A Lei Geral de Proteção de Dados (LGPD) já em vigor com sua totalidade desde o dia 1ª de agosto deste ano, nasce com suas arestas distorcidas em vários de seus pontos emoldurados pela Lei 13.709/18. Um dos mais criticados, e aqui venho encabeçar essa lista, trata-se do poder punitivo atribuído à Autoridade Nacional de Proteção de Dados (ANPD). Destacamos que, tal órgão não é equiparado à uma agência reguladora, assim como preceituado no próprio texto legislativo da LGPD.
Incialmente, imperioso destacar que a lei de proteção de dados pessoais e da privacidade brasileira foi espelhada na legislação europeia de proteção de dados, General Data Protection Regulation (GDPR). No caso do Brasil, a lei de proteção de dados foi formatada em descompasso com a linha temporal lógica de construção legislativa. Importante parcela da sociedade civil ficou de fora da discussão da LGPD quando ainda em trâmite nas casas legislativas (Câmara dos Deputados e Senado Federal), como por exemplo: as entidades representativas do comércio e da indústria, as classes de profissionais autônomos e as associações de escolas particulares. Enfim, tão somente após a lei promulgada é que se busca a sua forma mais adequada de aplicação, um caminho inverso ao raciocínio lógico mínimo. Nada de “anormal” em se tratando de legislação brasileira. Avalio!
Mais o que trago aqui em debate é justamente saber se a ANPD tem legitimidade punitiva, segundo a sua natureza jurídica e essência. De acordo com o caput d art. 55-A, a ANPD é um órgão adstrito diretamente ao gabinete da Presidência da República. Adianto ainda que, logo em seguida no parágrafo primeiro do mesmo artigo, a sua natureza jurídica não é definitiva, pois destaca que é “transitória” e que “poderá ser transformada pelo Poder Executivo em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República”. Resumindo, a ANPD está num limbo legal quanto à sua existência!
O inciso II do art. 52 da Lei 13.709/2018 (LGPD), dista que uma das funções da ANPD é punir o “infrator com “multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração”. Em seguida, o § 5º do mesmo art. 52 regulamenta a destinação dos valores arrecadados inerentes às multas oriundas da LGPD, pela via da ANPD, para o Fundo de Defesa de Direitos Difusos. Ou seja, muito embora a ANPD não esteja formatada como uma autarquia, opera de igual modo como uma verdadeira “Agência Reguladora”.
Fato inconteste e inelutável é que, a Constituição Federal de 1988 reza em seu art. 37, inciso XIX sobre a forma de criação de uma autarquia, repiso: “somente por lei específica poderá ser criada autarquia e autorizada a instituição de empresa pública, de sociedade de economia mista e de fundação, cabendo à lei complementar, neste último caso, definir as áreas de sua atuação”.
No caso da LGPD, há um vácuo legislativo nas atribuições dadas para a ANPD, onde a mesma se apresenta como um órgão do Executivo Federal, mas com função de uma Agência Reguladora que tem a missão de criar normas e regulamentos afeitos à proteção de dados pessoais e da privacidade. Destaque-se que, tudo isso sem a base legal estabelecida por uma lei específica e lei complementar.
De agora por diante, não me tomarei por surpresa alguma se alguma entidade ligada à indústria ou comércio, ou qualquer outra associação/entidade representativa questionar a constitucionalidade deste dispositivo que trata sobre o poder punitivo da ANPD junto ao Supremo Tribunal Federal (STF).
Quais serão os parâmetros legais para a ANPD valorar a multa para o empreendimento que não estiver em conformidade com a LGPD? Estará correto, do ponto de vista da constitucionalidade legislativa da LGPD, em disciplinar esse balizamento por meio de portarias ou instruções normativas? E o contraponto está na própria Lei Geral de Proteção de Dados que assegura o desenvolvimento econômico e a livre iniciativa como dois de seus fundamentos, como disciplina da proteção de dados elencados no art. 2º, IV e V da Lei 13.709/18.
As regras tanto da LGPD, assim como principalmente da atribuição da ANPD, devem ser claras e precisas, não se admitindo tamanha imprecisão legislativa conforme a dicção contida no §1º do art. 55-A da Lei 13.709/18 ao mencionar a natureza jurídica transitória com a sua suposta transformação em “entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República”.
A desnaturação da ANPD já é vista como fato pelo próprio Poder Judiciário, que já vem aplicando sanções antes mesmo da vigência total da LGPD, em 1º de agosto último. Para tanto, tão apenas era esperada a promulgação da Lei 13.709/18 em 18/09/2020, para em seguida já condenar empresas e entidades por descumprimento da lei brasileira de governança de dados pessoais e da privacidade. Ou seja, a justiça brasileira pinça da LGPD os conceitos sobre dados pessoais e os destinatários responsáveis pelo tratamento das informações. Assim, em caso de identificação do não cumprimento da lei, aplica-se indenizações e outras decisões judiciais.
No caso do Brasil ser um país com dimensão continental, portador de uma economia cheia de recortes regionais, com diferentes tipos de empreendimentos (grande, médio e pequeno porte), vislumbro a ANPD no meio de uma verdadeira teia de pontos de interrogações no que pese à efetivação das suas atribuições estabelecida pela LGPD e contando com sua natureza jurídica precária e flutuante.
E isso não é nada bom para quem está na mira a ANPD!
