Quais são as implicações práticas da vigência retroativa da LGPD?

Para quem acreditava que a Lei Geral de Proteção de Dados (LGPD) só entraria em vigor “sei lá quando”, foi surpreendido com os últimos acontecimentos com a entrada em vigor retroativa da Lei. Foi impressionante e terrível do ponto de vista de segurança jurídica toda a série que envolveu o adiamento da vigência da LGPD e a ausência da efetivação da Autoridade Nacional de Proteção de Dados (ANPD). Finalmente, temos uma perspectiva de quando a LGPD estará em vigor, bem como uma Autoridade estruturada (Decreto n. 10.474, de 26 de agosto de 2020). A ANPD ainda não está operando, tão pouco está no seu formato ideal (autarquia/agência independente e autônoma), mas já temos grandes avanços com a sua estruturação. Bem, vamos aguardar as nomeações e acompanhar a sua atuação. 

De toda forma, vale lembrar que, muito embora a LGPD entre em vigor de forma retroativa, a sua eficácia está suspensa durante todo o período que a Medida Provisória n. 959/2020 esteve vigente. Então, na prática, como fica a situação jurídica durante o período do dia 16 de agosto de 2020 até a sanção/veto do Presidente da República (PR)? A LGPD poderia ser aplicada retroativamente, se ela não possui eficácia enquanto esteve vigente a MP 959/2020?

Apesar de estar em vigor, por que a LGPD não pode ser aplicada durante esse período?

Em reviravolta emocionante, o Senado declarou prejudicado o art. 4o do PLV oferecido à MP 959/2020 – que previa a prorrogação da vigência da LGPD para 03/05/2021 [1] -, suprimindo-o do texto, por entender que a matéria já havia sido apreciada no PL 1.179/2020 [2]. Assim, como o artigo da MP 959/2020 foi retirado do texto, significa que a MP foi rejeitada nesse ponto e o restante do texto segue para sanção/veto do Presidente da República (PR). 

Com isso, ao contrário do que muitos afirmaram, a Lei não entrou em vigor no dia 27/08/2020! A sua vigência retroativa somente ocorrerá, em até 15 dias úteis (até o dia 18/09/2020) [3], após a sanção/veto do PR ao restante do projeto de lei de conversão – PLV de conversão da MP 959/2020 em Lei – quando finda os seus efeitos. 

E mais, de acordo com entendimento do Supremo Tribunal Federal (STF), medida provisória não revoga lei anterior, apenas suspende a sua eficácia enquanto produzir efeitos:

“medida provisória não revoga lei anterior, mas apenas suspende seus efeitos no ordenamento jurídico, em face do seu caráter transitório e precário. Assim, aprovada a medida provisória pela Câmara e pelo Senado, surge nova lei, a qual terá o efeito de revogar lei antecedente. Todavia, caso a medida provisória seja rejeitada (expressa ou tacitamente), a lei primeira vigente no ordenamento, e que estava suspensa, volta a ter eficácia.” (ADI 5.709, ADI 5.716, ADI 5.717 e ADI 5.727, rel. Min. Rosa Weber, j. 27/03/2019, P, DJE de 28/06/2019) (Grifo meu)

Veja, com a rejeição parcial da MP 959/2020, o art. 65, II, da LGPD – alterado pela MP 959/2020 com a finalidade de prorrogar a vigência da Lei – volta a ter eficácia e, com base na sua redação original, a LGPD entra em vigor em 24 meses após a sua publicação (16/08/2020) [4]. É por esse motivo que a vigência é retroativa. Atenção, não confunda com repristinação (art. 2º, § 3º, da LINDB), porque sequer houve revogação da Lei anterior, apenas a suspensão dos seus efeitos, da sua eficácia. Tampouco há efeito repristinatório, pois não ocorreu controle concentrado de constitucionalidade com a declaração de inconstitucionalidade de nenhuma norma.

