Alerta
- 18 agosto 2023
-
ANPD inicia consultas públicas para regulamento de transferência internacional de dados pessoais e estudo preliminar sobre o Legítimo Interesse
Nos últimos dias, a Autoridade Nacional de Proteção de Dados (“ANPD” ou “Autoridade”) deu início a procedimento para obter contribuições da sociedade em relação a dois temas importantes previstos na Lei nº 13.709/2018 (“LGPD”): a transferência internacional de dados pessoais e regras para utilização do legítimo interesse como hipótese autorizativa do tratamento de dados. Trata-se de passos relevantes em direção a um cenário de maior segurança jurídica para agentes econômicos que lidam com o tratamento de dados pessoais.
- Consulta Pública ao Regulamento de Transferências Internacionais de Dados Pessoais
Em 15 de agosto, foi aberta consulta pública sobre a minuta de resolução referente ao Regulamento de Transferência Internacional de Dados e os modelos de Cláusulas-Padrão Contratuais (“Regulamento”). Essa iniciativa tem como objetivo regular as hipóteses legais que autorizam a transferência de dados pessoais para países estrangeiros ou entidades internacionais dos quais o Brasil seja membro, em atenção aos artigos 33, II, alíneas “a”, “b” e “c”, art. 35, § 1º, 2º e 5º, e art. 36, da LGPD.[1]
A minuta do Regulamento dispõe sobre diversos pontos, como o processo de aprovação de cláusulas contratuais específicas pela a ANPD, a pedido do controlador; a adoção de normas corporativas globais, destinadas às transferências internacionais entre organizações de um mesmo grupo econômico; a utilização de cláusulas-padrão contratuais elaboradas e aprovadas pela ANPD; e o procedimento para emissão de decisão de adequação pela ANPD, reconhecendo a equivalência do nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional com a legislação nacional de proteção de dados. Além disso, o Anexo II da minuta disponível para consulta pública apresenta a primeira versão das Cláusulas-Padrão Contratuais elaboradas pela ANPD.
É possível acessar a minuta completa do Regulamento aqui. Também recomendamos a leitura do Relatório de Análise de Impacto Regulatório e do voto da Diretora Relatora para aprovação da minuta de resolução, com sugestões de alteração e submissão à consulta pública.
- Estudo Preliminar sobre Legítimo Interesse
Adicionalmente, em 16 de agosto, a ANPD iniciou a consulta pública sobre o Estudo Preliminar referente à hipótese legal do legítimo interesse para tratamento de dados pessoais, prevista no art. 7º, IX da LGPD[2] (“Estudo Preliminar”). Este Estudo Preliminar tem como objetivo fornecer subsídios para a criação de conteúdo orientativo futuro, destinado a nortear a aplicação desta base legal.
Entre outros temas relevantes, o Estudo Preliminar explora definições e parâmetros de interpretação para a aplicação da base legal do legítimo interesse, aborda a possibilidade de tratamento de dados pessoais de crianças e adolescentes sob esta hipótese autorizativa, e orienta como observar os requisitos de aplicação desta base legal, como a legítima expectativa do titular e o respeito aos seus direitos e liberdades fundamentais. Adicionalmente, traz considerações a respeito do tratamento de dados pessoais sensíveis sob a base legal de garantia de prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, prevista no artigo 11, II, g, da LGPD.
O Estudo Preliminar contempla, ainda, exemplos concretos nos quais a aplicação da base legal do legítimo interesse é apropriada e, ao final, apresenta um modelo de teste de balanceamento desenvolvido pela ANPD. É fundamental lembrar que o tratamento de dados pessoais amparado nesta base legal requer sempre uma ponderação entre os interesses do controlador ou de terceiro, por um lado, e dos direitos e liberdades fundamentais dos titulares, por outro.
Nesse contexto, merece especial atenção a orientação contida no Estudo Preliminar de que a documentação do teste de balanceamento seja armazenada pelo controlador conjuntamente com o registro do tratamento de dados pessoais estabelecido pelo art. 37 da LGPD. Esta previsão, caso mantida no guia orientativo futuro sobre o tema, posiciona o entendimento da Autoridade em relação à necessidade de conduzir e documentar o teste de balanceamento para todas as atividades de tratamento de tratamento de dados pessoais fundadas no legítimo interesse.
O modelo de teste de balanceamento proposto pela ANPD no Estudo Preliminar não se propõe a ser vinculante, podendo os agentes de tratamento adotarem modelos de sua preferência, desde que observadas as disposições da LGPD.
O Estudo Preliminar completo está disponível aqui.
- Consultas Públicas
As consultas estarão disponíveis na plataforma “Participa Mais Brasil” pelos seguintes períodos:
- Regulamento de Transferências Internacionais de Dados Pessoais e do modelo de Cláusulas-Padrão Contratuais: 15 de agosto e 14 de setembro (acesse aqui).
- Estudo Preliminar sobre Legítimo Interesse: 16 de agosto a 15 de setembro (acesse aqui).
[1] Art. 33, inciso II, alíneas a, b e c, da LGPD: “A transferência internacional de dados pessoais somente é permitida nos seguintes casos: II – quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de: a) cláusulas contratuais específicas para determinada transferência; b) cláusulas-padrão contratuais; c) normas corporativas globais […].
Art. 35, § 1º, 2º e 5º da LGPD: “A definição do conteúdo de cláusulas-padrão contratuais, bem como a verificação de cláusulas contratuais específicas para uma determinada transferência, normas corporativas globais ou selos, certificados e códigos de conduta, a que se refere o inciso II do caput do art. 33 desta Lei, será realizada pela autoridade nacional.
- 1º Para a verificação do disposto no caput deste artigo, deverão ser considerados os requisitos, as condições e as garantias mínimas para a transferência que observem os direitos, as garantias e os princípios desta Lei.
- 2º Na análise de cláusulas contratuais, de documentos ou de normas corporativas globais submetidas à aprovação da autoridade nacional, poderão ser requeridas informações suplementares ou realizadas diligências de verificação quanto às operações de tratamento, quando necessário.
- 5º As garantias suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no caput deste artigo serão também analisadas de acordo com as medidas técnicas e organizacionais adotadas pelo operador, de acordo com o previsto nos §§ 1º e 2º do art. 46 desta Lei.
Art. 36 da LGPD: “As alterações nas garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no inciso II do art. 33 desta Lei deverão ser comunicadas à autoridade nacional.”
[2] Art. 7º da LGPD: “O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
IX – quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”.
Nossa equipe especializada na prática de Tecnologia, Proteção de Dados e Propriedade Intelectual acompanha de perto as mudanças que impactam o mercado brasileiro. Para obter esclarecimentos sobre o tema, ou outros que sejam de seu interesse, entre em contato com nossos profissionais.
Tem alguma dúvida? Entre em contato com a nossa equipe marketing@lefosse.com
