El 28 de diciembre de 2018 el Presidente saliente de Brasil, Michael Temer, firmó una Orden Ejecutiva (Medida Provisória no. 869/18) por la que se creaba la Autoridad Nacional Brasileña de Protección de Datos (Autoridade Nacional de Proteção de Dados o “ANPD”). La medida vino a complementar la Ley General de Protección de Datos brasileña (“LGPD”) aprobada el 14 de agosto de 2018, una ley que se inspira en el Reglamento General de Protección de Datos y convertirá a Brasil en uno de los países con protección de datos más sólida de América Latina a partir de su entrada en vigor en 2020.

Dicha Ley comparte numerosas características con el RGPD, tales como la configuración de un amplio ámbito de aplicación y varias de las bases lícitas para el tratamiento de datos. Sin embargo, su aplicación en la práctica se enfrentaba a un obstáculo notable. La versión del proyecto de ley presentada a Temer tras su aprobación por ambas cámaras del Congreso brasileño fue vetada en tres aspectos esenciales antes de ser firmada: el establecimiento de una autoridad independiente de protección de datos, las sanciones por la violación de la ley y los requisitos de transparencia para los agentes del sector público que manejan datos personales.

Parte de la sociedad civil brasileña, como por ejemplo la Coalición para los Derechos Digitales de Brasil, valoró negativamente el contenido de estos vetos, ya que no sólo dificultaban la rendición de cuentas por parte de los infractores de la misma, sino que dejaba abiertas varias lagunas legales que hacían depender la aplicación efectiva de la LGPD del resultado de las elecciones generales. A pesar de estas inquietudes, el gobierno de Temer finalmente procedió a establecer la ANPD como medida de última hora.

En relación a las competencias de la ANPD, la Sección 55 (j) de la Orden Ejecutiva no. 869/18 establece que la ANPD tiene la autoridad para, entre otras atribuciones:

  • Emitir reglas y regulaciones sobre protección de datos y privacidad;
  • Dentro de la esfera administrativa, interpretar exclusivamente el LGPD, incluidos los casos en los que la Ley guarda silencio;
  • Solicitar información sobre el procesamiento de datos personales de procesadores de datos y controladores;
  • Supervisar e imponer exclusivamente sanciones administrativas por violaciones de la LGPD;
  • Promover la protección de datos y la privacidad dentro de la sociedad brasileña; y
  • Desarrollar estudios sobre las prácticas de privacidad y protección de datos nacionales e internacionales y establecer asociaciones con autoridades de otros países para aumentar la cooperación internacional.

Otro aspecto relevante que introduce la Orden no. 869/18 es un retraso de la fecha de entrada en vigor, que queda configurada para seis meses más tarde de lo establecido en la Ley inicialmente aprobada: agosto de 2020 frente a febrero del mismo año. El Congreso brasileño cuenta ahora con un plazo de 120 días desde la entrada en vigor de la Orden Ejecutiva para ratificarla y que se convierta en permanente. Tras disiparse las dudas sobre si el gobierno brasileño crearía la ANPD, la población brasileña ya puede empezar a prepararse para la entrada en vigor de la LGPD.