Henrique Fabretti Moraes

Thamara Consul Silva Chaves

Em um marco histórico para a proteção de dados no Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) aplicou sua primeira sanção administrativa. Mais de três anos após sua instituição, a autarquia responsável por fiscalizar a conformidade com a Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>) sancionou uma microempresa que oferecia serviços de disparo de mensagens em massa segmentadas por região, alegando ter dados de mais de 130 milhões de pessoas.  
A ANPD identificou três irregularidades:  
<ul>
<li data-leveltext="" data-font="Symbol" data-listid="9" data-list-defn-props="{&quot;335552541&quot;:1,&quot;335559684&quot;:-2,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}" aria-setsize="-1" data-aria-posinset="1" data-aria-level="1">ausência de indicação do encarregado pelo tratamento de dados pessoais; </li>
</ul>
<ul>
<li data-leveltext="" data-font="Symbol" data-listid="9" data-list-defn-props="{&quot;335552541&quot;:1,&quot;335559684&quot;:-2,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}" aria-setsize="-1" data-aria-posinset="1" data-aria-level="1">tratamento de dados pessoais sem o amparo em uma das hipóteses previstas na LGPD; </li>
<li data-leveltext="" data-font="Symbol" data-listid="9" data-list-defn-props="{&quot;335552541&quot;:1,&quot;335559684&quot;:-2,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}" aria-setsize="-1" data-aria-posinset="2" data-aria-level="1">obstrução à fiscalização, ao não responder um dos ofícios enviados pela Autoridade.</li>
</ul>
Embora o caso não apresente complexidade e as sanções pareçam moderadas (advertência e multa totalizando R$ 14.400), podemos extrair lições valiosas da fundamentação da decisão.  
<h3>Infração leve, sanção grave  </h3>
Ao determinar a classificação da infração, a ANPD considerou que, no caso em análise, o tratamento de dados pessoais sem base legal seria uma infração leve, uma vez que não foram encontradas evidências de que a irregularidade impediu ou limitou o exercício de direitos ou a utilização de serviço, nem ocasionou danos materiais ou morais aos titulares, fraudes financeiras ou uso indevido de identidade.   
A definição dos critérios para a classificação das infrações foi objeto de ampla discussão durante a elaboração da <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-regulamento-de-dosimetria/Resolucaon4CDANPD24.02.2023.pdf">Resolução CD/ANPD 4/2023</a>, que aborda a dosimetria e aplicação de sanções administrativas. Esse debate intensivo se deve ao temor de que os conceitos propostos continham alta subjetividade, especialmente no que tange à infração de gravidade média.  
Entretanto, nesta primeira decisão, a Autoridade optou por uma abordagem equilibrada. Apesar de a empresa infratora não ter comprovado a legitimidade do tratamento dos dados, da relevância do número de titulares afetados e do contexto eleitoral no qual a LGPD foi violada, a ANPD ainda assim classificou a infração como leve.  
Contudo, apesar disso, a Autoridade aplicou a sanção de multa simples, geralmente reservada para infrações graves. Para isso, a ANPD se valeu do artigo 10 da Resolução CD/ANPD 4/2023, que autoriza a aplicação deste tipo de penalidade para infrações leves e médias, caso o contexto da assim demande.  
Nesse caso, concluiu-se que as hipóteses legais que autorizam o tratamento de dados pessoais constituem a "espinha dorsal da LGPD", e a sua falta confere maior gravidade à infração. A Autoridade complementou seu argumento, observando que o agente regulado buscava obter vantagem econômica com a atividade de tratamento.  
Portanto, um aprendizado importante pode ser derivado daqui: aos olhos da Autoridade, a falta de amparo legal para uma atividade de tratamento nos termos dos artigos 7º ou 11 da LGPD pode resultar na aplicação de uma multa simples. Isso ocorre mesmo na ausência dos requisitos para que a sanção seja considerada média ou grave, sobretudo quando o fato está associado à intenção de obter ganhos econômicos.  
<h3>Direitos individuais vs. direitos difusos e coletivos  </h3>
