambos da LGPD. Neste sentido, reformulei o texto do então art. 24 para adequar-se à redação da LGPD, bem como à recomendação da ANPD quanto ao tema.

4.29. O artigo 26 elencou os direitos dos titulares previstos no art. 18 da LGPD. Tais direitos encontram-se relacionados no item 10 do Aviso de Privacidade, documento direcionado aos titulares. Neste sentido, a fim de evitar repetição, excluí a menção aos direitos e readequei o texto do caput do dispositivo.

4.30. Quanto ao art. 29, desloquei o assunto, com as devidas adaptações para o parágrafo oitavo do então art. 30, a fim de manter coerência com a proposta de disposição dos artigos.

4.31. Em se tratando do art. 30, parágrafo terceiro, considerando a publicação do Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, aprovado pela Resolução CD/ANPD Nº 18, de 16 de julho de 2024, realizei alguns ajustes de conteúdo, a fim de alinhar ao disposto na Resolução.

4.32. O art. 34 foi excluído, uma vez que fora atribuída responsabilidade ao Encarregado de “avaliar e propor a atualização desta Política”, restando desnecessária a previsão destacada no presente dispositivo.

4.33. Sendo essas as principais alterações a serem incorporadas à minuta da Resolução e seu Anexo, entendo pertinente a continuidade do

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 7

Página 8

procedimento de deliberação, com a consequente submissão do presente voto e da versão revista e consolidada da Resolução à apreciação dos demais membros do colegiado.

5. VOTO

5.1. Diante de todo o exposto, voto pela aprovação da Minuta de Resolução que “Institui a Política Interna de Proteção de Dados Pessoais da Autoridade Nacional de Proteção de Dados (ANPD)”, conforme a minuta revista e consolidada anexada aos autos (SEI 0147206).

5.2. Considerando a relevância da matéria e a premente necessidade de posicionamento sobre o tema no âmbito da ANPD, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno.

5.3. À Secretaria-Geral para providências pertinentes.

5.4. É como voto.

JOACIL RAEL

DIRETOR

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 26/09/2024, às 09:53, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0147169 e o código CRC B7C7DA58.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00216.000015/2023-47

SEI nº 0147169

Voto 26 (0147169) SEI 00216.000015/2023-47 / pg. 8

Página 9

ANPD

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Arthur Sabbat

Brasília-DF, na data da assinatura.

VOTO Nº 18/2024/DIR-AS/CD/ANPD

PROCESSO Nº 00216.000015/2023-47

ASSUNTO: Resolução que institui a Política Interna de Proteção de Dados Pessoais da Autoridade Nacional de Proteção de Dados (ANPD)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

Voto no Circuito Deliberativo:

ARTHUR PEREIRA SABBAT

Diretor

Voto em Circuito Deliberativo 18 (0147479)

SEI 00216.000015/2023-47 / pg. 9

Página 10

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 27/09/2024, às 17:31, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0147479 e o código CRC AD9F6587.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00216.000015/2023-47

SEI nº 0147479

Voto em Circuito Deliberativo 18 (0147479)

SEI 00216.000015/2023-47 / pg. 10

Página 11

ANPD

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretora Miriam Wimmer

VOTO Nº 18/2024/DIR-MW/CD

PROCESSO Nº 00216.000015/2023-47

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de Resolução que institui a Política Interna de Proteção de Dados Pessoais da Autoridade Nacional de Proteção de Dados (ANPD).

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

VOTO

Voto 18 (0147692) SEI 00216.000015/2023-47 / pg. 11

Página 12

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 30/09/2024, às 14:42, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0147692 e o código CRC B828E827.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00216.000015/2023-47

SEI nº 0147692

Voto 18 (0147692)

SEI 00216.000015/2023-47 / pg. 12

Página 13

ANPD

Autoridade Nacional de Proteção de Dados

Gabinete do Diretor-Presidente

VOTO Nº 9/2024/GABPR

PROCESSO Nº 00216.000015/2023-47

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Minuta de Resolução que institui a Política Interna de Proteção de Dados Pessoais da Autoridade Nacional de Proteção de Dados (ANPD).

VOTO EM CIRCUITO DELIBERATIVO

WALDEMAR GONÇALVES ORTUNHO JUNIOR

DIRETOR-PRESIDENTE

VOTO

Voto 9 (0147799)

SEI 00216.000015/2023-47 / pg. 13

Página 14

Documento assinado eletronicamente por Waldemar Goncalves Ortunho Junior, Diretor(a) Presidente, em 02/10/2024, às 13:51, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0147799 e o código CRC D4E671CC.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00216.000015/2023-47

SEI nº 0147799

Voto 9 (0147799)

SEI 00216.000015/2023-47 / pg. 14