Felipe Schvartzman

A proteção de dados pessoais e o direito administrativo atravessam duas revoluções simultâneas no Brasil. A primeira abrange o recente início da vigência da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais ou LGPD) aliado à criação da Autoridade Nacional de Proteção de Dados (ANPD), que já havia sido aprovada pela Lei nº 13.853/2019, mas teve sua estrutura disciplinada somente com o Decreto nº 10.474/2020 – iniciativas que fortalecem o desenvolvimento da cultura de proteção de dados no país.
A segunda permeia a construção da identidade e de uma principiologia própria do direito administrativo sancionador, que vem ganhando novas reflexões em torno de sua autonomia conceitual, sem importações automáticas do direito penal, com vistas a delimitar as balizas de sua própria disciplina<a href="#_ftn1" name="_ftnref1">[1]</a>.
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>A responsabilização dos agentes de tratamento de dados pessoais é considerada um dos eixos da LGPD<a href="#_ftn2" name="_ftnref2">[2]</a>, mas intensas discussões têm despontado a respeito do regime de responsabilização (judicial e administrativa) que teria sido reservado aos agentes de tratamento em caso de descumprimento da Lei nº 13.709/2018.
Desde a edição da LGPD, o tema da responsabilidade civil adotada na lei – se subjetiva ou objetiva – parece atrair maior atenção em comparação com o regime de responsabilização administrativa, o que é compreensível por duas razões principais: (i) o Poder Judiciário será a primeira via para os titulares de dados reivindicarem seus direitos, ao menos enquanto a ANPD ainda não for operacional; (ii) e o capítulo da LGPD relativo às sanções administrativas (arts. 52 a 54) só terá vigência a partir de 1º de agosto de 2021 (art. 65, I-A), diferentemente do restante da Lei nº 13.709/2018, que já é passível de tutela judicial desde logo.
Ocorre que, além da aplicação da LGPD em juízo, a responsabilização administrativa a cargo da ANPD também é um elemento central no marco regulatório desenhado pela Lei nº 13.709/2018, e demanda igualmente um conjunto de reflexões autônomas.
Isso porque o texto da LGPD, mesmo elencando as sanções administrativas cabíveis, ainda contém omissões a serem integradas e contradições a serem sanadas – nem sempre solucionadas exclusivamente com a regulamentação da ANPD –, e que impactam diretamente o exercício do poder punitivo por parte da Administração Pública.
A fiscalização da LGPD pela ANPD, como se sabe, não se limita à aplicação de sanções – e as penalidades tampouco se resumem às multas. Uma fiscalização eficiente da LGPD se completa com a regulamentação da lei e a edição de orientações para os agentes de tratamento (controladores e operadores) saberem como cumpri-la.
Nesse sentido, o Diretor-Presidente da ANPD, Waldemar Gonçalves Ortunho Junior, declarou em sua sabatina no Senado Federal que "a ANPD deve favorecer o engajamento construtivo com organizações responsáveis, focando em recompensar o comportamento adequado, ensinar, discutir e engajar os atores, usando punições somente como última alternativa"<a href="#_ftn3" name="_ftnref3">[3]</a>.
Mas chegará o momento em que processos administrativos sancionadores tramitarão na ANPD. Na falta de um regramento específico para o processo administrativo da ANPD, as penalidades devem ser aplicadas em atenção ao procedimento previsto na Lei nº 9.784/99 para a Administração Pública Federal – cujas regras se aplicam subsidiariamente inclusive a processos administrativos disciplinados em lei própria (art. 69) –, mas ainda cabe à ANPD editar “regulamento próprio sobre sanções administrativas a infrações” à LGPD (art. 53, caput).
Entre as sanções administrativas cabíveis, a LGPD prevê que infrações à lei estão sujeitas à sanção pecuniária nos seguintes termos:
Art. 52, II - multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
(...)
§ 4º No cálculo do valor da multa de que trata o inciso II do caput deste artigo, a autoridade nacional poderá considerar o faturamento total da empresa ou grupo de empresas, quando não dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infração, definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou não for demonstrado de forma inequívoca e idônea.
O cálculo da multa simples prevista na LGPD adotou técnica legislativa semelhante às multas do GDPR, conjugando dois limites máximos diferentes, sendo um deles em valor absoluto (R$ 50 milhões) e o outro um teto percentual (até 2% do faturamento)<a href="#_ftn4" name="_ftnref4">[4]</a>.
