Ana Paula Ávila

A <a href="https://www.jota.info/tudo-sobre/anpd">Autoridade Nacional de Proteção de Dados (ANPD)</a>, órgão competente pela fiscalização da <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei Geral de Proteção de Dados</a> (LGPD) no Brasil, começa - com certo atraso - a mostrar a que veio. Desde que foi divulgada a lista com os primeiros processos administrativos sancionadores (PAS) em março de 2023, alguns já foram concluídos e resultaram em sanções impostas tanto ao setor privado como ao público. Se elas não chegaram a impressionar, um exame mais detido dos dois primeiros processos mostrará que, ao contrário, deveriam preocupar os agentes econômicos controladores de dados pessoais.
<h3><a href="https://www.jota.info/produtos/poder%20?utm_source=cta-site&amp;utm_medium=site&amp;utm_campaign=campanha_poder_q2&amp;utm_id=cta_texto_poder_q2_2023&amp;utm_term=cta_texto_poder&amp;utm_term=cta_texto_poder_meio_materias">Tenha acesso ao JOTA PRO Poder, uma plataforma de monitoramento político com informações de bastidores que oferece mais transparência e previsibilidade para empresas. Conheça!</a></h3>
A primeira sanção foi aplicada contra a empresa Telekall Infoservice (PAS nº 00261.000040/2021-13), uma microempresa que ofertava de listagens de contatos de WhatsApp para disparo de mensagens. A empresa tratava números de telefone (dado pessoal) para o envio de mensagens, inclusive para campanhas eleitorais, e constam nos autos incidente de vazamento e comercialização indevida dos dados. Em sua defesa, a empresa limitou-se a informar que seus serviços de marketing digital haviam sido encerrados temporariamente para fins de adequação à LGPD. O auto de infração computou as seguintes ofensas: (a) ausência de base legal para tratamento dos dados (arts. 7º e 11 da LGPD); (b) ausência de registro das operações de tratamento de dados pessoais (art. 37 da LGPD); (c) falta de indicação de Encarregado (violação ao art. 41 da LGPD); além da (d) omissão em atender às requisições da ANPD (violação do art. 5º do Regulamento nº 1/2021 da ANPD).
A condenação considerou apenas as violações dos arts. 7º e 41 da LGPD e do art. 5º do Regulamento nº 1, aplicando a pena de advertência para a falta de indicação de Encarregado, mais duas multas no patamar legal máximo, equivalente a 2% do faturamento da empresa, uma para a ofensa ao art. 7º da LGPD e outra pela ofensa ao art. 5º do Regulamento nº 1 da ANPD. O valor de cada multa foi de R$ 7.200,00, totalizando R$ 14.400,00 (quatorze mil e quatrocentos reais).
O valor parece desprezível se comparado com as multas aplicadas pela autoridade da União Europeia, que podem chegar à casa do bilhão pelas violações à GDPR, mas deveria chamar a atenção por sinalizar, primeiramente, a disposição da ANPD em fiscalizar e punir independentemente do porte da empresa infratora, já que aplicada a microempresário. Em segundo lugar, o valor da multa imposta de R$ 14.400,00 só na aparência é muito baixo, pois o total das duas multas perfaz 4% do faturamento bruto do controlador. Note-se que, em função do enquadramento como microempresa, a base para o cálculo da multa foi presumida em R$ 360 mil (teto de receita bruta para a tributação nessa faixa) e a multa foi aplicada no percentual máximo permitido de 2% sobre o faturamento bruto no último exercício, pois utilizando outros racionais do Regulamento de Dosimetria este teto seria extrapolado. O mais interessante, contudo, é que a pena de multa foi aplicada duas vezes, definindo a interpretação da parte final do art. 52, inc. II, da LGPD, qual seja: cabe uma multa simples de até 2% do faturamento bruto para cada infração da lei. O teto legal para as multas, segundo a norma, é de 50 milhões de reais. Fosse considerada a ausência do ROPA e do RIP, a penalidade legal abstrata de 2% por infração poderia chegar em 8% do faturamento bruto da microempresa. Não é pouco.
<h3><a href="https://whatsapp.com/channel/0029VaFvFd73rZZflK7yGD0I">Inscreva-se no canal de notícias do JOTA no WhatsApp e fique por dentro das principais discussões do país!</a></h3>
