Em 27.fev, a ANPD (Autoridade de Proteção de Dados) publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD Nº 4), que tem como objetivo definir os critérios e parâmetros para a aplicação de sanções pecuniárias e não pecuniárias, bem como as formas e dosimetrias para o cálculo do valor-base das multas.
Trata-se de importante passo para concretizar o papel fiscalizador da ANPD e regulamentar o artigo 53 da LGPD.
De acordo com o regulamento, as sanções previstas no artigo 52 da LGPD somente poderão ser aplicadas após finalizado procedimento administrativo, mediante decisão fundamentada da ANPD, assegurado o direito à ampla defesa, ao contraditório e ao devido processo legal. As sanções deverão ser aplicadas de forma gradativa, isolada ou cumulativamente, de acordo com as peculiaridades do caso concreto.
Sobre qual sanção a ser aplicada, devem ser considerados os seguintes parâmetros e critérios: (i) gravidade e natureza das infrações e dos direitos pessoais afetados; (ii) boa-fé do infrator; (iii) vantagem auferida ou pretendida pelo infrator; (iv) condição econômica do infrator; (v) reincidência específica e genérica; (vi) grau do dano; (vii) cooperação do infrator; (viii) adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a LGPD; (ix) adoção de política de boas práticas e governança; (x) pronta adoção de medidas corretivas; e(xi) a proporcionalidade entre a gravidade da falta e a intensidade da sanção.
O regulamento classificou as infrações em leve, média ou grave. Tal classificação, acrescida de elementos atenuantes, agravantes ou reincidência, fundamenta a aplicação das penalidades previstas no artigo 52 da LGPD. Ainda, são previstos critérios objetivos para a definição do valor base da multa, que poderá ser uma multa simples (aplicada uma única vez por infração) ou diária, enquanto persistir a irregularidade. As multas para pessoas jurídicas são calculadas sobre o faturamento e, para pessoas físicas ou na hipótese de pessoa jurídica sem faturamento, há faixas de valores mínimos e máximos aplicáveis.
A partir de agora, as sanções administrativas aplicadas pela ANPD devem tomar como base o regulamento e os critérios objetivos lá estabelecidos, garantindo maior segurança jurídica aos agentes de tratamento de dados pessoais e aos titulares. Aos agentes de tratamento é reforçada a importância de adotar política de boas práticas e governança.
Vale, por fim, lembrar que as sanções administrativas aplicadas pela ANPD não são a única consequência negativa que o agente de tratamento de dados pode enfrentar em caso de violações à LGPD. Há ainda o risco de ter de arcar com consequências perante os titulares de dados, que podem recorrer ao judiciário buscando indenizações pelos danos sofridos.
*Nicole Katarivas e Raquel Lamboglia Guimarães, advogadas na Manesco Advogados