Respira, não apavora. Conforme já adiantado, realmente, a Lei estará em vigor (após a sanção/veto do PR) desde o dia 16 de agosto deste ano, mas tem sua eficácia suspensa em virtude da MP 959/2020, enquanto ela produzir seus efeitos ao longo da sua vigência. Na prática, isso significa que a LGPD somente poderá ser aplicada após a sanção/veto do PLV. Evidentemente, não há que se exigir cumprimento da Lei antes disso, sob pena de ferir o princípio da legalidade (art. 5o, II, da CRFB/88) e provocar infundada insegurança jurídica, já que uma lei não pode prejudicar o direito adquirido, o ato jurídico perfeito e a coisa julgada (art. 5º, XXXVI, da CRFB/88). 

Além disso, a Lei de Introdução às normas do Direito Brasileiro (LINDB) é clara ao dispor no seu art. 6o que a Lei em vigor terá efeito imediato e geral, respeitados o ato jurídico perfeito, o direito adquirido e a coisa julgada. E logo no § 1º do art. 6o, da LINDB, o ato jurídico perfeito é definido como ” o já consumado segundo a lei vigente ao tempo em que se efetuou”. Também é importante destacar que não há direito adquirido pelas(os) titulares durante esse período nebuloso, pois a eficácia da LGPD está suspensa nesse prazo. E a coisa julgada não se aplica na análise desse caso.

Dessa forma, como a MP 959/2020 tem força de lei e prorroga o início da aplicação da LGPD enquanto esteve (e ainda está) vigente, as suas disposições constituem ato jurídico perfeito que deve ser respeitado [5] – o que importa dizer que a vigência da LGPD não produzirá efeito imediato a partir da sua entrada em vigor retroativa, uma vez que seus efeitos estão suspensos por força da MP. 

Repare que nem mesmo o Decreto Legislativo para modular os efeitos da MP 959/2020 poderá exigir o cumprimento da LGPD durante o período em que a Lei está em vigor com eficácia suspensa (de 16 de agosto até a assinatura do PR no PLV), porque o seu propósito é justamente conferir segurança jurídica para o período em que a MP esteve vigente, no caso, ele disciplinará a prorrogação da vigência da LGPD e não a sua aplicação. Então, não faria sentido o Decreto Legislativo disciplinar o contrário (a aplicação retroativa de uma Lei sem eficácia). Caso não seja editado em até 60 dias, as relações jurídicas constituídas e decorrentes de atos praticados durante a vigência da Medida Provisória conservar-se-ão por ela regidas (art. 62, § 11, da CRFB/88). Isto é, o ato jurídico perfeito impossibilita a aplicação da LGPD antes do fim dos efeitos da Medida Provisória, independente do Decreto Legislativo existir ou não [6].

A matéria deveria ter sido devolvida à Câmara dos Deputados?

Esse é outro ponto de cuidado. Ao declarar prejudicado o art. 4o do PLV oferecido à MP 959/2020, retirando-o do texto, por entender que a matéria já havia sido apreciada no PL 1179/2020 (art. 334, II, do Regimento Interno do Senado Federal), não houve inovação legislativa com a implicação de qualquer modificação do texto que justificasse o retorno da matéria para a Câmara, o que aconteceu foi a sua supressão (foi retirado do texto). Assim, de acordo com o § 4º do mesmo artigo do RISF, por se tratar de matéria prejudicada, ela é definitivamente arquivada. Isso significa que a matéria não precisaria ser devolvida à Câmara. 

E ainda que a mesa da Câmara tivesse impetrado (em tempo) um mandado de segurança questionando a não devolução da matéria, o STF já firmou entendimento no sentido da “impossibilidade de o Poder Judiciário analisar ou modificar a compreensão legitimamente conferida às previsões regimentais de organização procedimental pela Casa Legislativa, por tratar-se de matéria interna corporis” (MS 35581 AgR/DF, rel. Min. Luiz Fux. Julgado em 15/06/2018. DJE n. 124, publicado em 22/06/2018). Portanto, essa não é a via adequada para questionar normas regimentais. 

