A Autoridade Nacional de Proteção de Dados (ANPD) é, a partir da MP 1124/2022, autarquia de natureza (regime) especial, dotada de autonomia técnica e decisória, sendo responsável por zelar, implementar e fiscalizar o cumprimento a Lei Geral de Proteção de Dados (LGPD) no território nacional.

Inicialmente ela foi criada como órgão de natureza transitória da Presidência da República, mas a Lei nº 13.853/2019 forneceu prazo para que o Executivo avaliasse a conveniência de transformá-la em autarquia. Note-se que essa transformação é um passo importante cobiçado para o Brasil para conquista de um espaço na OCDE, que demanda que haja uma autoridade nacional de proteção de dados de fato independente.

A ANPD é composta de seu Conselho Diretor, constituído por cinco diretores, incluído o Diretor-Presidente, como órgão máximo, do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; da Corregedoria; da Ouvidoria; da Procuradoria e das unidades administrativas e unidades especializadas necessárias à aplicação da lei.

Os membros do Conselho Diretor da ANPD são escolhidos pelo Presidente da República e por ele nomeados, após aprovação pelo Senado Federal. São selecionados entre brasileiros que tenham reputação ilibada, nível superior de educação e elevado conceito no campo de especialidade dos cargos para os quais serão nomeados, ocupando mandato de até quatro anos.

Compete, de acordo com o art. 55-J, incluído à Lei nº 13.709/2018 pela Lei nº 13.853/2019:

1. zelar pela proteção dos dados pessoais, nos termos da legislação;
2. zelar pela observância dos segredos comercial e industrial, observada a proteção de dados pessoais e do sigilo das informações quando protegido por lei ou quando a quebra do sigilo violar os fundamentos do art. 2º desta lei;
3. elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;
4. fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;
5. apreciar petições de titular contra controlador após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;
6. promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança;
7. promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade;
8. estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, os quais deverão levar em consideração as especificidades das atividades e o porte dos responsáveis;
9. promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional e transnacional;
10. dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, respeitados os segredos comercial e industrial;
11. solicitar, a qualquer momento, às entidades do poder público que realizem operações de tratamento de dados pessoais informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado, com a possibilidade de emitir parecer técnico complementar para garantir o cumprimento desta lei;
12. elaborar relatórios de gestão anuais acerca de suas atividades;
13. editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos nesta lei;
14. ouvir os agentes de tratamento e a sociedade em matérias de interesse relevante e prestar contas sobre suas atividades e planejamento;
15. arrecadar e aplicar suas receitas e publicar, no relatório de gestão a que se refere o inciso XII do caput deste artigo, o detalhamento de suas receitas e despesas;
16. realizar auditorias, ou determinar sua realização, no âmbito da atividade de fiscalização;
17. celebrar, a qualquer momento, compromisso com agentes de tratamento para eliminar irregularidade, incerteza jurídica ou situação contenciosa no âmbito dos processos administrativos, de acordo com a LINDB;
18. editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bom como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se a esta lei;
19. garantir que o tratamento de dados de idosos seja efetuado de maneira simples, clara, acessível e adequada ao seu entendimento;
20. deliberar, na esfera administrativa, em caráter terminativo, sobre a interpretação desta Lei, as suas competências e casos omissos;
21. comunicar às autoridades competente as infrações penais das quais tiver conhecimento;
22. comunicar aos órgãos de controle interno o descumprimento do disposto nesta lei por órgãos e entidades da administração pública federal;
23. articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação; e
24. implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com esta lei.

Os regulamentos e as normas editados pela ANPD devem ser precedidos de consultas e audiências públicas,  bem como de análises de impacto regulatório.

Também determina a lei que a ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental coordenem suas atividades, nas correspondentes esferas de atuação, com vistas à eficiência e ao adequado funcionamento dos setores regulados e o tratamento dos dados pessoais. Ademais, a ANPD deve articular sua atuação com órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais. Nesta perspectiva, foram criadas a partir da cooperação técnica entre ANPD, MPF, Senacon e CADE, recomendações ao whatsapp no seguinte sentido:

“proceder ao adiamento da vigência de sua Política de Privacidade enquanto não adotadas as recomendações sugeridas após as análises dos órgãos reguladores; abster-se de restringir o acesso dos usuários às funcionalidades do aplicativo, caso não haja aderência à nova política de privacidade, assegurando-lhes a manutenção do atual modelo de uso e, em especial, a manutenção da conta e o vínculo com a plataforma, bem como o acesso aos conteúdos de mensagens e arquivos, pois configuraria conduta irreversível com potencial altamente danoso, inclusive aos direitos dos consumidores, antes da devida análise pelos órgãos reguladores competentes; e adotar as providências orientadas às práticas de tratamento de dados pessoais e de transparência, nos termos da LGPD, conforme Relatório nº 9/2021/CGF/ANPD e Nota Técnica nº 02/2021/CGTP/ANPD.”