Em agosto de 2018, foi promulgada a Lei 13.709, denominada Lei Geral de Proteção de Dados Pessoais (LGPD). Naquela oportunidade, o então presidente Michel Temer vetou os artigos que tratavam da criação da Autoridade Nacional de Proteção de Dados (ANPD) e, em seu âmbito, do Conselho Nacional de Proteção de Dados, sob a justificativa de que havia um vício formal de iniciativa no processo legislativo para a criação da ANPD, na medida em que ela deveria emanar do Poder Executivo e não do Poder Legislativo.
Afora as razões do veto, a discussão sobre a existência de uma autoridade controladora como a ANPD passava por um ponto essencial: caso a ANPD não fosse criada, ou se fosse criada sem a independência necessária à sua atuação para a promoção da proteção de dados pessoais, o estabelecimento de diretrizes relacionadas, a fiscalização e a aplicação de sanções em casos de violação aos direitos dos titulares de dados pessoais, a eficácia da LGPD seria significativamente prejudicada, mesmo porque a lei foi elaborada considerando a existência de uma autoridade investida de tais funções.
Ademais, isso iria de encontro às tendências internacionais em matéria de proteção de dados, verificadas especialmente (mas não apenas) no quadro da Organização para Cooperação e Desenvolvimento Econômico (OCDE) e em países da União Europeia (UE), onde órgãos semelhantes foram criados e já até entraram em operação, com potenciais consequências (inclusive no campo comercial) decorrentes de uma inadequada adesão às diretrizes até então formuladas para um sistema internacional de proteção de dados, que hoje se encontra em acelerado processo de construção.
Exceto quanto à criação da ANPD, que é imediata, a LGPD passará a ser vinculante apenas em agosto de 2020
De qualquer forma, seja pela pressão externa ou pela própria necessidade ontológica de existência de um órgão como a ANPD, em 28 de dezembro de 2018, no fim do mandato de Temer, a Presidência da República editou a Medida Provisória 869/2018, que, enfim, estabeleceu a criação da ANPD e alterou alguns outros pontos da LGPD.
Apesar de o modelo seguido na MP não ser exatamente igual ao adotado pela LGPD, a criação do órgão serve certamente ao propósito inicial de adequação da legislação brasileira, em matéria de proteção de dados, aos mais evoluídos padrões internacionais e supre a falha gerada pelo veto presidencial de agosto de 2018. O modelo institucional originalmente sugerido era o de uma autarquia especial vinculada ao Ministério da Justiça, com independência administrativa, autonomia financeira e ausência de subordinação hierárquica. Segundo o modelo aprovado pela MP 869/2018, a ANPD (cuja denominação foi mantida) será um órgão da administração pública federal vinculado à Presidência da República. Garante-se a tal autoridade autonomia técnica, sendo-lhe designada a responsabilidade por zelar, implementar e fiscalizar o cumprimento da LGPD.
Compete, enfim, ao governo atual dispor sobre a estrutura regimental da ANPD, sendo que, até que isso ocorra, ela receberá apoio técnico e administrativo da Casa Civil para o exercício de suas atividades.
Uma atuação eficaz da ANPD como órgão centralizador da gestão das políticas de proteção de dados na esfera de sua competência, exige a coordenação de suas atividades com as das entidades setoriais competentes para regulação e coordenação dos setores da economia afetados pela LGPD.
Leia também: Fase de adaptação na Lei Geral de Proteção de Dados (artigo de Andreia Santos, publicado em 11 de outubro de 2018)
Além da criação da autoridade de proteção de dados, a MP 869 previu uma série de alterações na LPGD, entre as quais estão a não aplicação da LGPD ao tratamento para fins acadêmicos; flexibilização de compartilhamento de dados na área da saúde, para casos de prestação de serviço de saúde suplementar; desnecessidade de revisão por pessoa natural de decisão com base em tratamento automatizado; alteração das possibilidades e estabelecimento de exceções quanto ao compartilhamento de dados entre o poder público e entidades privadas; aumento do número de diretores membros do Conselho Diretor da ANPD, de três para cinco; revogação das previsões sobre necessidade de informação específica ao titular de dados, nos casos de cumprimento de obrigação legal ou regulatória pelo controlador ou em algumas hipóteses de utilização dos dados pela administração pública; e possibilidade de indicação de pessoa jurídica como encarregado/chefe de proteção de dados.
Por fim, a MP também definiu que a eficácia da LGPD é imediata no tocante à criação da ANPD; por outro lado, estendeu a vacância legislativa de 18 para 24 meses para as demais previsões, a fim de garantir um maior prazo de adequação à nova legislação pelos vários setores da economia e pelas entidades afetadas. Portanto, exceto quanto à criação da ANPD, que é imediata, a LGPD passará a ser vinculante apenas em agosto de 2020.