Resolução da ANPD regulamenta a aplicação de sanções àqueles que infringirem a LGPD

No dia 27 de fevereiro, a ANPD - Autoridade Nacional de Proteção de Dados publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas.

A Resolução CD/ANPD 4 veio disciplinar a aplicação das sanções, previstas no art. 52 da LGPD - Lei Geral de Proteção de Dados, aos que descumprirem os seus preceitos. Antes, as sanções, embora previstas no texto legal, eram desprovidas de regulamento próprio da autoridade nacional, conforme exigência do art. 53 do mesmo diploma.

Desde a publicação da LGPD, em 2018, a referida regulamentação já era ansiosamente aguardada pela sociedade, que receava pelos severos impactos de algumas de suas sanções, como a imposição de altas multas e a possibilidade de suspensão do exercício da atividade de tratamento de dados ou a proibição do exercício das atividades relacionadas ao tratamento.

Havia grande expectativa em relação à publicação do regulamento, pois urgia a necessidade de clareza e previsibilidade na aplicação das sanções e maior segurança jurídica nos processos fiscalizatório e sancionador no âmbito da ANPD.

Dessa forma, a Resolução CD/ANPD 4 veio estabelecer critérios e condições para a imposição das sanções e para a realização da dosimetria para o cálculo das sanções de natureza pecuniária.

Além de regulamentar os art. 52 e 53 da LGPD, o Regulamento teve como objetivo alterar os art. 32, 55 e 62 da resolução CD/ANPD 1, que trata do Processo de Fiscalização e Processo Administrativo Sancionador da Autoridade Nacional de Proteção de Dados, para aprimorar o processo administrativo sancionador e de fiscalização da ANPD.  

O regulamento prevê, em seu art. 3º, as sanções administrativas que podem ser aplicadas: multa simples; multa diária; publicização da infração; bloqueio e eliminação de dados pessoais; suspensão parcial do funcionamento do banco de dados até que seja regularizada a situação; suspensão da atividade de tratamento dos dados pessoais e a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Buscando maior proporcionalidade e razoabilidade na aplicação das penalidades, a escolha da modalidade de sanção que será aplicada ao caso concreto deve considerar, segundo o regulamento, critérios como a gravidade das infrações e dos direitos pessoais afetados; a vantagem auferida ou pretendida pelo infrator, bem como a sua condição econômica; o grau do dano ocasionado pela infração e a proporcionalidade entre a gravidade da falta e a intensidade da sanção, entre outros (CD/ANPD 4, art. 7º).

Em vários dispositivos é possível perceber a preocupação em se restabelecer a observância da LGPD e em incentivar o bom comportamento do agente de tratamento, estimulando a sua recondução à conformidade com os preceitos legais.

É o que se verifica, por exemplo, no art. 13 da norma, que prevê como circunstâncias atenuantes a cessação da infração, que reduzirá a multa simples em percentuais que variam de acordo com o momento em que a infração é cessada, e a demonstração, pelo infrator, de implementação de política de boas práticas e de governança, ou ainda de adoção reiterada de mecanismos e procedimentos internos capazes de minimizar os danos aos titulares.

Com esse mesmo espírito, a postura do agente de tratamento no sentido de reduzir os efeitos da infração e de se readequar aos preceitos da lei é fator determinante para se definir a sanção que será aplicada. Assim, elementos como a boa-fé do infrator, a sua cooperação, a pronta adoção de medidas corretivas e a adoção de política de boas práticas e governança também serão consideradas na escolha da penalidade a ser aplicada.

Em seu art. 8º, o Regulamento classifica as infrações em leves, médias e graves. Um dos critérios estipulados para essa categorização é a eventualidade de a violação ter potencial para afetar significativamente interesses e direitos fundamentais dos titulares, assim definidos pela norma como as "situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave". Nesta hipótese, ela será considerada uma infração média.

A infração será grave, por sua vez, quando reunir, além do critério acima citado, uma das seguintes condições: a) envolver tratamento de dados pessoais em larga escala; b) o infrator auferir ou pretender auferir vantagem econômica em decorrência da infração cometida; c) a infração implicar risco à vida dos titulares; d) a infração envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; e) o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; f) o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; ou g) verificada a adoção sistemática de práticas irregulares pelo infrator (inciso I, §1º); ou, ainda, se constituir obstrução à atividade de fiscalização (inciso II, §2º).

A infração será considerada leve quando não for média nem for grave.

O Regulamento estabelece, ainda, critérios para a fixação do valor-base da multa simples e define, como limites mínimo e máximo, os valores contidos no Apêndice II do Regulamento (valores mínimos) até 2% do faturamento da pessoa jurídica ou 50 milhões de reais (valor máximo).

Por fim, os dois Apêndices do Regulamento detalham a metodologia para o cálculo do valor das multas simples. Enquanto o Apêndice I descreve a metodologia do cálculo e as fases que a compõe, o Apêndice II destaca os valores mínimos a serem observados para adequação da sanção de multas simples.

Com a publicação da Resolução CD/ANPD 4, a ANPD poderá aplicar sanções administrativas de forma mais clara, justa e proporcional. Isso assegura aos cidadãos o direito fundamental à proteção de seus dados pessoais e, aos agentes de tratamento de dados, maior segurança jurídica, previsibilidade e proporcionalidade entre a sanção aplicada e a gravidade da conduta do agente.