Maria Helena Bragaglia

João Luiz Mestrinel Antunes Garcia

Nicollas Mencacci

Tatiana Campello

<a href="https://www.databreachtoday.com/privacy-fines-gdpr-sanctions-last-year-surged-to-3-billion-a-20950?highlight=true">Estudo publicado</a> recentemente na Europa mostra que as sanções por violações ao Regulamento Geral sobre a Proteção de Dados Europeu (GDPR) alcançaram novo recorde em 2022, atingindo o montante global de cerca de € 3 bilhões – aumento de cerca de 50% em comparação ao ano anterior.
Chamam a atenção as notícias de penalidade de € 405 milhões imposta ao Instagram, do Grupo Meta, por <a href="https://www.cnnbrasil.com.br/business/irlanda-multa-instagram-em-405-milhoes-de-euros-por-uso-de-dados-de-criancas/">supostas falhas no tratamento de dados pessoais de menores de idade</a>, e de € 265 milhões ao Facebook, do mesmo grupo, por vazamento de dados de usuários decorrentes de um <a href="https://www.infomoney.com.br/negocios/facebook-e-multado-em-265-milhoes-de-euros-entenda/">ataque hacker</a> em 2021.
A severidade das penalidades também é verificável nos EUA, onde as multas e os acordos por descumprimento das regulações crescem de maneira exponencial, destacando-se o acordo firmado entre a Comissão Federal de Comércio (FTC), o Departamento de Proteção Financeira do Consumidor (CFPB) e a Equifax, uma das maiores empresas de crédito do país. O valor pode chegar a US$ 700 milhões, em decorrência do vazamento de informações de cerca de 150 milhões de clientes, devido a <a href="https://www.ftc.gov/enforcement/refunds/equifax-data-breach-settlement">uma falha em seu banco de dados</a>.
Pela análise dos dados disponíveis na <a href="https://www.enforcementtracker.com/">plataforma Enforcement Tracker</a>, as penalidades poderiam ter sido evitadas com a implementação e o aprimoramento de programas de conformidade eficazes e adequados. Em muitos casos, as falhas se originaram pela falta de clareza quanto às políticas de privacidade, retenção e tratamento de dados, violações ao direito do titular de acessar e obter seus dados armazenados junto à empresa, ineficácia de programas de redundância, monitoramento e de proteção de dados etc.
Essa tendência de crescimento das penalidades aplicadas por violações à proteção de dados pessoais é observada com muita atenção pelas entidades regulatórias, órgãos de proteção ao consumidor e empresas que atuam no Brasil, seja em razão do recrudescimento da atuação das entidades fiscalizatórias no exterior, seja pelos parâmetros e critérios adotados na imposição das sanções.
Nesse contexto, a adaptação das empresas às normas de proteção de dados ganha contornos próprios no Brasil, com a recente publicação do <a href="http://www.planalto.gov.br/ccivil_03/_ato2023-2026/2023/decreto/D11348.htm">Decreto 11.348 de 2023</a>, por meio do qual o presidente da República vinculou a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd">ANPD</a>), órgão federal responsável por fiscalizar a aplicação da Lei Geral de Proteção de Dados Pessoais (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>), ao Ministério da Justiça e Segurança Pública. Agora, cabe ao ministro da pasta o estabelecimento das políticas para o tratamento de dados pessoais.
Se antes a ANPD era vinculada à Secretaria-Geral da Presidência da República em regime especial de autonomia e independência, hoje competirá ao Ministério da Justiça gerir e conduzir a entidade.
O que isso significa? A partir de agora, a ANPD e a Secretaria Nacional do Consumidor (Senacon) ficarão sob a alçada de liderança do mesmo órgão, o Ministério da Justiça. Essa integração já era notável pelo <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-e-senacon-assinam-acordo-de-cooperacao-tecnica">acordo de cooperação técnica</a> firmado entre ANPD e Senacon em 2021, destinado à proteção de dados dos consumidores.
Agora, a integração se intensificou não apenas com o decreto que coloca a ANPD sob a alçada do ministério, mas também pela recente publicação da <a href="https://www.in.gov.br/en/web/dou/-/portaria-conjunta-mjsp/anpd-n-5-de-9-de-fevereiro-de-2023-463862654">Portaria conjunta 5/2023</a>, que trata da colaboração temporária em atividades administrativas a serem prestadas pelo ministério à ANPD, e determina que as atividades de execução orçamentária, financeira, patrimonial, contábil, dentre outras necessárias ao pleno funcionamento da ANPD, serão operacionalizadas pela secretaria-executiva da pasta.
ANPD e Senacon passam a atuar lado a lado e, portanto, a proteção de dados deverá ter impactos mais contundentes junto à proteção dos direitos do consumidor. Podemos presumir que se adotará uma visão colaborativa e interdisciplinar entre os órgãos que compõem o ministério, inclusive para se resguardar a coerência interna da atuação das entidades da pasta.
