Ciro Torres Freitas
Publicada em agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD) representa um importante marco no Direito brasileiro. Inspirada no modelo jurídico adotado pela União Europeia, a LGPD estabelece um regime de proteção de dados pessoais robusto, com amplo âmbito de aplicação, criando múltiplas exigências e obrigações para praticamente todas as empresas em atividade no Brasil, sujeitas a sanções administrativas que incluem multa de até R$ 50 milhões.
O que tem chamado a atenção da comunidade jurídica na (até então) curta história da LGPD, no entanto, não é apenas a mudança de paradigmas que ela implica, mas as idas e vindas relativas à(s) sua(s) data(s) de entrada em vigor. Não é exagero chamar a situação de confusa.
Originalmente, a LGPD deveria ter entrado em vigor em fevereiro de 2020, mas, ainda em 2018, houve a prorrogação do início da vigência de praticamente todo o seu texto para agosto de 2020. Em abril deste ano, uma medida provisória adiou novamente a entrada em vigor da LGPD, dessa vez para 3 de maio de 2021.
No último dia 12, mais uma alteração – a terceira desde a publicação da LGPD. Nesse mais recente movimento legislativo, foi adiada para 1º de agosto de 2021 a entrada em vigor apenas dos dispositivos relativos às sanções administrativas aplicáveis em caso de descumprimento da LGPD.
Agora, são três datas distintas: os dispositivos que instituíram a Autoridade Nacional de Proteção de Dados (ANPD) estão em vigor desde 8 de dezembro de 2018; os dispositivos que compõem a parte substancial da LGPD, estabelecendo definições, princípios, direitos dos titulares de dados pessoais e obrigações aplicáveis aos agentes de tratamento, deverão entrar em vigor em 3 de maio de 2021; e os dispositivos que preveem as sanções pela inobservância da LGPD, o respectivo procedimento administrativo, os parâmetros e os critérios para sua aplicação entrarão em vigor em 1º de agosto de 2021.
Mais mudanças poderão ocorrer, já que a atual data de entrada em vigor da parte substancial da LGPD (definições, princípios, direitos, obrigações etc.) foi definida por medida provisória. A depender da conversão ou não dessa medida provisória em lei, a data de entrada em vigor dos respectivos dispositivos poderá ser mantida em 3 de maio de 2021 ou antecipada para agosto de 2020.
Entre tantas incertezas geradas por essas mudanças, um ponto parece se consolidar: os dispositivos legais que preveem as sanções administrativas por descumprimento da LGPD deverão entrar em vigor em momento posterior àqueles que estabelecem as obrigações a serem cumpridas pelos agentes de tratamento de dados pessoais.
E isso traz à tona uma questão relevante: violações ocorridas nesse interregno ficarão sujeitas às sanções administrativas previstas na LGPD, a serem aplicadas quando ela estiver integralmente vigente?
A resposta é não.
Tempus regit actum. Embora exista no plano jurídico, um dispositivo legal não produz efeito normativo no período compreendido entre a publicação da lei que o estabelece e a sua entrada em vigor (vacatio legis). Se uma obrigação legal é violada enquanto o dispositivo legal que define a correspondente sanção administrativa está em vacatio legis, tal consequência jurídica (a penalidade) não pode operar. A violação ocorre num momento em que não existe sanção prevista em lei vigente.
Isso fica ainda mais claro ao se considerar a forma pela qual o princípio da legalidade opera sobre a administração pública, notadamente em relação à sua atividade punitiva. À administração pública é permitido fazer somente o que a lei lhe autoriza. No âmbito da sua atividade punitiva, isso é refletido – entre outras formas – na absoluta impossibilidade de aplicar pena sem prévia capitulação legal. Como corolário do princípio da legalidade, a sanção só pode ser validamente aplicada se estiver disposta em lei vigente ao tempo da infração. Nulla poena sine lege.
Mais: notável doutrina e relevante jurisprudência convergem quanto à incidência dos princípios e normas garantidoras do direito penal à atividade punitiva do Estado em sentido amplo, inclusive ao processo administrativo sancionatório. Isso inclui os mandamentos expressos da Constituição Federal de que a lei penal não retroagirá, salvo para beneficiar o réu, e não haverá pena sem prévia cominação legal – tudo a corroborar a impossibilidade de aplicação das sanções previstas na LGPD sob as condições temporais aqui analisadas.
Essa conclusão independe e não se condiciona à competência do ente que pretender exercer a atividade punitiva. A discussão diz respeito e resolve-se puramente por uma análise da aplicação da lei no tempo. Seja por iniciativa da ANPD ou de outro órgão da administração pública, o óbice à aplicação das sanções administrativas não se modifica.
O ordenamento jurídico brasileiro também não autoriza qualquer tentativa de se aplicar sanção administrativa extraída de outra lei em caso de violação – exclusiva – da LGPD. Essa hipótese igualmente esbarraria na necessária observância do princípio da legalidade e outros procedentes do direito penal, como o da tipicidade.
Claro que isso não representa carta branca para agentes de tratamento de dados pessoais descumprirem as obrigações previstas na LGPD no interregno em questão. A violação de qualquer obrigação legal pode, por óbvio, gerar consequências jurídicas diversas da aplicação de sanções administrativas. E não se pode ignorar a existência de outras leis que também versam sobre a proteção de dados pessoais.
Certo – entre tantas incertezas – é que eventual violação da LGPD antes da entrada em vigor dos seus dispositivos que estabelecem as correspondentes sanções administrativas não poderá resultar, em momento algum, na aplicação de tais penalidades. Admitir o contrário seria desprezar princípios jurídicos elementares e advogar tese incompatível com o Estado democrático de Direito.