LGPD, dosimetria e segurança jurídica: Primeiras impressões sobre o regulamento da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) publicou no último dia 27/02 o normativo que tem como objetivo regulamentar os arts. 52 e 53 da LGPD (lei 13.709/18) e definir os critérios e parâmetros para as sanções pecuniárias e não pecuniárias aplicáveis pela Autarquia, bem como as formas e dosimetrias para o cálculo do valor-base das multas.

Aprovado pela Resolução CD/ANPD 4/23, o texto foi finalizado após processo de elaboração que contou com ampla participação social refletida em 2.504 contribuições na consulta pública e 24 contribuições na audiência pública. Dentre essas contribuições estão aquelas formuladas pelo Instituto de Direito Administrativo Sancionador Brasileiro (IDASAN), que constituiu comissão interna cuja dedicação deu origem a uma análise de fôlego encaminhada para a ANPD. Algumas dessas contribuições foram acolhidas e inspiraram a modificação do normativo publicado. O que nos preocupa e nos moveu a escrever essas breves reflexões são alguns pontos que ficaram de fora do Regulamento e que podem interferir com a efetividade do processo sancionatório e a segurança jurídica.¹

A sanção no direito administrativo sancionador (DAS) não constitui um fim em si mesmo. É uma ferramenta, ao lado de outros instrumentos de gestão conferidos ao administrador público, a exemplo das recomendações. Daí a premente necessidade de que sejam construídos modelos sancionatórios capazes de produzir os incentivos corretos para conformar a atuação dos administrados aos fins de interesse público, com racionalidade, economicidade e proporcionalidade, bem como respeito aos direitos e garantias fundamentais. Afinal, todo aquele que estiver sujeito ao poder punitivo estatal tem garantido constitucionalmente o direito subjetivo fundamental de ter seus atos julgados em conformidade com as garantias que o protegem do arbítrio estatal.

A tarefa, contudo, não é simples, por um conjunto de razões. Não há consenso sobre quais sejam os princípios constitucionais do direito administrativo sancionador (em que pese eles existam, tal como reconhecido no art. 1º, §4º, da Lei de Improbidade Administrativa - LIA, inserido pela lei 14.230/21). Mesmo quanto aos princípios menos controvertidos, como o da legalidade, há discussões acaloradas sobre a forma e gradação como se aplicam. E em cada nicho do direito administrativo sancionador poderá haver nuances que justifiquem ora um ajuste aqui, ora uma exceção acolá. Em suma: a despeito da variedade de fontes normativas, delas não se extrai claramente um microssistema do direito administrativo sancionador constituído por regramentos processuais e materiais essenciais, voltados a orientar a atuação de intérpretes e aplicadores do direito, com destaque para disposições que propiciem a tutela efetiva dos direitos fundamentais dos administrados.

Mas nada disso afasta a necessidade de se aprimorar o ordenamento jurídico e seus processos de interpretação de aplicação. E nisso temos evoluído bastante. Os Regulamentos da ANPD do processo de fiscalização e do processo administrativo sancionador (Resolução CD/ANPD 1/21) e o recente Regulamento de dosimetria e aplicação de sanções administrativas (Resolução CD/ANPD 4/23) contribuem para esse objetivo, embora não o esgotem. O processo é dinâmico. Tanto porque se lança ao teste de sua aplicação prática, a partir da qual incongruências, excessos e insuficiências poderão vir à tona; quanto porque não há como tratar de tudo. Num ou noutro caso, há que se pensar em aprimoramentos, e o diálogo entre as instituições, reguladores, regulados, sociedade civil, acadêmicos, profissionais, meios de comunicação e demais atores tem papel decisivo. Vamos a ele.

Primeiro, sobre a legalidade. Ainda que se admita a legalidade flexível no campo do direito administrativo sancionador, que comportaria uma composição mais ampla de conceitos altamente indeterminados, a tipicidade, garantia catalisadora da legalidade e da segurança jurídica, exige um mínimo de previsibilidade quanto às condutas vedadas e correspondentes reprimendas.

Nesse aspecto, chamam a atenção dois pontos: i) a ausência de previsão legal quanto aos parâmetros para a aplicação da multa às pessoas físicas, uma vez que a LGPD apenas os fixa para as pessoas jurídicas, o que pode ser compreendido como vontade ainda que indireta do legislador de excluir a pessoa física das bases concebidas; ii) a ausência de tipificação de condutas (infrações) pela LGPD e correspondentes sanções, o que sacrifica a segurança jurídica.

Veja-se que, na LGPD, há menções genéricas às "infrações cometidas às normas previstas nesta Lei", como em seu art. 52. Mas não é difícil antever que esse grau de generalidade deságua em enorme insegurança. O regulamento, embora não seja o campo ideal para a disciplina de previsões não inseridas na lei, seria uma ferramenta importante para conciliar a abertura legal com as boas práticas já aplicadas em outros tipos de processos sancionatórios. Especificamente, para deixar mais claras as condutas vedadas e aquelas exigidas, o que não fez. Além disso, não foi inserida distinção, por exemplo, entre a infração permanente, que pode ser conceituada como o comportamento contínuo, típico, antijurídico e reprovável que se prolonga no tempo e que independe de resultado (prevista no art. 2º, inciso III, da Res. CD/ANPD 4/23), e a infração continuada, que seria a conduta de idêntica natureza e reiteradamente cometida, apurada em uma única atividade de fiscalização e sujeita a uma única sanção, com agravante (prevista, e.g., pela Resolução 566/20 da ANAC).