Obviamente, permanece a condição de autonomia e independência da ANPD, na qualidade de autarquia especial, como órgão central de interpretação da LGPD, especialmente pelo que dispõem os artigos 55-J e 55-K da LGPD, que lhe garantem competência exclusiva para a aplicação das sanções relacionadas à proteção de dados e a prevalência de sua autoridade sobre outras entidades ou órgãos da administração pública. A própria notícia da publicação da portaria conjunta, no <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-e-ministerio-da-justica-e-seguranca-publica-editam-portaria-conjunta">site da ANPD</a>, reforça que a “reorganização administrativa em nada altera a autonomia e a independência da Autoridade conferidas pela LGPD”.
Tanto é que, reforçando a posição central da ANPD na condução dos assuntos relacionados à proteção de dados no Brasil, foi publicada, em 24 de fevereiro de 2023, a <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-4-de-24-de-fevereiro-de-2023-466146077">Resolução CD/ANPD 4</a>, que formaliza a atuação sancionadora da entidade, aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, e regulamenta os parâmetros e critérios para aplicação de multas e sanções administrativas.
É interessante notar que, dentre as penalidades que poderão ser impostas pela ANPD, estão desde advertências para infrações leves e médias sem reincidência específica até a suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração e multa de até R$ 50 milhões.
Essa aguardada regulamentação contou com ampla participação pública e entra em vigor imediatamente, constituindo importante ferramenta de proteção de dados pessoais no país. Não é necessário dizer, de todo modo, que as sanções previstas nesta regulamentação são aplicáveis às infrações à legislação de proteção de dados pessoais no âmbito consumerista.
O que se tem, portanto, é: ao mesmo tempo em que as recentes movimentações institucionais e normativas reafirmam a autonomia da ANPD – seja pelo fortalecimento institucional mediante a portaria conjunta entre ministério e ANPD, seja pela regulamentação das sanções administrativas –, a Autoridade passa a atuar sob o mesmo teto da Senacon. E isso diz muito.
Nesse passo, chamamos a atenção para as empresas revisitarem todos os seus programas não apenas sob a ótica da LGPD, mas substancialmente na lei consumerista naquilo que tange ao direito à informação, especialmente à luz das causas raiz que estão levando a penalizações tão contundentes mundo afora e da recente regulamentação das penalidades pela ANPD.
A bem da verdade, a preocupação dos órgãos do Sistema Nacional de Defesa do Consumidor com a proteção de dados não é novidade, e, em muitos casos, tem sido louvável. Lembre-se da iniciativa do Procon-SP, por exemplo, que divulga uma <a href="https://www.procon.sp.gov.br/wp-content/uploads/2020/12/Cartilha-LGPD-2020_11dez.pdf">cartilha</a> com informações básicas sobre a LGPD e disponibiliza um <a href="https://www.procon.sp.gov.br/vazamento-de-dados-pessoais/">canal próprio</a> para denúncias relacionadas ao mau manejo de dados.
A aproximação institucional e de cooperação entre a ANPD e a Senacon tende a aprofundar tais iniciativas – sempre bem-vindas – de fiscalização e aplicação da LGPD na esfera consumerista. O mercado observa com atenção em que medida as duas entidades, muito além de uma postura educativa e preventiva, passarão a guiar as políticas sancionatórias de aplicação de multas, e qual será o grau de influência, sobre elas, das recentes movimentações penalizadoras do exterior e das recentes alterações normativo-regulatórias em território nacional.
É nessa conjuntura, portanto, que as companhias que atuam no país devem redobrar a atenção para a implementação e a efetivação de políticas de adequado tratamento de dados e de programas de conformidade à LGPD, garantindo-se a segurança da informação e o cumprimento das normas de defesa do consumidor aplicáveis, tudo a se evitar penalidades severas e indesejadas. Quem avisa, amigo é.<a href="#_ftnref1" name="_ftn1"></a><a href="#_ftnref8" name="_ftn8"></a>
<a href="#_ftnref5" name="_ftn5"></a>

ANPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Empresas devem redobrar atenção para políticas de tratamento de dados e de programas de conformidade à LGPD

Impactos da incorporação da ANPD ao Ministério da Justiça sob o viés consumerista

A ANPD passa a atuar sob o mesmo teto da Senacon, no Ministério da Justiça. E isso diz muito.