O presidente Michel Temer assinou medida provisória que altera a Lei nº 13.709/2018 – conhecida como Lei Nacional de Proteção de Dados (LGPD) – e cria a Autoridade Nacional de Proteção de Dados (ANPD). A MP ainda estende o prazo para a entrada em vigor da lei de 18 para 24 meses.

A medida provisória nº 869/2018 determina que a ANPD será vinculada diretamente à Presidência da República e terá autonomia técnica (Art. 55-B), mas sem independência financeira ou administrativa, como originalmente previsto. A agência será composta por um Conselho Diretor, um Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, Corregedoria, Ouvidoria, e demais órgãos de assessoramento.

A criação da Agência havia sido originalmente vetada por Temer em agosto, o que acabou por enfraquecer o aspecto sancionatório da LGPD.  Agora, a aplicação de sanções previstas na Lei passa a competir exclusivamente à ANPD, que também assume as competências regulatória e fiscalizatória no que se refere à proteção de dados pessoais. A agência articulará ainda sua atuação com o Sistema Nacional de Defesa do Consumidor do Ministério da Justiça e outros órgãos com competências ligadas à proteção de dados.

O Conselho Diretor da ANPD será composto por cinco diretores nomeados pelo Presidente da República e com mandato de quatro anos. Cada conselheiro somente poderá perder o cargo por renúncia, condenação judicial transitada em julgado ou pena de demissão decorrente de processo administrativo disciplinar. Já o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto por vinte e três representantes – mesmo número previsto no projeto de lei aprovado no Congresso – e terá como principais atribuições propor diretrizes para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e elaborar relatórios avaliando sua execução.

A estrutura regimental da ANPD ainda precisará ser regulada por ato da Presidência da República e, até lá, a Agência funcionará com apoio da Casa Civil.

MP amplia possibilidades de uso e tratamento de dados pessoais

Entre as demais alterações trazidas pela MP nº 869/2018, além da já citada extensão do prazo para que empresas e outros órgãos se adaptem de 18 para 24 meses, destaca-se a revogação da obrigação de informar ao titular o uso e tratamento de seus dados pessoais para o cumprimento de obrigação legal ou regulatória pelo controlador ou para a execução de políticas públicas pela administração pública, como previsto pelo agora revogado § 1º do art. 7º da LGPD.

Outra mudança é a ampliação das possibilidades de tratamento de dados pessoais sensíveis. Se o § 4º do art. 11 permitia a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica somente na hipótese de portabilidade de dados com o consentimento do titular, agora a lei também permite tal compartilhamento na hipótese de “necessidade de comunicação para a adequada prestação de serviços de saúde suplementar”.

A medida provisória tem validade de 60 dias. Para virar lei, o texto precisará ser aprovado pelo Congresso Nacional.