No Brasil, o cômputo da multa simples por infração à LGPD está limitado ao patamar percentual máximo de 2%, mas este é limitado a um subteto no valor absoluto de R$ 50 milhões – valor que, por sua vez, corresponde à multa máxima fixada na Lei Geral de Telecomunicações (Lei nº 9.472/97, art. 179) e na Lei de Crimes Ambientais (Lei nº 9.605/98, art. 75).
Dessa forma, empresas, grupos ou conglomerados com faturamento superior a R$ 2.5 bilhões ficam igualmente sujeitas ao limite máximo de R$ 50 milhões por infração, independentemente do seu faturamento<a href="#_ftn5" name="_ftnref5">[5]</a>.
<blockquote class="jota-article__eye">Para o processo administrativo sancionador resultar em sanções pecuniárias na ANPD, vislumbram-se (pelo menos) quatro desafios iniciais para a Autoridade aplicar multas validamente.</blockquote>
Em primeiro lugar, a simples circunstância de os dispositivos referentes às sanções administrativas (arts. 52 a 54 da LGPD) entrarem em vigor no dia 1º de agosto de 2021 (art. 65, I-A), por si, não autoriza a aplicação imediata da penalidade a partir daquela data, caso a ANPD, antes disso, não tenha regulamentado a dosimetria e o valor-base das multas
Naturalmente, os parâmetros que já estão previstos como critérios agravantes e atenuantes da LGPD, nos incisos do §1º do art. 52, são relevantes e contribuem para, dentro de um cardápio de possíveis penalidades graduais, eleger uma ou outra sanção potencialmente aplicável, bem como concluir por sua imposição de forma isolada ou cumulativa com outras sanções.
Nada disso, porém, se confunde com o regulamento a ser editado pela ANPD, cuja metodologia permitirá aos agentes de tratamento conhecerem o valor-base das multas. Só assim haverá efetiva “indicação dos fatos e dos fundamentos jurídicos” que motivaram eventual sanção imposta pela ANPD, como exige o art. 50 da Lei nº 9.784/99, de modo a permitir a ampla defesa do controlador de dados apenado.
Assim, as sanções pecuniárias só poderão ser aplicadas a partir de 1º de agosto de 2021, caso a ANPD, uma vez constituída e operante, já tenha submetido o regulamento das sanções administrativas à prévia consulta pública e aprovado “objetivamente as formas e dosimetrias para o cálculo do valor-base das sanções de multa, que deverão conter fundamentação detalhada de todos os seus elementos, demonstrando a observância dos critérios” previstos na LGPD (art. 53, §1º).
Como a edição do regulamento foi priorizada dentro da Fase 1 da Agenda Regulatória da ANPD, prevista para o primeiro semestre de 2021<a href="#_ftn6" name="_ftnref6">[6]</a>, espera-se que a dosimetria das sanções administrativas já esteja aprovada quando o cabimento das penalidades estiver vigente. No entanto, trata-se de uma previsão para o início do processo regulatório, e não necessariamente para aprovação das regulamentações.
Em segundo lugar, a multa simples adota como base de cálculo o “faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil”. Como o conceito de agentes de tratamento de dados abrange tanto pessoas jurídicas como naturais, pergunta-se como as pessoas físicas – sem faturamento – seriam sancionadas (e.g., se não forem empresários individuais), ou mesmo quando os agentes de tratamento forem pessoas jurídicas com receitas estranhas à noção de faturamento (e.g., as doações, cotas do Fundo Partidário e demais arrecadações de partidos políticos não são compreendidos exatamente como “faturamento” na legislação eleitoral).
Embora a LGPD não pareça ter pretendido ressalvar esses agentes da aplicação de sanções pecuniárias – pois somente entidades e órgãos públicos foram expressamente excepcionados no art. 52, §3º –, eventual multa imposta a pessoas naturais ou a pessoas jurídicas sem faturamento será campo fértil para questionamentos e judicialização.
Tendo em vista a incidência dos princípios da legalidade e da tipicidade em matéria de direito administrativo sancionador, a indefinição acerca da base de cálculo das multas para pessoas naturais também impede a aplicação de sanções por analogia, consoante a jurisprudência do STJ<a href="#_ftn7" name="_ftnref7">[7]</a>.
Em terceiro lugar, a base de cálculo da multa é delineada a partir do “faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício”. A LGPD não confirma, porém, se deve ser considerado o último exercício antes da infração ou da instauração do processo administrativo, tal como ocorre na Lei Anticorrupção (art. 6º, I) e na Lei de Defesa da Concorrência (art. 37, I).