Com a eficácia plena da LGPD e sem a ANPD operando, como ficam as aplicação das sanções da LGPD e a judicialização das demandas?

Inicialmente, destaca-se que a aplicação das sanções administrativas da LGPD (arts. 52, 53 e 54 da LGPD) são de competência exclusiva da ANPD [7] e estão suspensas até o dia 1o de agosto de 2021, conforme disposto na Lei nº. 14.010/2020. Porém, isso não afasta a apreciação da matéria pelo judiciário, principalmente se estivermos diante de relações consumeristas e/ou estabelecidas na internet, que já possuem legislações plenamente aplicáveis em alguns casos de proteção de dados pessoais. 

Como se vê, o cenário é complexo, porque teremos uma Lei em vigor com eficácia plena em menos de 15 dias úteis e sem a ANPD operante para efetuar o enforcement da LGPD, bem como para exercer o seu papel educativo nas organizações; consolidar entendimentos; regulamentar alguns dispositivos da Lei e, sobretudo, para atender ao peticionamento quanto às violações aos direitos das(os) titulares, entre outras competências [8]. Isso acarreta muita insegurança jurídica e a possibilidade de imensa judicialização das demandas, conforme alertado por diversos especialistas.  

E mais, a proteção de dados foi reconhecida como direito fundamental autônomo em relação à privacidade pelo STF [9] e também dialoga intimamente com o direito do consumidor, bem como com o Marco Civil da Internet (MCI) e outras normas setoriais (veja o artigo que escrevi sobre isso). Logo, será possível evitar a judicialização em massa durante a ausência da ANPD?

Para evitar as demandas judiciais, as organizações precisam estar adequadas e implementar processos efetivos de garantia dos direitos das(os) titulares com transparência, a fim de estabelecer uma relação de confiança com as(os) titulares [10]. Sem isso, a judicialização será praticamente inevitável para alguns negócios [11].

Vale lembrar que, segundo Humberto Chiesi Filho, para justificar o ajuizamento de ações, deve ficar demonstrada a pretensão resistida, que só ocorre quando a(o) titular procura a organização e ela acaba violando a Lei e/ou os seus direitos [12]. A judicialização infundada de demandas deve ser evitada. Recorre-se ao judiciário quando não se consegue resolver os conflitos por vias extrajudiciais. Esse recurso não deve ser utilizado para o enriquecimento indevido.

Pois bem, a fim de minimizar esses riscos de múltiplos entendimentos na esfera judicial sem o respaldo da Autoridade, segundo a Vector [13], o Conselho Nacional de Justiça (CNJ) se manifestará nas próximas semanas com resolução orientando que a matéria não seja julgada enquanto as sanções administrativas não forem aplicáveis. Isso traz mais segurança jurídica, contudo, é uma orientação e não afasta a apreciação da matéria pelo judiciário, que somente poderá ser adiada.

Por outro lado, o Promotor de Justiça – Frederico Meinberg – do Ministério Público do Distrito Federal e Territórios (MPDFT) relatou ao Valor Econômico, no dia 28 de agosto, que a Autoridade irá “nascer fraca” e que o MP possui experiência há mais de 20 anos em casos envolvendo investigações sobre vazamento de dados. Por isso, complementa, com a LGPD em vigor, “essas medidas ganham mais força e mesmo as empresas já investigadas podem ser investigadas novamente” [14]. 

Isso ainda vai gerar muito debate. “Todos parecem reclamar para si uma fatia de protagonismo na efetivação dos direitos decorrentes da LGPD” [15]. E há previsão da atuação em conjunto da ANPD com outros órgãos e entidades que detêm competências sancionatórias e normativas em relação à proteção de dados pessoais [16] . Por enquanto, vamos acompanhar os casos de possíveis conflitos de competência – em especial enquanto a ANPD ainda não está operando – para saber como tudo isso será na prática. E claro, esperamos que a Autoridade se posicione e regulamente essas questões o quanto antes. Por óbvio, isso é preocupante, pois questões envolvendo conflito de competência e superposição de sanções administrativas tendem a ser judicializadas.

