Art. 6º do Decreto nº 10.474/2020

Art. 6º  Este Decreto entra em vigor na data de publicação da nomeação do Diretor-Presidente da ANPD no Diário Oficial da União.

Brasília, 26 de agosto de 2020; 199º da Independência e 132º da República.

JAIR MESSIAS BOLSONARO

Paulo Guedes

Walter Souza Braga Netto

Este texto não substitui o publicado no DOU de 27.8.2020.

ANEXO I

ESTRUTURA REGIMENTAL DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

CAPÍTULO I

DA NATUREZA, DA FINALIDADE E DAS COMPETÊNCIAS

Art. 1º  A Autoridade Nacional de Proteção de Dados - ANPD, órgão integrante da Presidência da República, dotada de autonomia técnica e decisória, com jurisdição no território nacional e com sede e foro no Distrito Federal, tem o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural, orientada pelo disposto na Lei nº 13.709, de 14 de agosto de 2018.

Art. 2º  Compete à ANPD:

I - zelar pela proteção dos dados pessoais, nos termos da legislação;

II - zelar pela observância dos segredos comercial e industrial, observada a proteção de dados pessoais e do sigilo das informações, quando protegido por lei ou quando a quebra do sigilo violar os fundamentos do art. 2º da Lei nº 13.709, de 2018;

III - elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;

IV - fiscalizar e aplicar sanções na hipótese de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;

V - apreciar petições de titular contra controlador após a comprovação pelo titular da apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;

VI - promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança;

VII - promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade;

VIII - estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, os quais deverão levar em consideração as especificidades das atividades e o porte dos responsáveis;

IX - promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional;

X - dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, respeitados os segredos comercial e industrial;

XI - solicitar, a qualquer momento, aos órgãos e às entidades do Poder Público que realizam operações de tratamento de dados pessoais, informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado, com a possibilidade de emitir parecer técnico complementar para garantir o cumprimento da Lei nº 13.709, de 2018;

XII - elaborar relatórios de gestão anuais acerca de suas atividades;

XIII - editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade e sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na Lei nº 13.709, de 2018;

XIV - consultar os agentes de tratamento e a sociedade em matérias de interesse relevante e prestar contas sobre suas atividades e seu planejamento;

XV - arrecadar e aplicar suas receitas e publicar, nos relatórios de gestão a que se refere o inciso XII, o detalhamento de suas receitas e despesas;

XVI - realizar auditorias ou determinar sua realização, no âmbito da atividade de fiscalização de que trata o inciso IV e com observância ao disposto no inciso II, sobre o tratamento de dados pessoais efetuado pelos agentes de tratamento, incluído o Poder Público;

XVII - celebrar, a qualquer momento, compromisso com agentes de tratamento para eliminar irregularidade, incerteza jurídica ou situação contenciosa, no âmbito de processos administrativos, de acordo com o previsto no Decreto-Lei nº 4.657, de 4 de setembro de 1942;

XVIII - editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas, empresas de pequeno porte e iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação possam adequar-se ao disposto na Lei nº 13.709, de 2018;

XIX - garantir que o tratamento de dados de idosos seja efetuado de maneira simples, clara, acessível e adequada ao seu entendimento, nos termos da Lei nº 13.709, de 2018, e da Lei nº 10.741, de 1º de outubro de 2003 - Estatuto do Idoso;

XX - deliberar, na esfera administrativa, em caráter terminativo, sobre a Lei nº 13.709, de 2018, as suas competências e os casos omissos, sem prejuízo da competência da Advocacia-Geral da União estabelecida pela Lei Complementar nº 73, de 10 de fevereiro de 1993;

XXI - comunicar às autoridades competentes as infrações penais das quais tiver conhecimento;

XXII - comunicar aos órgãos de controle interno o descumprimento do disposto na Lei nº 13.709, de 2018, por órgãos e entidades da administração pública federal;

XXIII - articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação; e

XXIV - implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com a Lei nº 13.709, de 2018.

§ 1º  Na imposição de condicionantes administrativas ao tratamento de dados pessoais por agente de tratamento privado, sejam eles limites, encargos ou sujeições, a ANPD deve observar a exigência de mínima intervenção, assegurados os fundamentos, os princípios e os direitos dos titulares previstos no art. 170 da Constituição e na Lei nº 13.709, de 2018.

