Resolução CD/ANPD Nº 4:

Introdução

Recentemente, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, também chamado de “norma de dosimetria”. Este é o último passo para que sanções como as multas, entre outras, comecem a ser aplicadas àquelas empresas e/ou pessoas que não estão em conformidade com a legislação. 

Assim, este material busca demonstrar, de forma didática, alguns pontos importantes do Regulamento e apontar quais são as possíveis penalidades nas quais as empresas podem incorrer em caso de descumprimento à Lei Geral de Proteção de Dados Pessoais (LGPD).

O que é a LGPD?

A Lei Geral de Proteção de Dados Pessoais – Lei nº 13.709/2018, também chamada de LGPD, é a Lei aprovada em agosto de 2018 que dispõe sobre o tratamento de dados pessoais no Brasil, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais dos titulares de dados pessoais, bem como os deveres que empresas e Poder Público, por exemplo, devem seguir ao tratarem dados pessoais e, ainda, as sanções estabelecidas para casos de descumprimento desta Lei.

Assim, o termo “proteção de dados pessoais” diz respeito à possibilidade de que cada cidadão determine como os seus dados pessoais serão utilizados e de que forma poderão ser responsabilizados aqueles que não os utilizarem corretamente.

Qual é o objetivo da CD/ANPD Nº 4?

O principal objetivo desta Resolução é regulamentar os artigos da LGPD que tratam sobre as sanções administrativas, definir critérios e parâmetros para a aplicação dessas sanções pela ANPD, bem como as formas e dosimetrias adequadas para o cálculo do valor-base das sanções de multa.

Isso significa dizer que, a partir desse momento, a ANPD passará a aplicar sanções por descumprimento à LGPD, visto que possui critérios objetivos estabelecidos no Regulamento. Importante ressaltar que as disposições do Regulamento se aplicam, também, aos processos administrativos em curso por infrações cometidas no passado, ou seja, tais infrações não estariam livres de punição.

O que é Dosimetria?

De acordo com a ANPD, o termo dosimetria significa a forma por meio da qual a própria Autoridade escolherá qual sanção é a mais apropriada para ser aplicada em caso de infração, bem como qual será a intensidade. Ainda, permite calcular, quando cabível, o valor da multa aplicável ao infrator.

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas, portanto, é a norma que estabelece as circunstâncias, as condições e os métodos de aplicação das sanções, considerando, dentre outros aspectos, o dano ou o prejuízo causado aos titulares de dados pelo descumprimento à LGPD.

O que é infração?

Infração é o descumprimento de obrigação estabelecida na LGPD e nos regulamentos expedidos pela ANPD, como o próprio Regulamento de Dosimetria e Aplicação de Sanções Administrativas, sob análise. A infração pode ser também permanente, ou seja, uma conduta ilegal que se prolonga no tempo, mediante ação ou omissão do infrator referente ao mesmo dispositivo normativo.

Quais são as possíveis sanções que poderão ser aplicadas?

De acordo com o artigo 52 da LGPD e o artigo 3º da Resolução, em caso de infração cometida à LGPD, as empresas poderão estar sujeitas às seguintes sanções administrativas aplicáveis pela ANPD:

• Advertência; 
• Multa simples, de até 2% do faturamento da empresa, limitada, no total, a R$ 50 milhões de reais, por infração; 
• Multa diária, com limite total R$ 50 milhões de reais; 
• Publicização da infração; 
• Bloqueio dos dados pessoais; 
• Eliminação dos dados pessoais; 
• Suspensão parcial do funcionamento do banco de dados por no máximo de 6 meses, prorrogável por igual período, até que se regularize a situação; 
• Suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo de 6 meses, prorrogável por igual período;   
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.     

Qual é a classificação das infrações?

Segundo o Regulamento, as infrações podem ser classificadas em: leve, média ou grave. A infração será considerada leve quando não for verificado nenhum critério relacionado às classificações média ou grave.

A infração média é aquela que puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, nas seguintes situações:

1. impedimento ou limitação do exercício de direitos ou a utilização de um serviço;
2. ocasione danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como infração grave.

Por fim, a infração grave envolve a ocorrência de alguma situação da infração média, cumulada com um dos seguintes elementos:

1. envolver tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado;
2. o infrator auferir ou pretender auferir vantagem econômica em decorrência da infração cometida;
3. a infração implicar risco à vida dos titulares;
4. a infração envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos;
5. o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD;
6. o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; ou
7. verificada a adoção sistemática de práticas irregulares pelo infrator;

Poderá ser considerada grave, também, se for verificada a adoção de práticas que obstruam a atividade de fiscalização.

Quais são os parâmetros e critérios que serão considerados na definição de uma sanção

As sanções serão aplicadas após procedimento administrativo, mediante decisão fundamentada da ANPD, e terão os seguintes critérios:

• Gravidade e natureza das infrações e dos direitos pessoais afetados; 
• Boa-fé do infrator; 
• Vantagem auferida ou pretendida pelo infrator; 
• Condição econômica do infrator; 
• Reincidência; 
• Grau do dano; 
• Cooperação do infrator; 
• Adoção de mecanismos e procedimentos internos capazes de minimizar o dano; 
• Adoção de política de boas práticas e governança; 
• Pronta adoção de medidas corretivas; e 
• Proporcionalidade entre a gravidade da falta e a intensidade da sanção.
  

As multas possuem circunstâncias agravantes ou atenuantes?

Sim, o cálculo das multas pode ser alterado, a depender de uma circunstância agravante ou atenuante. São agravantes, por exemplo, casos de reincidência, medidas de orientação ou preventivas descumpridas ou medidas corretivas descumpridas.

Já as circunstâncias atenuantes podem ser aplicadas nos casos de implementação de política de boas práticas e de governança, por exemplo, ou de adoção reiterada e demonstrada de mecanismos internos capazes de minimizar os danos aos titulares.

Buscou-se, com isso, incentivar a atuação do agente infrator em solucionar o problema rapidamente, levando-se em conta que o cálculo da multa está diretamente relacionado à conduta do agente e ao tempo que esse levou para responder e se adequar às responsabilidades previstas na legislação.