Como a sanção pecuniária deve recair sobre a capacidade de pagamento da pessoa jurídica, de modo a refletir a “condição econômica do infrator” (LGPD, art. 52, §1º, IV), justifica-se a adoção da receita mais recente e próxima da aplicação da pena – i.e., o último exercício antes da instauração do processo administrativo, e não da infração.
Por fim, e em quarto lugar, o art. 52, §4º, da LGPD reproduziu redação praticamente idêntica à do art. 37, §2º, da Lei de Defesa da Concorrência, substituindo apenas as autoridades em questão (a menção ao Cade pela ANPD).
Admitiu-se, assim, que o cálculo da multa considere “o faturamento total da empresa ou grupo de empresas, quando não dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infração, definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou não for demonstrado de forma inequívoca e idônea”.
Ocorre que, apesar da redação coincidente dos dispositivos, a lógica subjacente ao Sistema Brasileiro de Defesa da Concorrência não se verifica na LGPD. Na Lei nº 12.529/2011, sim, há previsão expressa de solidariedade entre a empresa infratora e o seu grupo empresarial, mas a LGPD não contém previsão nesse sentido.
Ao longo da tramitação do PL 4060/2012, que resultou na aprovação da LGPD, a responsabilidade solidária até chegou a ser aventada no curso do processo legislativo.
Na Câmara dos Deputados, sob a relatoria do Deputado Orlando Silva, houve o seguinte registro em parecer acenando para a responsabilização solidária entre empresas do mesmo grupo: “lembramos a necessidade de se incluir em atenção expressa a grupos ou conglomerados, pois, à semelhança da citada Lei de Concorrência (o Cade da nova Lei nº 12.529/11), é importante prever a cobrança de multas de corporações, se existirem, em caso de impossibilidade de se atingir financeiramente a empresa que realizou a infração”<a href="#_ftn8" name="_ftnref8">[8]</a>,
No entanto, a Lei de Defesa da Concorrência prevê expressamente, em seu art. 33, que “[s]erão solidariamente responsáveis as empresas ou entidades integrantes de grupo econômico, de fato ou de direito, quando pelo menos uma delas praticar infração à ordem econômica”.
Se os legisladores, em algum momento, pretenderam estabelecer responsabilidade solidária entre pessoas jurídicas do mesmo grupo empresarial na sistemática da LGPD, é certo que essa intenção não foi refletida no texto aprovado e vigente da Lei nº 13.709/2018, que nada diz a esse respeito.
Assim, como “[a] solidariedade não se presume; resulta da lei ou da vontade das partes” (Código Civil, art. 265), não pode haver solidariedade, na LGPD, entre pessoas jurídicas que integram o mesmo grupo empresarial.
O que pode haver, nos termos do §4º do art. 52, é a inclusão do faturamento do grupo de empresas para fins de base de cálculo da multa, observados os requisitos específicos do dispositivo em questão, mas a empresa tida como infratora, somente ela, é quem deve integrar o processo administrativo sancionador.
A possibilidade de se extrapolar o faturamento de determinada pessoa jurídica para o cômputo da sanção patrimonial não pode ser lida como uma autorização para outras empresas do mesmo grupo, que não a suposta infratora, serem automaticamente arroladas no processo administrativo sancionador na ANPD, envolvendo-se diretamente na tramitação do feito, como se solidariamente responsáveis fossem.
Além disso, inexistindo solidariedade entre empresas do mesmo grupo empresarial na LGPD, mesmo a regra do §4º do art. 52 é de aplicação questionável, tendo em vista que, por força do princípio da pessoalidade (CF, art. 5º, XLV), a intranscendência subjetiva das sanções impede que uma multa supere a esfera jurídica da pessoa jurídica infratora.
Como se vê, os pontos aqui levantados são apenas quatro desafios que a ANPD deve enfrentar, mas ainda há outros percalços à vista. A chegada do dia 1º de agosto de 2021 inaugura um novo capítulo de questionamentos em torno da LGPD.
A sistemática de penalidades administrativas concebida na LGPD ainda será testada e maturada quando suas regras entrarem em vigor, com respostas que devem conciliar a proteção de dados pessoais com o direito administrativo sancionador.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> As reflexões apresentadas neste artigo, entre outras, são desenvolvidas de forma mais analítica em SCHVARTZMAN, Felipe. Direito administrativo sancionador e ANPD: quando e como punir o descumprimento da LGPD? In: PALHARES, Felipe (coord.). Estudos sobre Proteção de Dados e Privacidade. São Paulo: Editora Thomson Reuters Brasil, 2021 (no prelo).
