Os agentes de tratamento e as sanções da LGPD

O art. 52 da Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece sanções administrativas para agentes de tratamento que infringirem normas de proteção de dados. Na LGPD, agentes de tratamento são as pessoas físicas ou jurídicas responsáveis pelo controle e operação dos dados pessoais nas corporações.

A aplicação das multas permaneceu pendente até 27 de janeiro de 2023, quando houve a publicação da Resolução CD/ANPD 4, contemplando as regras de dosimetria e aplicação de sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD).

A partir da publicação do novo regulamento, os agentes de tratamento que descumprirem a LGPD estarão sujeitos a sanções de advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação de dados pessoais, suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados pessoais. As sanções somente serão aplicadas após processo administrativo, possibilitando a oportunidade de apresentar defesa.

A Resolução CD/ANPD 1, de 28 de outubro de 2021, regulamenta o processo administrativo sancionador determinando sua instauração em três hipóteses: de ofício pela Coordenação-Geral de Fiscalização (CGF), em decorrência de processo de monitoramento ou por requerimento após análise de admissibilidade pela CGF.

A obrigatoriedade da defesa do agente de tratamento por meio de advogado no processo administrativo não está prevista na Resolução. Contudo, considerando as peculiaridades da matéria, a participação de um defensor legalmente constituído será benéfica aos interesses do agente, sobretudo pela observância correta de cada fase do processo e da apresentação satisfativa das informações requeridas pela ANPD, demonstrando, inclusive, a transparência e a boa-fé do infrator na solução da questão.

O profissional da área jurídica contribuirá em vários momentos, entre eles, analisar e informar à ANPD sobre o sigilo de informações relativas à atividade empresarial, informações técnicas, econômico-financeiras, contábeis e operacionais que possam representar violação a segredo comercial ou industrial do agente de tratamento. Contribuirá para a apresentação das provas necessárias à defesa do agente, bem como na prestação das informações e documentos adicionais que a ANPD vier a solicitar, chegando a levar ao encerramento do processo, quando possível aplicar as disposições de isenção de responsabilidade previstas na própria LGPD.

Ademais, o profissional tem a competência técnica para analisar o processo de forma global, podendo encontrar nulidades que o invalidem por inteiro ou parcialmente, assim como verificar as questões de proporcionalidade na aplicação das multas pela ANPD, entre outras atribuições.

As denúncias feitas pelos titulares de dados somente serão recebidas pela Autoridade após o não atendimento ou do atendimento não satisfatório pelo controlador de dados em relação aos direitos previstos na lei para a pessoa física. Da mesma forma, as denúncias feitas à Autoridade, para levar à instauração de processo administrativo, não podem se relacionar com situações específicas de um titular de dados determinado.

Os controladores que já estavam na fila das multas na data da publicação do regulamento de dosimetria, devem ficar atentos ao andamento do Projeto de Decreto Legislativo, PDL 66/23, apresentado em 8 de fevereiro, que susta o art. 28 do regulamento de aplicação de multas. Esse artigo dispõe que a Resolução CD/ANDP 4 se aplica também aos processos administrativos já em curso quando de sua entrada em vigor. Contudo, para o deputado federal Jorge Braz, que apresentou projeto sustando o artigo, o regulamento não pode retroagir para alcançar fatos pretéritos, quando as empresas e órgãos públicos não tinham conhecimento sobre como as sanções e penas seriam aplicadas.

Para obter mais informações sobre o andamento do PDL 66/23, demais projetos e regulamentos de proteção de dados, evitar a instauração de processos administrativos ou proceder à defesa de forma a garantir os interesses do controlador, orienta-se a participação de uma equipe jurídica nos assuntos relativos à proteção de dados, contando com profissionais dedicados à matéria.