§ 2º  Os regulamentos e as normas editados pela ANPD devem ser precedidos de consulta e audiência públicas e de Análise de Impacto Regulatório.

§ 3º  A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas respectivas esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma da Lei nº 13.709, de 2018.

§ 4º  A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD.

§ 5º  A ANPD, no exercício das competências de que trata o caput, deverá zelar pela preservação do segredo empresarial e do sigilo das informações, nos termos da lei.

§ 6º  As reclamações recebidas conforme o disposto no inciso V do caput poderão ser analisadas de forma agregada e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada.

§ 7º  A aplicação das sanções previstas na Lei nº 13.709, de 2018, compete exclusivamente à ANPD e suas competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.

§ 8º  A ANPD articulará sua atuação com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais e será o órgão central de interpretação da Lei nº 13.709, de 2018, e do estabelecimento de normas e diretrizes para a sua implementação.

CAPÍTULO II

DA ESTRUTURA ORGANIZACIONAL

Art. 3º  A ANPD é constituída pelos seguintes órgãos:

I - Conselho Diretor;

II - órgão consultivo: Conselho Nacional de Proteção de Dados Pessoais e da Privacidade;

III - órgãos de assistência direta e imediata ao Conselho Diretor:

a) Secretaria-Geral;

b) Coordenação-Geral de Administração; e

c) Coordenação-Geral de Relações Institucionais e Internacionais;

IV - órgãos seccionais:

a) Corregedoria;

b) Ouvidoria; e

c) Assessoria Jurídica; e

V - órgãos específicos singulares:

a) Coordenação-Geral de Normatização;

b) Coordenação-Geral de Fiscalização; e

c) Coordenação-Geral de Tecnologia e Pesquisa.

§ 1º  O Conselho Diretor é o órgão máximo de decisão da ANPD.

§ 2º  Cabe ao Diretor-Presidente a gestão e a representação institucional da ANPD.

CAPÍTULO III

DOS ÓRGÃOS DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Seção I

Das competências do Conselho Diretor

Art. 4º  Ao Conselho Diretor, órgão máximo de direção da ANPD, compete:

I - solicitar:

a) ao controlador de que trata a Lei nº 13.709, de 2018, o relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial;

b) aos órgãos e às entidades do Poder Público que realizam operações de tratamento de dados pessoais, as informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado;

c) a agentes públicos, a publicação de relatórios de impacto à proteção de dados pessoais e sugerir a adoção de padrões e de boas práticas para os tratamentos de dados pessoais pelo Poder Público; e

d) informações suplementares e realizar diligências de verificação quanto às operações de tratamento, no contexto da aprovação de transferências internacionais de dados;

II - regulamentar:

a) a comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com o objetivo de obter vantagem econômica, permitida a sua vedação, ouvidos os órgãos públicos setoriais competentes;

b) observadas as competências das autoridades da área de saúde e sanitárias, o acesso a base de dados pessoais por órgãos de pesquisa quando realizarem estudos em saúde pública, assegurados o tratamento das informações em ambiente controlado e seguro, os padrões éticos relacionados a estudos e pesquisas e, sempre que possível, a anonimização ou a pseudonimização dos dados;

c) a portabilidade de dados pessoais entre fornecedores de serviços ou produtos, resguardadas as competências dos órgãos reguladores que possuem definição sobre tais procedimentos em suas áreas de atuação;

d) o formato de apresentação dos dados encaminhados, mediante solicitação, aos titulares, de forma que permita sua utilização subsequente; e

e) a comunicação ou o uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa jurídica de direito privado, observado o disposto no parágrafo único do art. 27 da Lei nº 13.709, de 2018;

III - dispor sobre:

a) os padrões e as técnicas utilizados em processos de anonimização e verificar a sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade;

b) as formas de publicidade das operações de tratamento de dados realizadas por pessoas jurídicas de direito público;

c) os padrões de interoperabilidade para fins de portabilidade, o livre acesso aos dados, a segurança dos dados e o tempo de guarda dos registros, consideradas a necessidade e a transparência; e

d) os padrões mínimos para a adoção de medidas de segurança, técnicas e administrativas de proteção de dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, ressalvadas as competências de que trata o art. 10, caput, incisos IV e V, da Lei nº 13.844, de 18 de junho de 2019;