Em todo caso, somente a Autoridade pode aplicar as sanções administrativas da LGPD (suspensas até agosto de 2021). Nenhum outro órgão/entidade pode aplicar as sanções administrativas previstas na Lei, mas pode se valer de outras legislações para aplicar multas ou ingressar com ações judiciais devido à violação da proteção de dados pessoais, conforme dito antes.

Porém, fica a ressalva: já vimos diversos casos envolvendo a aplicação do disposto na LGPD antes da sua vigência – inclusive com a solicitação de Relatório de Impacto à Proteção de Dados (RIPD) [17]. Isso é inconstitucional e ilegal, por tudo o que tratamos aqui.

E a judicialização das demandas? É amiga(o), esse risco é significativo para alguns modelos de negócio e setores da economia e podem ser agravados a depender de como os dados são tratados, da sensibilidade dos dados, entre outros fatores, conforme mostrado acima e aprofundado no meu artigo anteriormente mencionado. Tem como evitar, há diversas medidas que as organizações podem tomar para mitigar riscos (também no artigo).

Conclusão

Como vimos, a entrada em vigor de modo retroativo não gera quaisquer efeitos práticos, na medida em que a LGPD só pode ser aplicada após a sanção/veto do Presidente da República ao PLV, em respeito aos princípios constitucionais da legalidade e da segurança jurídica, assim como ao ato jurídico perfeito. É por esse motivo que a Lei somente poderá ser aplicada a partir do fim dos efeitos gerados pela MP no mundo jurídico quanto à prorrogação da vigência da LGPD. Lembrando que a aplicação das sanções administrativas da Lei é de competência exclusiva da ANPD e estão suspensas até agosto do próximo ano.

Assim, o Senado não deixou outra saída senão a vigência da Lei. Repare que não há a possibilidade do Presidente vetar um artigo que não consta do texto que ele irá assinar. Ainda, é vedada a reedição, na mesma sessão legislativa, de MP que tenha sido rejeitada (art. 62, § 10, da CRFB/88). Por isso, a LGPD é, de fato, uma realidade muito próxima e envolve vários riscos aos negócios que não se adequarem. Não tem pra onde fugir, apenas se preparar, se ainda não o fez. Não entre em pânico, apenas corra atrás da sua conformidade com a Lei que vai dar tudo certo!

——————————————-

[1] A data originalmente definida na MP 959/2020 para a prorrogação da vigência da LGPD era 03/05/2021. Essa data foi modificada para 31/12/2020 pela Câmara dos Deputados no dia anterior à votação no Senado.

[2] O Projeto de Lei nº. 1.179/2020 agora é a Lei nº. 14.010/2020.

[3] Apesar do site do Senado informar que o prazo final seja dia 17/09/2020, dia 7 de setembro é feriado, então não conta como dia útil. Por isso o prazo final é dia 18 de setembro de 2020. A situação atual da MP 959/2020 está disponível em: https://www.congressonacional.leg.br/materias/medidas-provisorias/-/mpv/141753. Acesso em 30/08/2020.

[4] Fabrício Mota explica porque o prazo da vigência da LGPD é dia 16/08/2020 (não dia 14/08/2020), no seu artigo “Quando entrará em vigor a LGPD?”. Disponível em: https://pt.linkedin.com/pulse/quando-entrar%C3%A1-em-vigor-lgpd-fabricio-da-mota-alves. Acesso em: 30/08/2020.

