No dia 18 de setembro de 2022, a maior parte dos artigos da LGPD (Lei nº 13.709/2018) completou dois anos de vigência, em períodos diferentes de vacância que foram finalmente concluídos no dia 1º de agosto de 2021 (com os arts. 52/54, sobre as sanções administrativas e o procedimento para a sua aplicação). Além disso, a publicação da LGPD completou quatro anos no dia 15 de agosto de 2022.

O ano de 2021 foi marcado por diversos vazamentos e por dois megavazamentos de dados pessoais no Brasil, que afetaram empresas e até mesmo a Administração Pública, inclusive alguns tribunais. Sobre os megavazamentos, cada um deles envolveu mais de um bilhão de dados pessoais (CPF, gênero, data de nascimento, endereço de e-mail e número de telefone celular, entre outros, de aproximadamente 223 milhões de pessoas, vivas e falecidas),

Apesar das notícias sobre vazamentos terem diminuído em 2022, isso não significa que os incidentes com dados pessoais deixaram de ocorrer ou que houve um aumento de efetividade de medidas preventivas de segurança da informação.

Por exemplo, a chave PIX passou a ser um alvo específico de ataques e incidentes, com a consequente prática de crimes sobre as contas de seus titulares.

Além disso, a postergação das sanções administrativas e a falta de uma cultura prévia sobre o tratamento de dados pessoais e sobre os direitos e deveres de seus sujeitos (titulares e agentes de tratamento) no país são fatores relevantes para o atraso na adequação à LGPD.

Como pontos importantes de avanço, destaca-se a promulgação da Emenda Constitucional nº 115 em 10 de fevereiro de 2022, que incluiu a proteção de dados pessoais entre os direitos e garantias fundamentais do art. 5º (no inciso LXXIX) e estabeleceu a competência material e legislativa da União sobre a proteção e o tratamento de dados pessoais (respectivamente, no inciso XXVI do art. 21 e no inciso XXX do art. 22 da Constituição).

A inclusão expressa da proteção de dados pessoais no texto constitucional, mais especificamente no art. 5º, levou a três consequências diretas:

- A proteção de dados pessoais passou a ser um direito fundamental expresso na Constituição;

- Em consequência, a proteção de dados pessoais é uma cláusula pétrea, que não pode ser revogada ou restringida, nem mesmo por Emenda Constitucional posterior (art. 60, § 4º, IV), ou seja, trata-se de um direito que só pode ser ampliado na Constituição;

- E definiu a competência constitucional do STF, para, em processos de competência originária ou recursal, apreciar questões relacionadas à proteção de dados pessoais, quando houver violação direta ao inciso LXXIX do art. 5º.

Outro fato importante ocorrido neste ano foi a publicação da Medida Provisória nº 1.124/2022 no dia 14 de junho de 2022, que prevê a transformação da ANPD em uma autarquia de natureza especial e regula a transformação de cargos em comissão para a sua estruturação. Com isso, o Brasil passará a ter uma autoridade nacional de proteção de dados independente e autônoma, com autonomia administrativa, financeira e técnica, com personalidade jurídica própria e capacidade processual.

Na aplicação da LGPD na prática, diversos conflitos e incidentes com dados pessoais foram judicializados e levaram a decisões divergentes, como a definição da responsabilidade civil do INSS (como controlador de dados pessoais) pelo vazamento de dados de benefícios previdenciários, a possibilidade - ou não - de compartilhamento de dados pessoais mediante remuneração e com fins comerciais, a ocorrência de dano moral presumido - ou não - nos vazamentos com dados pessoais e os limites no uso compartilhado de dados pessoais pela Administração Pública.

Considerando a ausência de cultura prévia anterior de proteção de dados no país e a inserção de princípios e conceitos não usuais, é natural e até mesmo pode ser positiva a existência de interpretações diferentes e de decisões (administrativas e judiciais) distintas, o que vai levar à necessidade de os tribunais competentes uniformizarem a interpretação e a aplicação da LGPD, especialmente por meio da elaboração de precedentes vinculantes.