A Agência Nacional de Proteção de Dados Pessoais instaurou processo de fiscalização da ByteDance, no qual foram identificadas as irregularidades no tratamento de dados de crianças e adolescentes.  Após a fiscalização, foi instaurado o Processo Administrativo Sancionador, que culminou na sanção: aplicação de multa no importe de 153,7 milhões e obrigação de implementar plano de conformidade para melhorar a proteção de crianças e adolescentes, com as medidas que deverão ser adotadas.

Segundo a ANPD, as violações à LGPD foram identificadas nos acessos à plataforma “feed sem cadastro” e “feed com cadastro”.

No acesso “sem cadastro”, qualquer pessoa pode acessar a plataforma, sem se identificar ou se vincular a um perfil, como é exigido no acesso “com cadastro”. Foi identificado que a plataforma tratava dados pessoais de crianças e adolescentes sem base legal e deixava de adotar medidas eficazes para prevenir o tratamento de dados dos menores no acesso “sem cadastro”; e no acesso “com cadastro” não usou base legal válida, e deixou de adotar medidas eficazes para prevenir o cadastro desse público na plataforma. Nos dois acessos, deixou de demonstrar medidas eficazes e capazes de comprovar a observância e o cumprimento de normas de proteção de dados.

Além da multa, a plataforma foi obrigada a suspender o acesso ao “feed sem cadastro” e a elaborar um plano de conformidade, com ações delimitadas pela Agência.

Mas o que eu quero abordar aqui é a violação da norma e como isso pode ser evitado na prática. A plataforma violou os artigos 6º e 7º, ou seja, os princípios e as bases legais.

Os princípios previstos no artigo 6º da Lei, como eu sempre destaco, são muito “práticos”, apesar da sua carga teórica, não podem ser ignorados, aliás, ao contrário, são bússolas que levam à conformidade, uma espécie de “ISO”, frameworks que devem pautar toda a Governança de Dados.

Foram violados os princípios da finalidade, prevenção e da responsabilização e prestação de contas. Então, focando apenas nesses princípios, é importante olhar a sua Governança de Dados e checar se:

(i) a finalidade, o propósito, o objetivo daquele tratamento de dados é legítimo, lícito, explícito e informado ao titular do dado, no caso, aos menores;

(ii) são adotadas medidas que previnam a violação da proteção de dados – ainda que o seu produto/serviço não seja destinado à crianças e adolescentes, você permite que menores acessem e realiza o tratamento dos dados? Ou adota mecanismos que impeçam que isso ocorra?

(iii) caso seja questionado, você é capaz de demonstrar que as medidas que você adota são eficazes na prática e comprovam que você cumpre a norma?

 

A depender das respostas, está na hora de rever os mecanismos adotados.

Acompanhar as decisões da Agência, as suas motivações e movimentos é essencial para se organizar de forma eficiente e segura.

Da decisão da ANPD cabe recurso em 10 dias úteis ao Conselho Diretor da Agência.

Independente do resultado final, a decisão da ANPD é mais um movimento importante da Agência, que deve ser considerado pelas organizações, para revisar a Governança de Dados.

Tatiana Bhering Roxo.

Este informe tem caráter meramente informativo e não constitui parecer ou consulta jurídica. A aplicação ao caso concreto depende do enquadramento sindical, da atividade da empresa e da análise individualizada por assessoria jurídica.