Também poderia ter sido diferenciada a figura do infrator, agente de tratamento que comete a infração (cf. art. 2º, inciso II, da Res. CD/ANPD 4/23), do responsável pela infração, aquela pessoa física ou jurídica que, embora não tendo cometido a infração, responde por ela; como poderia ter sido inserida disposição que tratasse do concurso de infratores, comportamento praticado por duas ou mais pessoas para o cometimento de uma única infração, respondendo cada qual na proporção de sua culpa. Ao contrário, o parágrafo único do art. 4º prevê que, "[e]m caso de pluralidade de infratores, as sanções serão aplicadas de forma individualizada".

Situação sensível é aquela que abarca o poder público. Em linha com o art. 52, §3º, da LGPD, às entidades e aos órgãos públicos poderão ser aplicadas as sanções do art. 3º do Regulamento, à exceção das pecuniárias - i.e., sanções de advertência, bloqueio dos dados pessoais, eliminação dos dados pessoais, suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento dos dados pessoais; e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. Mas é fundamental atentar-se para a avaliação dos impactos e efeitos práticos dessas sanções, sobretudo no que tange à continuidade dos serviços e das políticas públicas eventualmente afetados.

De outro lado, a Lei e o Regulamento não afastam a possibilidade de responsabilização do agente público que tenha dado causa à infração, nos termos das leis 8.112/90 (Estatuto dos Servidores Públicos federais), 8.429/92 (LIA) e 12.527/11 (Lei de Acesso à Informação). No entanto, em respeito ao princípio da não transcendência da sanção, deve haver individualização das condutas, além da participação de todos os infratores apontados do processo sancionatório com a garantia do contraditório e da ampla defesa, sendo certo que a medida punitiva aplicada a um infrator não aproveita o outro.

Se para a aplicação da sanção ao poder público é fundamental se pensar nos impactos para o serviço público, para as pessoas jurídicas de direito privado devem ser igualmente considerados os efeitos econômicos e sociais das sanções, de modo a viabilizar a manutenção de suas atividades - em linha, por exemplo, com a previsão do art. 12, §3º, da LIA. O art. 7º do Regulamento não cogita desse parâmetro, embora se possa defender sua extração diretamente de princípios constitucionais, a exemplo da função social da propriedade, da liberdade econômica e da proporcionalidade. De mais a mais, há uma abertura no Regulamento que pode dar ensejo à análise ora sugerida, qual seja: a disposição do artigo 27, que autoriza seja afastada a metodologia de dosimetria de sanção de multa ou substituída a aplicação de sanção por outra constante no regulamento, nos casos em que for constatado prejuízo a` proporcionalidade entre a gravidade da infração e a intensidade da sanção.

Ainda no tocante às pessoas jurídicas, o regulamento considera faturamento o somatório de recursos recebidos pelas pessoas jurídicas de direito privado sem fins lucrativos, nos termos da legislação vigente (art. 11, §1º, III). Não ressalvou, porém, os recursos provenientes de contratos de gestão, convênios, termos de parceria, termos de colaboração, acordo de cooperação, termo de fomento ou outros módulos destinados à realização de atividades e serviços desenvolvidos em unidades públicas.

Os diversos módulos celebrados pelas organizações da sociedade civil (terceiro setor) para desenvolvimento de atividades e serviços públicos não podem ser contabilizados para efeito de faturamento, porque os valores recebidos não ingressam como receitas próprias delas, mas estão vinculados à execução do objeto de cada parceria.

Quanto ao desbloqueio dos dados pessoais, o regulamento aponta genericamente para a "regularização" da conduta do infrator (art. 22, §3º), mas poderia ter trazido parâmetros mais claros dos requisitos a serem atendidos, a fim de nortear esse processo de reabilitação.

No mais, nas disposições finais, há perigosa previsão de que o conteúdo do regulamento se aplica aos processos administrativos em curso quando de sua entrada em vigor (art. 28), sem ressalvar que essa disciplina intertemporal se refere somente às normas processuais, respeitados os atos processuais praticados e as situações jurídicas consolidadas antes da vigência da norma. Na forma como está, sujeita-se à crítica de que pode ter sido produzido para agasalhar os processos em curso, em indesejada contrariedade com o sentido mais nuclear de Estado de Direito: o de previsibilidade. É dizer, a ciência prévia de como se deve agir e da exata medida das sanções aplicáveis se se fizer de forma distinta. Não há espaço para punições moldadas a posteriori. Aliás, se na seara do DAS ainda persistem muitas dúvidas, ao menos essa pode ser tida como uma certeza jurídica.

----------