A lei traz várias garantias ao cidadão, como: poder solicitar que os seus dados pessoais sejam excluídos; revogar o consentimento; transferir dados para outro fornecedor de serviços, entre outras ações. O tratamento dos dados deve ser feito levando em conta alguns requisitos, como finalidade e necessidade, a serem previamente acertados e informados ao titular. 

Com relação à administração de riscos e falhas, o responsável por gerir dados pessoais também deve redigir normas de governança; adotar medidas preventivas de segurança; replicar boas práticas e certificações existentes no mercado; elaborar planos de contingência; fazer auditorias; resolver incidentes com agilidade, com o aviso imediato sobre violações à ANPD e aos indivíduos afetados.

As falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – limitado a R$ 50 milhões por infração. A autoridade nacional fixará níveis de penalidade segundo a gravidade da falha e enviará alertas e orientações antes de aplicar sanções às organizações.

De acordo com a portaria, o início da discussão dos temas prioritários foram divididos em três fases. Na primeira, estão os assuntos que serão analisados já neste primeiro semestre. Na segunda etapa, foram incluídos aqueles que entrarão em debate em até 1 ano e 6 meses. Por fim, na etapa 3, foram incluídos os assuntos que somente serão discutidos em até dois anos.

A portaria, no entanto, não descarta a possibilidade de que outros assuntos possam entram na agenda regulatória de maneira emergencial. A seguir, veja os assuntos e suas respectivas fases.

Planejamento estratégico – Definido o regimento, a Autoridade vai discutir o planejamento estratégico para o período até 2023. Nele, serão incluídos os objetivos a serem alcançados pela ANPD e os seus respectivos prazos e as ações estratégicas vinculadas. O assunto será discutido no primeiro semestre de 2021.

Tratamento de dados de pequenas e médias empresas, startups e pessoas físicas para fins econômicos – A ideia é discutir regras excepcionais para o tratamento de dados feita por pessoas físicas e empresas de pequeno e médio porte (PMEs) que utilizam dados para fins econômicos. O tema é importantíssimo: hoje, segundo um recente levantamento da empresa Resultados Digitais, apenas 4% das empresas PMEs estão adaptadas a LGPD. A expectativa é iniciar o debate no primeiro semestre deste ano.

Definição de regras para as sanções – A Autoridade vai discutir a criação de critérios e regras para a aplicação de sanções administrativas a infrações da referida lei, além de metodologias que orientarão o cálculo do valor-base das sanções de multa. A regulamentação também estabelecerá as circunstâncias e as condições para a adoção de multa. Debate previsto para o primeiro semestre deste ano.

Comunicação de incidentes e prazo de notificação – A Lei Geral de Proteção de Dados exige que todo o vazamento de dados pessoais seja comunicado à Autoridade. Segundo a norma, o controlador deverá comunicar à Autoridade e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Embora a norma estabeleça critérios mínimos, é preciso que a ANPD regulamente alguns itens, como prazo, e defina o formulário e a melhor forma de encaminhamento das informações. O debate deverá ocorrer ainda no primeiro semestre.

Relatório de Impacto à Proteção de Dados Pessoais – É um documento que comunica sobre qualquer operação que envolva o tratamento de dados pessoais que possa gerar riscos às liberdades civis e aos direitos fundamentais, ou ainda deverá ser realizada a descrição dos processos para mitigação de riscos e responsabilidade.

De acordo com a LGPD, a Autoridade é responsável por editar regulamentos sobre os relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais. O tema entra na pauta no primeiro semestre deste ano.

Transferência Internacional de Dados Pessoais – É a possibilidade de transferir dados pessoais para outro país, desde que a outra nação tenha uma proteção de dados “adequada”. A LGPD prevê que o nível de proteção de dados do país estrangeiro ou do organismo internacional poderá ser avaliado pela ANPD, o que, em tese, poderia levar a uma autorização ou não da transferência de dados pessoais. Além disso, a Autoridade poderá definir critérios ou padrões mínimos de cláusulas contratuais para a transferência de informações pessoais. O tema começará a ser discutido no primeiro semestre de 2022.

Hipóteses legais de tratamento de dados pessoais – Um dos debates mais importantes sobre a proteção de dados. A Autoridade deverá produzir um documento orientando o público sobre as bases e hipóteses legais de aplicação da LGPD sobre diversos temas, incluindo as hipóteses legais descritas no art. 7º mas não restritas a ele. Um dos assuntos que vem chamando a atenção é a definição do que a lei chama de “legítimo interesse” de uma empresa, governo ou outras instituições tratarem os dados pessoas de terceiros. A ANPD deverá definir um significado específico para o tema. Previsto para o segundo semestre de 2022.