Penalidades e sanções em matéria de proteção de dados

A polemica relativa as sanções e penalidades previstas na Lei Geral de Proteção de Dados reverbera desde o ano de 2018, primeiramente a discussão voltou-se quanto ao inicio da vigência da aplicação das sanções previstas nos artigos 52, 53 e 54 da lei sob 13.709/18, cujo termo inicial ficou estabelecido para agosto de 2021.

Na sequencia, os artigos 52, 53 e 54, da referida lei, ainda sofreram algumas alterações por meio da lei sob 13.853/19, especialmente no que tange a criação da ANPD - Autoridade Nacional de Proteção de Dados e suas atividades.

Em razão das infrações cometidas, os agentes de tratamento de dados poderão estar sujeitos as seguintes sanções: (a) advertência, com indicação de prazo para adoção de medida corretiva; (b) multa simples de 2% do valor do faturamento da pessoa jurídica, grupo ou conglomerado, no seu ultimo exercício, excluído os tributos, limitada a R$ 50.000.000,00 por infração; (c) multa diária observado o limite do item anterior; (d) publicização da infração após apurada e confirmada; (e) bloqueio de dados pessoais a que se refere a infração; (f) eliminação de dados pessoais relativo a infração; (g) suspensão parcial do banco de dados pelo período máximo de 06 meses, prorrogável por igual período; (h) suspensão do exercício da atividade de tratamento de dados pessoais que se refere a infração por 06 meses, prorrogável por igual período e; (i) proibição total ou parcial do exercicio da atividade de tratamento de dados.

As sanções acima elencadas estão previstas no artigo 52, da lei sob 13.709/18 e levantam inúmeras polêmicas na sociedade, especialmente, no que se refere ao elevado ponto de partida utilizado para se estabelecer a mula simples, ou seja, 2% do faturamento anual anterior do agente livre de impostos, até o exorbitante piso máximo fixado em R$ 50.000.000,00.

O artigo 53, da lei 13.709/18 determinou que as orientações relativas ao calculo do valor-base das sanções de multa seriam definidos por regulamento próprio da Autoridade Nacional de Proteção de Dados, enquanto que o artigo 54, da mesma Lei determinou também que se observasse a gravidade da falta, a extensão do dano ou o prejuízo causado.

No entanto, até os dias atuais, setembro de 2022, ainda não existe um regulamento da Autoridade Nacional de Proteção de Dados concluído.

Na data de 15/9/22, encerrou o prazo para contribuição da minuta  prévia proposta para regulamentar a aplicação das sanções com base na resolução CD 1, de 28/10/21.

A minuta apresentou mais de 2500 sugestões e comentários e esta distribuída da seguinte forma: 1) Previsão das Sanções; 2) Parâmetros e Critérios para a fixação de sanções 3) Classificação das infrações (leve, média ou grave); 4) Aplicação de advertências; 5) Aplicação de multa diária; 6) Aplicação de multa simples; 7) Pagamento da sanção da multa; 8) Publicização da infração 9) Bloqueio de dados pessoais; 10) Eliminação de dados pessoais; 11) Suspensão parcial do banco de dados; 12) Suspensão do exercício de tratamento de dados; 13) Proibição parcial ou total de atividades relacionadas ao tratamento de dados; 14) Substituição de sanções.

Ainda que em caráter prévio, andou bem a Autoridade Nacional, quando abriu a temática relativa ao regulamento da aplicação das sanções para sugestões e observações da coletividade. Nesse aspecto, importante dizer que a minuta prevê na definição da sanção critérios similares aos observados pela doutrina relativamente a fixação de indenização por dano moral, na medida em que estabelece que devem ser considerados: (i) a gravidade e a natureza das infrações e dos direitos pessoais afetados; (ii) a boa fé do infrator; (iii) a vantagem auferida ou pretendida pelo infrator; (iv) a condição econômica do infrator; (v) a reincidência específica; (vi) a reincidência genérica; (vii) o grau do dano; (viii) a cooperação do infrator; (ix) a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a LGPD; (x) a adoção de politica de boas praticas de governança;  (xi) a pronta adoção de medidas corretivas; (xii) a proporcionalidade entre a gravidade da falta e a intensidade da sanção. 

Inobstante perdurar a pendência de validação do regulamento próprio da Autoridade Nacional de Proteção de Dados (ANPD), a MP 1.124/22 elevou a ANPD a condição de autarquia federal de natureza especial, com autonomia técnica e decisória, de modo que tal circunstância poderá ensejar o imediato ajuizamento de ações judiciais em defesa da sociedade em relação a proteção de dados.

Muita polemica já começou a surgir em relação ao tema das sanções, especialmente quanto a eventual bis in idem para os casos em que for atribuída multa por infração e indenização em favor dos lesados. Com o devido respeito a tal pensamento, referida questão estaria distante de representar uma dupla cobrança, vez que inerente a esfera e beneficiários diferentes, similar ao que se vê nos dias atuais relativamente as demandas do PROCON, por exemplo.

Com efeito, importante esclarecer que na forma prevista no § 5º, do artigo 52, da lei 13.709/18, alterada pela lei 13.853/19, o produto da arrecadação das multas aplicadas pela ANPD, inscritas ou não em dívida ativa, será destinado ao Fundo de Defesa de Direitos Difusos, de modo que não serão beneficiários dos valores pagos os titulares lesionados propriamente ditos.

Nesse aspecto, vale destacar a decisão proferida pelo juiz Leonardo Naciff Bezerra, de Campinorte-GO, que arbitrou o valor de R$ 3 mil, a título de danos morais em favor de consumidor que recebeu excessivas ligações para oferta de serviços de operadora de celular que não era cliente. O magistrado levou em consideração a Lei Geral de Proteção de Dados e a teoria do desvio produtivo do consumidor¹. O pagamento de indenização do caso em referencia não isenta a operadora da analise e aplicação de sanção pela ANPD.

Conclui-se portanto, que a par de já se encontrar em vigor a lei de proteção de dados, bem como as sanções e penalidades nela previstas, importante que os agentes de tratamento de dados, observem estritamente os seus termos, a fim de evitar a configuração das infrações e aplicação das sanções pela ANPD.

_____________

1 https://www.rotajuridica.com.br/claro-e-condenada-a-indenizar-consumidor-que-recebeu-ligacoes-excessivas-de-ofertas-e-servicos