A segunda sanção, aplicada ao IAMSPE (Instituto de Assistência ao Servidor Público Estadual de São Paulo), foi também rigorosa por diferentes motivos. Este caso resultou em sanções de advertência ao órgão público por violações aos arts. 49 (dever de garantir a segurança dos dados) e 48 da LGPD (dever de comunicar à ANPD e aos titulares os incidentes com dados pessoais que possam causar risco ou dano). Segundo consta no Relatório de Instrução (PAS nº 00261.001969/2022-41), o processo foi instaurado a partir de denúncia originada de usuário externo (whistleblower), apontando vulnerabilidades no sistema do IAMSPE que expuseram indevidamente dados pessoais como CPF, nome, RG, endereço, telefone, salário, bem como imagens de documentos como CNH, RG e comprovante de residência. Somente dois meses após a denúncia é que o IAMSPE reportou à ANPD o incidente com dados pessoais, fazendo a comunicação (considerada incompleta) aos titulares três meses após a ciência do incidente – sendo por isso enquadradas as infrações ao art. 48.
A infração ao art. 49 (dever de segurança) ficou por conta da demonstração de que o sistema não contava com os controles de segurança adequados e nem mantinha o registro dos acessos (logs). O resultado foi advertência cumulada com imposição de medidas corretivas: determinação de nova comunicação completa aos titulares e implementação de planos de proteção de dados.
Se a sanção parece branda, chamo a atenção em três aspectos. Primeiro, a decisão deixa bem claro que a sanção cabível para a infração ao dever de segurança (art. 49) é a imposição de multa, a qual foi afastada no caso apenas porque os arts. 52, § 3º, da LGPD e 3º, §5º, da Resolução nº 4/23 impedem que os órgãos públicos sejam multados. Disso se infere: em falhas de segurança para agentes privados, a multa seria certa.
Em segundo lugar, a fundamentação da dosimetria fixou que a falta de comunicação do incidente aos titulares pode, per se, afetar significativamente os seus interesses e direitos fundamentais, tolhendo os titulares de controlarem os seus dados e deixando-os vulneráveis a danos por desconhecerem que seus dados foram expostos. Com isso, ficou assentado que deixar de comunicar um incidente aos titulares é, já na largada, uma infração qualificada como média (§2º do art. 8º da Resolução nº. 4). No caso, destacou-se ainda que foram afetados dados de mais de 1,4 milhão de titulares de dados, incluindo crianças e adolescentes, escalando a infração para grave (alínea “d” do §3º do art. 8º). A sanção necessariamente seria mais grave que a advertência, se fosse privado o controlador – e aí voltamos à ratio empregada nas multas à Telekall.
Em terceiro, temos a participação do “whistleblower”. Incidentes de segurança são muito comuns e os controladores fazem de tudo para que o incidente não seja comunicado. Cabe notar que, mesmo sem agravantes como o tratamento em larga escala ou manejo de dados de vulneráveis, a omissão em comunicar o incidente pode ser enquadrada como infração grave se configurar obstrução à atividade de fiscalização (Resolução nº4, art. 8º, §3º, inc. II). No mínimo, o caso IAMSPE mostra que as falhas de segurança têm grande chance de vir à tona por meio de terceiros, causando danos que, para além das sanções da ANPD, atingem em cheio a reputação da organização junto ao mercado.
Por fim, os outros três casos concluídos também envolviam órgão públicos e por isso não resultaram em multas, mas chama particular atenção o caso do INSS, em que foi aplicada a primeira sanção de publicização da decisão, noticiando incidente de segurança com volume expressivo de dados de titulares, incluindo dados financeiros e de saúde, sem que aqueles tenham sido comunicados (Despacho Decisório 1/2024). É lamentável que a ANPD conte com poucos recursos e não dê andamento à maior parte das denúncias e comunicações de incidentes que lá chegam. Mas quanto à severidade dos processos concluídos, que não fiquem dúvidas: tanto as multas do caso Telekall quanto as advertências ao IAMSPE e INSS mostram que a ANPD, quando agir, exercerá o rigor que dela se espera. Se as primeiras sanções impostas não impressionam o mercado, é porque ainda não foram bem entendidas.

lgpd anpd 8 2 24

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Se as primeiras sanções impostas não impressionam o mercado, é porque ainda não foram bem entendidas

Primeiras sanções por violações à LGPD indicam que ANPD multou pouco, mas com rigor

Se as primeiras sanções por violação da LGPD impostas não impressionam o mercado, é porque ainda não foram bem entendidas