<a href="#_ftnref2" name="_ftn2">[2]</a> MENDES, Laura Schertel; DONEDA, Danilo. Reflexões iniciais sobre a nova Lei Geral de Proteção de Dados. Revista de Direito do Consumidor, vol. 120/2018, p. 469-483, nov-dez., 2018: “O quinto eixo da Lei é o da responsabilidade dos agentes na hipótese de ocorrência de danos decorrentes do tratamento de dados e está regulado na seção III do Capítulo IV”.
<a href="#_ftnref3" name="_ftn3">[3]</a> Em entrevista ao Jota, o presidente da ANPD também afirmou que, no primeiro momento, o principal foco de atuação da ANPD será a educação, e não a aplicação de multas e sanções contra empresas controladoras de dados pessoais. Disponível em: &lt;<a href="https://www.jota.info/tributos-e-empresas/mercado/cultura-de-dados-presidente-anpd-26012021">https://www.jota.info/tributos-e-empresas/mercado/cultura-de-dados-presidente-anpd-26012021</a>&gt;.
<a href="#_ftnref4" name="_ftn4">[4]</a> Há uma distinção fundamental entre os modelos da LGPD e do GDPR. Segundo as duas faixas do art. 83 do GDPR, as multas podem alcançar €20 milhões ou até 4% do faturamento da empresa (para as infrações mais graves) e €10 milhões ou 2% do faturamento da empresa (para as infrações mais leves) – sendo o limite, para ambas as faixas, aquele que for maior entre os dois, ao passo que a LGPD conta com o subteto de R$ 50 milhões como limite máximo para a multa.
<a href="#_ftnref5" name="_ftn5">[5]</a> ALVES, Fabricio da Mota. Capítulo VIII: Da Fiscalização. In: MALDONADO, Viviane Nóbrega; OPICE BLUM, Renato (coord). LGPD: Lei Geral de Proteção de Dados comentada. São Paulo: Thomson Reuters Brasil, 2019, p. 364: “Dito em outras palavras, agentes de tratamento (grupos ou conglomerados) com faturamento superior a R$ 2,5 bilhões acabaram por ser beneficiadas pelo subteto sancionatório proposto, abrindo uma discussão interessante, pois seria de se supor que entidades com faturamento nessa ordem devam tratar dados pessoais de forma massiva, estando sujeitas a maior risco regulatório em razão do volume de dados sob sua custódia. Nesse sentido, analisando a extensão do valor da penalidade pecuniária da LGPD, em face do quanto previstos em outras leis de setores regulados, observa-se uma menor densidade lesiva para a proteção de dados”.
<a href="#_ftnref6" name="_ftn6">[6]</a> Portaria ANPD nº 11, de 27 de janeiro de 2021, Anexo I.
<a href="#_ftnref7" name="_ftn7">[7]</a> STJ, Primeira Turma, REsp 879.360/SP, Rel. Min. Luiz Fux, j. 17.6.2008, DJe 11.9.2008: “1. O direito administrativo sancionador está adstrito aos princípios da legalidade e da tipicidade, como consectários das garantias constitucionais (Fábio Medina Osório in Direito Administrativo Sancionador, RT, 2000). 2. À luz dos referidos cânones, ressalvadas as hipóteses de aplicação subsidiária textual de leis, a sanção prevista em determinado ordenamento é inaplicável a outra hipótese de incidência, por isso que inacumuláveis as sanções da ação popular com as da ação por ato de improbidade administrativa, mercê da distinção entre a legitimidade ad causam para ambas e o procedimento, fato que inviabiliza, inclusive, a cumulação de pedidos. Precedente da Corte: REsp 704570/SP, Rel. Ministro Francisco Falcão, Rel. p/ Acórdão Ministro Luiz Fux, DJ 04.06.2007. 3. A analogia na seara sancionatória encerra integração da lei in malam partem, além de promiscuir a coexistência das leis especiais, com seus respectivos tipos e sanções”.
<a href="#_ftnref8" name="_ftn8">[8]</a> Parecer do Projeto de Lei nº 4060/2012 proferido no Plenário da Câmara dos Deputados pelo relator da proposição, deputado federal Orlando Silva, em 29.5.2018 (PPP 1 PL406012, p. 41). Disponível em: &lt;<a href="https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2177106">https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2177106</a>&gt;.

pexels-freestocksorg-1083931

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O encontro entre a proteção de dados pessoais e o direito administrativo sancionador

Quatro desafios para a ANPD aplicar multas por descumprimento da LGPD

O encontro entre a proteção de dados pessoais e o direito administrativo sancionador