[5] MACHADO, Hugo Brito. Efeitos de Medida Provisória Rejeitada. Migalhas. Disponível em: https://www.migalhas.com.br/depeso/100487/efeitos-de-medida-provisoria-rejeitada#:~:text=Se%20o%20Congresso%20Nacional%20deve,%C3%A9%20porque%20tais%20rela%C3%A7%C3%B5es%20sobrevivem.&text=E%20nesse%20disciplinamento%2C%20ou%20na,adquirido%20e%20a%20coisa%20julgada. Acesso em: 30/08/2020.

[6] Luis Prado e Paulo Vidigal também compartilham desse mesmo entendimento.

[7] A competência exclusiva da ANPD é explícita no art. 55-k da LGPD e foi confirmada pelo Decreto n. 10.474/2020, que estruturou a Autoridade. Vejamos: a ANPD detém competência exclusiva da Autoridade para a aplicação das sanções previstas na LGPD e suas competências prevalecem, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública (art. 2o, § 7º, do Decreto n. 10.474/2020).

[8] ROGENFISCH, Sandra. A ANPD e a omissão do executivo. Opice Blum Academy. Disponível em:  https://opiceblumacademy.com.br/2020/08/anpd-omissao-executivo/#:~:text=%C3%80%20ANPD%20foi%20atribu%C3%ADda%20compet%C3%AAncia,medidas%20de%20seguran%C3%A7a%3B%20promover%20e. Acesso em 30/08/2020.

[9] DONEDA, Danilo. STF reconhece o direito fundamental à proteção de dados. Publicado em: 09/05/2020. Disponível em: http://www.doneda.net/2020/05/09/stf-reconhece-o-direito-fundamental-a-protecao-de-dados/. Acesso em: 30/08/2020.

[10] MENDONÇA, Cristiane Terra. (LGPD) Como se diferenciar no mercado e mitigar riscos: os impactos da transparência nos negócios. Disponível em: https://www.cristianeterra.com.br/2020/07/02/lgpd-como-se-diferenciar-no-mercado-e-mitigar-riscos-os-impactos-da-transparencia-nos-negocios/. Acesso em 30/08/2020.

[11] MARTINS, Ricardo Maffeis; VAINZOF, Rony. Sanções e judicialização em massa: que este não seja o ‘novo normal’ da LGPD. Disponível em: https://www.conjur.com.br/2020-ago-05/martins-vainzof-judicializacao-nao-seja-normal-lgpd. Acesso em 30/08/2020.

[12] CHIESI FILHO, Humberto.  Um novo paradigma de acesso à justiça. Belo Horizonte: Ed. D´Plácido, 2020, p. 147-148.

[13] https://vectorrelgov.com.br/

[14] IGNÁCIO, Laura. Empresas correm risco com a vigência da LGPD. Disponível em: https://valor.globo.com/legislacao/noticia/2020/08/28/empresas-correm-risco-com-vigencia-da-lgpd.ghtml. Acesso em 30/08/2020.

[15] PINHEIRO et al. ANPD: uma necessidade de convergência entre CADE, Anatel e Senacon. Publicado em: 20/10/2019. Disponível em: https://www.jota.info/opiniao-e-analise/artigos/anpd-uma-necessidade-de-convergencia-entre-cade-anatel-e-senacon-20102019. Acesso em: 02/07/2020.

[16] Isso está previsto tanto na LGPD (art. 55-k, parágrafo único), quanto no Decreto que estruturou a ANPD (art. 2o, § 8º, do Decreto n. 10.474/2020). A ANPD articulará sua atuação com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais e será o órgão central de interpretação da Lei nº 13.709, de 2018, e do estabelecimento de normas e diretrizes para a sua implementação.

[17] DIONÍSIO, Renan. MP acusa Vivo de usar localização de usuários para publicidade direcionada. Disponível em: https://www.uol.com.br/tilt/noticias/redacao/2019/08/01/ministerio-publico-do-df-pede-que-servico-da-vivo-seja-suspenso.htm. Acesso em 30/08/2020.

2 Replies to “Quais são as implicações práticas da vigência retroativa da LGPD?”

Leave a Reply

Your email address will not be published. Required fields are marked *