Outro ponto interessante da decisão foi o fato de, ao fundamentar a classificação da infração como leve, a ANPD constatou que não havia provas sobre danos materiais ou morais aos titulares de dados e, mais à frente, ao determinar o grau de dano da infração indicou que ela poderia “ocasionar lesão ou ofensa a direitos ou interesses difusos, coletivos ou individuais”.  
A Autoridade não detalhou a razão pela qual identificou a existência de danos ou ofensas a direitos ou interesses difusos, coletivos ou individuais, o que chama atenção dada à similaridade dos conceitos em questão. Ao analisar esses conceitos, a diferença principal está na menção de danos difusos ou coletivos no segundo, enquanto o primeiro foca apenas em danos individuais. Com base nessa diferença, uma conclusão possível seria que, neste caso, a ANPD não identificou danos individuais. Mesmo assim, poderia ter sido mais explícita ao fundamentar essa parte da decisão.  
<h3>Transparência efetiva  </h3>
Ao destrinchar as possíveis hipóteses legais em que a empresa autuada poderia amparar a atividade de tratamento em questão, a ANPD discorre sobre os motivos pelos quais o legítimo interesse do controlador não seria aplicável. Enquanto não traz grandes novidades ao indicar que a ausência de legítima expectativa do titular e transparência são incompatíveis com essa base legal, é interessante notar os termos utilizados na fundamentação. 
Em um primeiro momento, menciona que os titulares não “tinham condições de saber que os seus dados estariam sendo tratados”. Na sequência, há uma vinculação entre a ausência de conhecimento, pelos titulares, de que os dados eram tratados, com o impedimento para que eles exerçam os direitos previstos no artigo 18, da LGPD (como a confirmação da existência de tratamento e acesso aos dados).  
Apesar de ser consequência lógica da interpretação da LGPD, entendemos como positivo o reforço de que não basta disponibilizar informações aos titulares em, por exemplo, um aviso de privacidade, mas, sim, garantir que essas informações de fato deem ‘condições’ os titulares, para que possam exercer seus direitos.  
<h3>Microempresas e os agentes de tratamento de pequeno porte  </h3>
Por fim, a ausência de qualquer menção à possibilidade de a empresa autuada enquadrar-se como agente de tratamento de pequeno porte e, consequentemente, gozar dos benefícios previstos na Resolução CD/ANPD 2/2022, chamou atenção, especialmente pelo fato de uma das infrações apuradas ser a ausência de nomeação do encarregado, obrigação da qual as organizações consideradas agentes de tratamento de pequeno porte estão isentas.  
A ausência de informações sobre esse ponto no relatório de instrução não permite cravar os motivos que levaram a ANPD a silenciar sobre o tema, porém, a hipótese mais provável é a de caberia ao próprio agente regulado a tarefa de arguir o enquadramento especial, demonstrando preencher os requisitos exigidos para se utilizar das facilidades que a mencionada resolução traz, o que não ocorreu.  
<h3>O futuro que nos aguarda  </h3>
As lições extraídas deste episódio, somadas às duas dúzias de processos de fiscalização e sancionatórios em andamento, centenas de incidentes de segurança reportados e uma extensa agenda regulatória em vista, reforçam que a era da proteção de dados e da privacidade já é uma realidade palpável no Brasil.  
O tratamento de dados pessoais sem amparo legal, a negligência na indicação de um encarregado e a obstrução à fiscalização, para ficar nos exemplos trazidos por este caso, não são mais situações que passarão despercebidas. Por mais que a multa aplicada na primeira sanção pareça branda, as implicações legais e reputacionais de desrespeitar a LGPD podem ser muito mais devastadoras, atingindo a credibilidade e a confiança dos clientes e do público.  
Assim, a experiência deste caso inaugural serve para reiterar a importância de uma cultura empresarial voltada para a privacidade e a proteção de dados. A nomeação de um encarregado, a transparência na coleta e no uso de dados, e o estabelecimento de uma base legal para o tratamento de dados não são mais itens opcionais, mas, sim, obrigações regulatórias e éticas.

ANPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Lições aprendidas e reflexões sobre o futuro da proteção de dados

A primeira sanção aplicada pela ANPD

Em um marco histórico para a proteção de dados no Brasil, a ANPD aplicou a sua primeira sanção administrativa