Temos uma novidade importante, e já esperada faz tempo, sobre a proteção de dados pessoais, pois foi finalmente publicada esta semana a Resolução CD/ANPD nº 4 da Autoridade Nacional de Proteção de Dados (ANPD), que regulamenta a dosimetria e a aplicação das sanções administrativas previstas na Lei Geral de Proteção de Dados, mais conhecida como: LGPD (Lei nº 13.709 de 2018).
A Resolução agora publicada constitui requisito para a aplicação de multas pela Autoridade Nacional de Proteção de Dados (ANPD), nos termos do disposto no artigo 53 da LGPD.
Falando nisto o Artigo 53 da Lei Geral de Proteção de Dados (LGPD) estabelece as competências da Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável por zelar pela proteção de dados pessoais no Brasil. A ANPD é uma autarquia federal, integrante da administração pública federal indireta, vinculada à Presidência da República.
De acordo com o artigo, são competências da ANPD:
1) Zelar pela proteção dos dados pessoais, nos termos da legislação;
2) Elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;
3) Fiscalizar e aplicar sanções em caso de infrações à legislação de proteção de dados pessoais;
4) Estimular a adoção de padrões para serviços e produtos que facilitem o exercício do controle sobre dados pessoais pelos titulares;
5) Elaborar estudos e propor medidas legislativas sobre proteção de dados pessoais;
6) Promover a conscientização da sociedade sobre proteção de dados pessoais e privacidade.
A ANPD é, portanto, o principal órgão responsável pela aplicação e fiscalização da LGPD, garantindo que as empresas e demais entidades que lidam com dados pessoais atuem em conformidade com a lei. A Lei prevê sanções severas em caso de descumprimento das normas de proteção de dados pessoais, e a ANPD tem um papel fundamental na aplicação dessas sanções e na garantia da proteção dos direitos dos titulares dos dados.
Acabou a fase apenas da orientação, agora as coisas vão ficar mais sérias e doer no bolso de quem não estiver compliance com a norma e lei.
As sanções podem ser de natureza administrativa ou civil e são aplicáveis a empresas, órgãos públicos e outras entidades que tratem dados pessoais.
As sanções administrativas previstas pela LGPD incluem:
1) Advertência:
Que é uma notificação formal da ANPD para que a empresa ou entidade se adeque às normas de proteção de dados pessoais;
2) Multa simples:
Que pode ser de até 2% do faturamento da empresa no último exercício fiscal, limitada a R$ 50 milhões por infração;
3) Multa diária:
Que pode ser aplicada em caso de continuidade da infração, limitada a R$ 50 milhões por infração.
Além das sanções administrativas, a LGPD também prevê a possibilidade de ações judiciais de responsabilidade civil por danos causados aos titulares dos dados pessoais.
Os titulares dos dados pessoais têm o direito de buscar a reparação de danos patrimoniais ou morais causados pelo tratamento irregular de seus dados pessoais, incluindo danos emergentes, lucros cessantes e danos morais.
É importante ressaltar que as sanções previstas pela LGPD podem ser aplicadas independentemente da ocorrência de dano aos titulares dos dados pessoais, ou seja, a empresa ou entidade pode ser penalizada apenas por descumprir as normas de proteção de dados pessoais, mesmo que não tenha havido qualquer prejuízo aos titulares dos dados.
Ademais, a Resolução CD/ANPD nº 4 altera alguns dispositivos da Resolução nº 1 CD/ANPD, que regulamenta o processo de fiscalização e o processo administrativo sancionador no âmbito da ANPD, aprimorando o processo administrativo sancionador e de fiscalização, que agora já pode impor as multas previstas em lei, observado o respectivo processo administrativo, com garantia à ampla defesa e ao contraditório.
Agora ficou mais claro os seguintes pontos: critérios para a imposição de sanções, equilíbrio na aplicação de sanções, por meio da busca da proporcionalidade entre a sanção aplicada e a gravidade da conduta do agente, e a segurança jurídica nos processos fiscalizatórios.
A Resolução atribui, ainda, importância e valor aos atos de adequação à LGPD dos agentes de tratamento, conforme se vê nos parâmetros e critérios considerados no artigo 7º para a definição da sanção como:
1) Gravidade e a natureza das infrações e dos direitos pessoais afetados;
2) Boa-fé do infrator;
3) Vantagem auferida ou pretendida pelo infrator;
4) Condição econômica do infrator;
5) Reincidência específica;
6) Reincidência genérica;
7) Grau do dano, nos termos do Apêndice I deste Regulamento;
8) Cooperação do infrator;
9) Adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a LGPD;
10) Adoção de política de boas práticas e governança;
11) Pronta adoção de medidas corretivas; e
12) Proporcionalidade entre a gravidade da falta e a intensidade da sanção.
Ademais, as próprias circunstâncias atenuantes previstas na Resolução refletem a relevância da prática de atos de implementação de medidas de adequação à LGPD.
A Resolução, portanto, ao regulamentar a dosimetria e aplicação de sanções pela ANPD, enfatiza mais uma vez a importância da implementação e constante manutenção de medidas de adequação à LGPD.
Lembrando de que tanto pessoas físicas quanto pessoas jurídicas (públicas ou privada) poderão ser multadas por descumprimento da Lei, notadamente aquelas que realizam o tratamento de dados pessoais (colheta, armazenamento, distribuição etc).
Para maiores informações vejam o documento completo em:
