George Luna Bonfim: “A LGPD passará por uma fase de amadurecimento”

Advogado de um dos grandes escritórios paulistas – o Natal & Manssur – localizado no bairro nobre do Itaim Bibi, George Leandro Luna Bonfim entende que a implantação da Lei Geral de Proteção de Dados (Lei 13.709/18) nas empresas significa um investimento e não um gasto. Desde que entrou em vigor em agosto de 2020 com o objetivo de garantir maior controle dos cidadãos sobre suas informações pessoais, há um intenso movimento de adequação dos entes públicos e da iniciativa privada para atender aos requisitos da lei.

Mas é preciso mais. Bonfim alega, por exemplo, que falta por parte do governo e da recém-criada agência reguladora responsável pela fiscalização do setor – a ANPD (Autoridade Nacional de Proteção de Dados) – a promoção de campanhas de divulgação. Nesse campo, o governo tem claudicado. A se levar em conta que os dados pessoais são considerados o principal insumo de inúmeras empresas, não deixa de ser preocupante que a publicização da lei não tenha alcançado prioridade por parte das autoridades. Vale dizer que a LGPD é um salto qualitativo para o país. Os princípios e direitos assegurados aos titulares de dados reúnem, sob um marco regulatório, as leis esparsas que foram sendo aprovadas pelo Congresso ao longo do tempo (a Lei Carolina Dieckmann é só um exemplo). Bonfim avalia que a implantação da LGPD, como toda nova lei de impacto na sociedade, ainda necessitará de um amadurecimento. “Da mesma forma que ocorreu com o advento do Código de Defesa do Consumidor e com a lei que instituiu o chamado acordo de colaboração premiada, a LGPD também passará por uma fase de estudos e aprimoramento”. Há outro aspecto que chama a atenção de Bonfim. A ANPD, responsável pela regulação e fiscalização do setor, está, conforme texto da lei, vinculada à Presidência da República, o que a diferencia das agências reguladoras relacionadas a ministérios afeitos às suas atividades. “Seria recomendável que, posteriormente, a ANPD pudesse ser realocada em uma organização mais independente de quaisquer dos três poderes, o que inclui o Poder Executivo”, diz Bonfim. A seguir os principais trechos da entrevista:

A LGPD entrou em vigor sem que a autoridade que irá regulá-la estivesse definida? Isso não é um contrassenso?

O processo de regulamentação de determinada lei geralmente ocorre em momento posterior ao de sua entrada em vigor, o que não significa que determinados aspectos, direitos e obrigações da LGPD não possam ser cumpridos de forma imediata, inclusive com a análise de eventuais violações da norma a ser realizada pelo Poder Judiciário. Cumpre destacar que a estrutura regimental da Autoridade Nacional de Proteção de Dados (ANPD) já foi aprovada pelo Decreto 10.474/20, de 26 de agosto, e o processo de seleção de sua primeira diretoria foi confirmado pelo Senado. Definida essa etapa, a ANPD poderá prosseguir com o procedimento de regulamentação da LGPD.

A Autoridade Nacional de Proteção de Dados (ANPD) é, em tudo, uma agência reguladora, inclusive com a fixação de mandato para o seu conselho diretor. Por que não chamá-la de agência?

A escolha do nome da ANPD foi realizada pelo legislador, que optou por denominá-la “Autoridade” ao invés de “Agência”. Em alguns países, suas respectivas nomenclaturas também consideraram o termo “Autoridade”, como a Hungria (Hungarian National Authority for Data Protection and Freedom of Information) e a Romênia (The National Supervisory Authority for Personal Data Processing).

O fato de a ANPD ser vinculada à Presidência da República não compromete sua independência?

Em que pese o seu vínculo à Presidência da República, a ANPD tem assegurada a sua autonomia técnica, de acordo com todos os dispositivos legais que a regem. Além disso, ela contará com um órgão colegiado denominado Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, formado por representantes indicados pelo Poder Executivo, Congresso Nacional (Câmara e Senado), Conselho Nacional de Justiça, Ministério Público, Comitê Gestor da Internet no Brasil e sociedade civil, incluindo indicações da comunidade científica e do setor empresarial. Dada a pluralidade em sua composição seria possível considerá-la independente em linhas gerais, mas certamente cabe à sociedade como um todo realizar a devida fiscalização da ANPD, de forma a garantir que ela esteja cumprindo com as disposições previstas à entidade nos termos previstos pela lei.

A principal crítica que se faz à LGPD é que ela não deu tempo às pequenas e microempresas para que se adaptassem às novas regras? O senhor concorda?

Em que pese o fato de a LGPD ter entrado em vigor apenas em 2020, sua vigência decorre de 14 de agosto de 2018, e desde então a lei como um todo está disponível para todos. Infelizmente, os diversos trâmites legislativos posteriores acabaram por adiar a sua entrada em vigor em mais de uma ocasião, trazendo uma insegurança jurídica acerca do termo de início de sua aplicabilidade. Vale dizer que a lei traz muitos princípios e direitos assegurados aos titulares de dados pessoais, buscando assegurar a melhor forma de gestão desses dados, apresentando-os de uma maneira muito elucidativa, de forma que seja possível que mesmo pequenos e microempresários possam buscar uma adequação sem a necessidade de tantos ajustes, principalmente nesta etapa inicial.

Outra crítica diz respeito à falta de publicidade sobre a LGPD, gerando desconhecimento dos órgãos públicos e das empresas que devem se adequar à nova lei. Isso não pode gerar implicações jurídicas?

