Fabio Kujawski

Luiz Felipe di Sessa

Luiza Mendonça Santos

Após a coleta de contribuições da sociedade no âmbito de consulta e audiência públicas, a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd">ANPD</a>) publicou, no último 27 de janeiro, o <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-4-de-24-de-fevereiro-de-2023-466146077">Regulamento de Dosimetria e Aplicação de Sanções Administrativas</a>, conforme previsto no artigo 53 da Lei Geral de Proteção de Dados (Lei 13.708/2018 ou <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>). 
Em 2021, a ANPD já havia aprovado o <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-1-de-28-de-outubro-de-2021-355817513">Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador</a> que, dentre outras disposições, estabelece as atividades de fiscalização desenvolvidas pela Autoridade, como monitoramento, orientação e prevenção para a recondução de agentes de tratamento à conformidade com a LGPD, bem como as atividades repressivas voltadas à apuração de infrações e à punição dos responsáveis, mediante aplicação das sanções administrativas previstas na LGPD.
O novo regulamento, uma das normas mais aguardadas desde a entrada em vigor da <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>, vem para fortalecer a atuação repressiva da ANPD ao determinar dosimetrias para a valoração de multas em caso de infração, bem como estabelecer critérios mais objetivos para gradação das violações. Para relembrar, a LGPD estabeleceu diversos tipos de sanção, tais como advertência, multas simples e diária, publicização da infração, bloqueio e eliminação de dados pessoais, e suspensão parcial do funcionamento do banco de dados, além de suspensão do exercício da atividade de tratamento e proibição, total ou parcial, do exercício de atividades do tratamento de dados pessoais. 
Contudo, embora o regulamento estabeleça definições, condições e métodos para conferir clareza aos agentes de tratamento quanto à aplicação das sanções administrativas, de modo a complementar a regulamentação relativa às atividades repressivas da ANPD, determinadas disposições suscitaram dúvidas e debate após a publicação. 
A primeira diz respeito à possibilidade de a ANPD, nos termos do artigo 27, afastar a metodologia de dosimetria de sanção de multa ou substituir a aplicação de sanção por outra constante no regulamento, nos casos em que for constatado prejuízo à proporcionalidade entre a gravidade da infração e a intensidade da sanção.
Ainda que o parágrafo único do dispositivo determine elementos para reduzir a subjetividade dessa flexibilização, como a exigência de decisão fundamentada e motivada, demonstração da desproporcionalidade constatada na aplicação da metodologia e o interesse público, comenta-se que o manejo dessa competência pela ANPD poderia trazer risco e insegurança jurídica aos agentes de tratamento. Não é como vemos a questão. 
Em nossa análise, a ANPD não poderia, em hipótese alguma, afastar a dosimetria do regulamento por entender que sua aplicação traria um resultado mais benéfico ao agente de tratamento do que aquele que o agente seria merecedor. Ou seja, o afastamento da dosimetria não pode levar a um resultado mais gravoso ao agente. Repita-se: em hipótese alguma.
Posição contrária seria outorgar à ANPD um cheque em branco, para que essa, a seu talante, escolhesse aplicar ou afastar a dosimetria aprovada em regulamento. Seria uma competência discricionária que não se alinha ao devido processo legal e o princípio da legalidade. Referida flexibilização no emprego da dosimetria, apenas poderia ocorrer para reduzir as penalidades ao agente e nunca em seu prejuízo. 
Outro ponto que vale destacar na regulamentação é a ausência de critérios quantitativos mais objetivos que pudessem sugerir a conveniência de convolar uma sanção média em grave, quando envolver tratamento de dados pessoais em larga escala, caracterizado quando abranger uma quantidade significativa de titulares considerando, ainda, o volume de dados, duração, frequência e extensão geográfica do tratamento realizado. 
Caberá à ANPD trazer contornos mais objetivos a esses conceitos mais abertos e imprecisos em suas decisões administrativas, mas a ausência de critérios informadores a esses parâmetros já impõe certa apreensão.
Outro assunto que está na ordem do dia refere-se à conceituação do faturamento da empresa infratora (e seu grupo econômico), que será considerado para fins de base de cálculo das multas. O princípio da proporcionalidade reclamaria por uma análise muito criteriosa nessa questão.  
Sabemos que há diversos grupos econômicos brasileiros que são diversificados e que atuam de maneira muito independente. Nesse caso, faria sentido considerar o faturamento integral do grupo econômico, mesmo não havendo qualquer benefício ou conhecimento de causa pelas demais empresas do grupo? Se pensarmos em um incidente de segurança, por exemplo, que possa ter ocorrido em uma pequena subsidiária de um grupo econômico maior. Faria sentido considerar o faturamento do grupo econômico como um todo, sendo a extensão do dano relativamente pequena? Nos parece que a resposta deveria ser negativa a ambas as indagações.
A despeito dos desafios acima analisados, é certo que a conduta do agente perante a infração é critério relevante para a definição da sanção adequada e, no caso de multa, para atenuar ou agravar a valoração dessa penalidade.  
De um lado, a ANPD poderá ponderar a boa-fé e cooperação do agente, a implementação de mecanismos e procedimentos capazes de minimizar os danos, adoção de políticas de boas práticas e governança em matéria de proteção de dados e, ainda, a pronta adoção de medidas corretivas. A documentação dessas práticas é importante tanto para cumprir com o princípio de prestação de contas, quanto para eventualmente demonstrar o compromisso do agente de tratamento no âmbito das atividades de fiscalização e repressão da ANPD e de possível atenuação de multa. De outro, a reincidência específica do infrator poderia justificar um agravamento da sanção.
Em conclusão, com o regulamento aprovado, é provável que a ANPD passe a adotar medidas coercitivas mais contundentes contra violações da LGPD, tornando-se ainda mais urgente a completa adequação dos agentes de tratamento.
<hr />
Autoridade Nacional de Proteção de Dados. “ANPD publica regulamento de aplicação de sanções administrativas”. Disponível em: <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-regulamento-de-dosimetria">https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-regulamento-de-dosimetria</a>     
RESOLUÇÃO CD/ANPD 4, DE 24 DE FEVEREIRO DE 2023, aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Disponível em: <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-4-de-24-de-fevereiro-de-2023-466146077">https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-4-de-24-de-fevereiro-de-2023-466146077</a> 
RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021, aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador no âmbito da Autoridade Nacional de Proteção de Dados. Disponível em: <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-1-de-28-de-outubro-de-2021-355817513">https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-1-de-28-de-outubro-de-2021-355817513</a>

bernard-hermant-IhcSHrZXFs4-unsplash

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Regulamentação possibilita início das sanções previstas na LGPD, mas ainda restam lacunas importantes

Desafios relacionados ao regulamento de dosimetria da ANPD

Regulamentação fortalece atuação fiscalizatória da ANPD e possibilita o início das sanções previstas na LGPD, mas ainda restam lacunas.