IV - determinar:

a) o término do tratamento de dados pessoais quando houver violação às disposições da Lei nº 13.709, de 2018; e

b) a realização de auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais, na hipótese de não atendimento ao disposto no § 1º do art. 20 da Lei nº 13.709, de 2018;

V - determinar ao controlador de dados pessoais:

a) a elaboração do relatório de impacto à proteção de dados pessoais referente a suas operações de tratamento de dados, incluídos os dados sensíveis, observados os segredos comercial e industrial; e

b) a adoção de providências para a salvaguarda dos direitos dos titulares, a partir da verificação da gravidade de incidentes de segurança;

VI - encaminhar:

a) as petições de titulares de dados pessoais apresentados à ANPD contra o controlador, para avaliação da unidade competente; e

b) informe com medidas cabíveis para fazer cessar violações às disposições da Lei nº 13.709, de 2018, por órgãos públicos;

VII - estabelecer prazos para o atendimento às requisições de que tratam os incisos I e II do caput do art. 19 da Lei nº 13.709, de 2018, para setores específicos, mediante avaliação fundamentada, observado o disposto no § 4º do art. 19 da referida Lei; e

VIII - estabelecer normas complementares:

a) para as atividades de comunicação e de uso compartilhado de dados pessoais realizadas por pessoas jurídicas de direito público; e

b) sobre a definição e as atribuições do encarregado pelo tratamento de dados pessoais de que trata a Lei nº 13.709, de 2018, inclusive nas hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados;

IX - emitir parecer técnico complementar para garantir o cumprimento da Lei por órgãos e entidades públicos;

X - autorizar a transferência internacional de dados pessoais, mediante fundamentação;

XI - avaliar:

a) os requerimentos encaminhados à ANPD sobre o nível de proteção de dados pessoais conferido por outro País ou por organismo internacional; e

b) o nível de proteção de dados de país estrangeiro ou de organismos internacionais que proporcionem grau de proteção de dados pessoais e sua adequação às disposições da Lei nº 13.709, de 2018;

XII - definir:

a) o conteúdo de cláusulas padrão e verificar, diretamente ou mediante designação de organismo de certificação, a garantia de cláusulas contratuais específicas, normas corporativas globais ou selos, certificados e códigos de conduta para transferência internacional por controlador de dados pessoais;

b) o prazo para a comunicação pelo controlador de dados pessoais à ANPD e ao titular dos dados sobre a ocorrência de incidente de segurança que possa acarretar risco ou dano ao titular; e

c) as metodologias que orientarão o cálculo do valor-base das sanções de multa previstas na Lei nº 13.709, de 2018, e publicá-las para ciência dos agentes de tratamento;

XIII - designar e fiscalizar organismos de certificação para a verificação da permissão para a transferência de dados internacional;

XIV - rever atos realizados por organismos de certificação e, na hipótese de descumprimento das disposições da Lei nº 13.709, de 2018, anular os referidos atos;

XV - reconhecer e divulgar regras de boas práticas e de governança estabelecidas por controladores e operadores relacionadas ao tratamento de dados pessoais;

XVI - incentivar a adoção de padrões técnicos que facilitem o controle dos dados pessoais por seus titulares;

XVII - elaborar a proposta sobre sanções administrativas e infrações de que trata a Lei nº 13.709, de 2018, observadas a gradação e a proporcionalidade das sanções, de acordo com a infração cometida, e submeter a proposta a consulta pública;

XVIII - aplicar as sanções administrativas previstas no art. 52 da Lei nº 13.709, de 2018; e

XIX - consultar os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental previamente à aplicação das sanções previstas no art. 52 da Lei nº 13.709, de 2018.

Art. 5º  Os órgãos e as entidades da administração pública federal, direta, autárquica e fundacional prestarão toda a assistência e colaboração solicitada pela ANPD, inclusive por meio da elaboração de pareceres técnicos sobre as matérias de sua competência, sob pena de responsabilidade.

Seção II

Do mandato dos membros do Conselho Diretor

Art. 6º  O mandato dos membros do Conselho Diretor é de quatro anos, prorrogável uma vez, por igual período.

Parágrafo único.  Os cargos dos membros do Conselho Diretor são de dedicação exclusiva, não admitida a acumulação, exceto as constitucionalmente permitidas.

Conteudo atualizado em 28/05/2021