Com a entrada em vigor da lei, considero que ela tem sido bastante debatida entre diversos grupos e entidades, especialmente no que tange à sua aplicabilidade e adequações necessárias em inúmeros casos. Contudo, iniciativas formais do governo federal em divulgar, explicar e esclarecer as principais dúvidas que surgem sobre a LGPD certamente também seriam bem-vindas, sobretudo para abarcar um público muito maior, que de fato possui uma carência em compreender seus direitos e obrigações nesse novo cenário, sobretudo no sentido de orientá-los a como proceder em cada caso concreto.

A LGPD tem a missão de proteger os dados pessoais dos cidadãos brasileiros. Falta, no entanto, ao cidadão conhecer os direitos relativos à privacidade e saber a quem poderá recorrer caso verifique que esses direitos não foram respeitados. Qual é a sua opinião?

Esse é um tópico que realmente necessita ser endereçado de forma urgente. Considerando os direitos assegurados aos cidadãos que são titulares de dados pessoais protegidos pela LGPD, é imprescindível que essas mesmas pessoas tenham conhecimento sobre como eles podem buscar referida proteção e comunicar violações à nova lei. Inúmeros PROCONs, inclusive, têm realizado uma série de eventos e campanhas de apresentação e conscientização da nova norma, de forma a apresentá-la a pessoas físicas e jurídicas. Outros órgãos como o Ministério Público também já possuem competência de fiscalizar e averiguar o seu devido cumprimento, e a Justiça já está apta a realizar o julgamento necessário acerca de sua aplicabilidade ou mesmo em casos de sua inobservância. De qualquer forma, tais iniciativas de informação e disseminação da LGPD são imprescindíveis e extremamente necessárias.

Com o uso de dados pelas empresas (autorizados ou não), o advento do “big data” e a informatização em crescimento exponencial é possível falar em LGPD como se ela fosse apenas um balcão de reclamações do PROCON?

Não é isso o que estamos observando em outros países que estão aplicando legislações e procedimentos destinados a garantir a proteção de dados pessoais, como os países da União Europeia ou mesmo a Califórnia, nos EUA, que já possuem legislações de proteção de dados em vigor. As fiscalizações e processos julgados pelos entes competentes desses locais, com a subsequente aplicabilidade de multas severas e outras penalidades (que podem inclusive levar à ordem de exclusão dos dados pessoais objeto de tratamento por determinada empresa), demonstram que o tema não somente tem uma relevância mundial, mas também que está sendo tratado com bastante seriedade pelos entes governamentais, empresas e sociedade como um todo. Em que pese a LGPD ser recente, o Brasil já continha inúmeros procedimentos de proteção de dados e da privacidade previstos em outras normas, desde a Constituição Federal de 1988 até outras leis como a Lei 12.737/12 (Lei Carolina Dieckmann, que tipificou novos delitos informáticos) e a Lei 12.965/14 (Marco Civil da Internet), dentre outras, sendo a LGPD o diploma mais atualizado para regular a proteção de dados pessoais que não tinham uma proteção legal específica e adequada.

Quais os processos que começam a aparecer na Justiça referentes à lei em vigor?

Algumas empresas já estão sendo processadas por não cumprirem as disposições presentes na LGPD. Nesse sentido, as principais práticas ora questionadas na Justiça referem-se, principalmente, ao uso indevido de dados pessoais, ou mesmo ao seu compartilhamento sem as previsões que são permitidas pela lei.

O cidadão poderá processar a prefeitura municipal por utilizar câmeras de vigilância na rua, ainda que a prefeitura alegue que os aparelhos são instalados para zelar pela segurança pública?

A LGPD traz algumas exceções as quais os dados podem ser objeto de tratamento sem que haja a necessidade de obtenção de consentimento do titular dos dados. Nesse sentido, caso o tratamento seja realizado para fins de investigação e repressão de infrações penais, segurança pública e defesa nacional, a LGPD explicitamente determina que a lei não se aplica às hipóteses de tratamento descritas.

A Justiça tem instrumentos hoje para garantir a aplicação da Lei?

O Ministério Público, os órgãos de defesa do consumidor (PROCONs) e o próprio Poder Judiciário já podem atuar de maneira efetiva na análise, observância e cumprimento das disposições da LGPD. Nesse sentido, ainda que as penalidades da lei tenham sido postergadas para 2021, a Justiça pode, inclusive, determinar que penalidades sejam aplicadas como forma de sancionar atividades realizadas de maneira ilegal e exigir o efetivo cumprimento da lei, mesmo que as penalidades específicas da LGPD somente entrem em vigor em 2021.

A falta de conhecimento ou domínio dos operadores do direito sobre a LGPD é um problema?

Como toda nova legislação que ingressa em nosso ordenamento jurídico, a LGPD está sujeita a uma série de estudos, reflexões e trabalhos desenvolvidos pela comunidade jurídica, tanto no âmbito acadêmico quanto no seu uso prático. Da mesma forma que ocorreu com o advento do Código de Defesa do Consumidor na década de 90, e com a lei que institui o chamado acordo de colaboração premiada bastante presente em nossa história recente, que entrou em vigor em 2013 e foi atualizada em 2019 (citando apenas dois entre tantos exemplos), a LGPD certamente passará por um período de amadurecimento, estudos e aprimoramento, como outras legislações anteriores a ela.

A falta de publicidade sobre a lei não pode gerar insegurança jurídica?

Este é de fato um ponto que merece atenção das autoridades competentes. Considerando a estrutura programática e principiológica da nova lei, é de suma importância que a Autoridade Nacional de Proteção de Dados promova campanhas de apresentação, divulgação e conscientização de todos acerca da importância da LGPD, em um cenário onde dados pessoais são considerados atualmente o principal insumo de inúmeras empresas, entidades e organizações, e como tal devem possuir uma proteção e tutela adequadas, como já se observa em diversas iniciativas realizadas em vários países no mundo.