A Federação do Comércio de Bens, Serviços e Turismo do Estado de São Paulo (FecomercioSP) encaminhou, à Autoridade Nacional de Proteção de Dados (ANPD), as contribuições à nova tomada de subsídios aberta sobre o tratamento de dados pessoais de alto risco. No processo regulatório de criação de uma norma, a sociedade e entidades da sociedade civil, como a FecomercioSP, são convidadas a participar por meio de contribuições, a fim de garantir  que as demandas empresariais, no caso da Federação, sejam pautadas e efetivamente debatidas, além de ser uma ferramenta para a autoridade coletar informações, dados e sugestões sobre determinado tema. 

Há algumas semanas, a FecomercioSP já havia encaminhado as contribuições para a Agenda Regulatória do biênio de 2023-2024 da ANPD.

As contribuições agora versam sobre o tratamento de dados pessoais de alto risco e visam fornecer subsídios para que a Autoridade possa elaborar um guia com medidas e recomendações factíveis e que possam ser implementadas pelos agentes de tratamento em suas estruturas de governança.

Para a FecomercioSP, é essencial que o guia a ser elaborado pela ANPD sobre o alto risco traga diretrizes objetivas, na medida do possível, a fim de que possam ser utilizadas por todos os agentes de tratamento independentemente da região na qual operam e da amplitude das atividades de tratamento que realizam. 

Veja, a seguir, a síntese das diversas considerações encaminhadas ao órgão pela Federação.

Larga escala

Um dos tópicos tratados na consulta é o termo “larga escala”. A ANPD questiona qual deve ser o número de titulares afetados pelo tratamento de dados pessoais para que seja considerado significativo.

Na opinião da FecomercioSP, o tema é subjetivo e pode gerar diversas interpretações quanto à sua definição, de forma que não seja possível estimar com precisão o valor objetivo a ser considerado para definição do “número significativo de titulares”. Contudo, a fim de apresentar uma justificativa mais objetiva à ANPD, a Entidade entende que a opção “acima de 1 milhão” seja a mais razoável; ou, então, que se altere a opção máxima de “acima de 10 milhões” para “acima de 4,5 milhões” – utilizando-se a mesma lógica de cálculo empregada no antigo Guia de Incidentes da Agência Espanhola de Proteção de Dados (AEPD) quanto à quantidade da população, observada a proporcionalidade populacional entre tais países.

Outra opção proposta pela ANPD para a definição do tratamento de larga escala leva em conta características regionais. A FecomercioSP, em sua sugestão, ressalta que é preciso considerar três fatores para a escolha de definição: (i) a quantidade de titulares em um espaço geográfico determinado, (ii) a densidade demográfica e (iii) a natureza da região (agropecuário, urbanismo, entre outros). 

Em face da ampla diversidade das regiões do Brasil, e com base em exemplos da Europa – em hipóteses nas quais o agente realize o tratamento de dados com abrangência limitada a municípios ou regiões do país –, a Federação sugere que, se o tratamento contemplar um porcentual igual ou superior a 40% da população relevante da região onde o agente atua, deverá ser considerado tratamento em larga escala. De outra forma, recomenda-se que a ANPD estabeleça faixas numéricas nas quais poderão ser fixados porcentuais de população relevante. Tal métrica terá como objetivo, por um lado, considerar as realidades do Brasil e, por outro, tornar factível aos agentes de tratamento uma gestão de suas atividades. 

Volume de dados

Outra indagação feita pela ANPD na tomada de subsídios é a respeito do conceito de volume de dados pessoais, incluindo as métricas a serem consideradas para o seu cálculo. 

De acordo com a FecomercioSP, em síntese, o valor de referência a ser adotado para calcular o volume deve considerar a realidade brasileira em termos de quantidade de habitantes, multiplicada pelos níveis de referência de criticidade, a partir de faixas de quantidade de titulares impactados. Assim, seria possível aplicar atenuantes e agravantes para elevar ou reduzir o fator de multiplicação que impacta o resultado do cálculo.

A Federação ainda pondera que os dados pessoais sensíveis de crianças, adolescentes e idosos devem ser considerados na definição de atividade de alto risco. A jurisprudência europeia demonstra a relevância de se considerar a quantidade de dados pessoais de categoria especial na atividade como um fator de aumento no nível de risco, em razão da maior capacidade de impacto sobre os direitos e as garantias fundamentais dos titulares.

Duração do tratamento

Outros critérios para definição de larga escala dizem respeito à frequência e à duração do tratamento dos dados pessoais pelo agente de tratamento. A ANPD questiona a escala de tempo a ser utilizada na avaliação da frequência e na duração do tratamento de dados pessoais.

Para a FecomercioSP, além do cálculo objetivo de duração e frequência (a metodologia proposta foi detalhada à ANPD), sugere-se um nivelamento do risco, com o objetivo de excluir, do enquadramento de larga escala, casos de tratamentos duradouros e frequentes por natureza – que não impliquem altos riscos. A Entidade também sugere outros parâmetros na avaliação, como finalidade, tipo e estrutura da atividade, com base no bem-sucedido exemplo europeu.

Tecnologias emergentes

Outro critério para a definição de alto risco diz respeito ao uso de tecnologias emergentes ou inovadoras. Sobre este aspecto, a ANPD indaga quais tecnologias entrariam nestas categorias.

A Federação sugere que tecnologias emergentes ou inovadoras sejam consideradas aquelas que representem novos métodos capazes de tornar obsoletas aplicações tecnológicas passadas, devendo conter os seguintes atributos conjuntamente: novidade radical; crescimento relativamente rápido; impacto proeminente; e incerteza e ambiguidade.

Foram apresentados exemplos de tecnologias emergentes ou inovadoras, tais como, decisões automatizadas ou baseadas em Inteligência Artificial (IA); combinação de meios de validação com dados biométricos; Internet das Coisas (IdC); metaverso; realidade virtual ou aumentada; monitoramento por IA; reconhecimento facial automatizado (inclusive para fins de persecução penal); assistente virtual; veículos conectados e/ou autônomos; computação quântica; e software baseado em blockchain.

Para envio destas contribuições de tratamento de dados de alto risco e de agenda regulatória, a qual será discutida nos próximos anos com a ANPD, a FecomercioSP contou com as colaborações de Rony Vainzof, Henrique Fabretti, Marcella Costa e Tatiana Bauer Poli, advogados da Opice Blum, Bruno e Vainzof Advogados, bem como de Adriana Esper, coordenadora do Comitê de Proteção de Dados da Entidade, além dos membros do respectivo grupo.

Atuação

Sempre em busca de um melhor ambiente de negócios, a FecomercioSP encaminhou, a presidenciáveis e candidatos ao Governo do Estado de São Paulo, a relação de propostas prioritárias do setor de comércio, serviços e turismo para os próximos quatro anos.