Opinião e Análise

Marcela Mattiuzzo

Nathalie Fragoso

Tendo aprovado seu Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, através da Resolução CD/ANPD nº 1/2021, há quase um ano, a <a href="https://www.jota.info/opiniao-e-analise/artigos/lgpd-e-anpd-saiba-o-que-sao-e-entenda-as-diferencas-entre-a-lei-e-o-orgao-13042022">ANPD</a> deu mais um passo no que compreende ser o estabelecimento das premissas da sua atuação sancionatória. Até o dia 15 de setembro, esteve aberta à consulta pública a minuta de resolução que estabelece o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Vale ressaltar que, segundo a ANPD, mais de 2.000 contribuições foram recebidas, número recorde para a autoridade.
O regulamento apresentado ao debate público trata de uma metodologia para aplicação das sanções previstas na <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>, estabelecendo parâmetros, critérios e métodos para o cálculo do valor base das sanções pecuniárias. Considerando a natureza de norma geral da LGPD, que não chega a disciplinar essas questões, o esforço busca conferir previsibilidade ao exercício da função “punitiva” da Autoridade, que existe ao lado e em reforço da normativa, deliberativa, educativa, preventiva. O regulamento tem 29 artigos distribuídos em três capítulos. O primeiro capítulo trata de definições relevantes. O segundo capítulo abrange as sanções e as hipóteses de sua aplicação. O terceiro, das disposições finais. Segue-se um anexo sobre o cálculo da multa simples.
A opção da ANPD por um modelo baseado em valoração, em detrimento de um modelo baseado em tipos, que enuncia infrações e atribui sanções correspondentes, implica desafios importantes. A ANPD e seus integrantes, como os demais agentes públicos, têm sua atividade condicionada a razões exteriores de legitimação, isto é, às normas constitucionais, administrativas, e de proteção de dados pessoais. A maior flexibilidade conferida por um modelo baseado em valoração, também tende comprometer a previsibilidade e implicar um maior ônus argumentativo e esforço institucional no exercício da respectiva competência e na demonstração de conformidade com tais parâmetros normativos – dos quais, é bom dizer, a ANPD não é a única intérprete.
No contexto de proteção de dados, esta empreitada encontra um desafio fundacional, a própria noção de infração. Como são, em regra, as sanções, também em matéria de proteção de dados pessoais a punição é a consequência jurídica de uma conduta omissiva ou comissiva proscrita pelo ordenamento. A LGPD, no entanto, estabelece normas prescritivas ou impositivas – i.e., enuncia hipóteses de incidência a partir da prescrição de condutas lícitas –, e não sancionatórias – i.e., hipóteses de incidência que representam fatos ilícitos, junto a consequências punitivas. Neste quadro, não há clareza exaustiva sobre o que constitui uma infração nos termos da LGPD.
Parece simples supor que a violação de uma obrigação claramente atribuída a um agente seja considerada uma infração, mas, é bom lembrar, a norma não é explícita nesse sentido. É possível imaginar questões suja resposta é ainda mais difícil de antecipar: Será um incidente de segurança, previsto no art. 48, uma infração? Há hipóteses em que esse não será o caso? Se sim, quais? Nada disso está claro ainda. O regulamento, como dito, não endereça tais questões e o processo administrativo sancionador não foi efetivamente implementado pela autoridade, de modo que não parâmetros decisórios colocados.
É um dilema de causalidade: como ainda não há regras de dosimetria, a ANPD não deu início à fiscalização; como não há fiscalização, tampouco há clareza sobre o que a autoridade considerará uma conduta infrativa; sem clareza sobre as condutas que constituem infrações, a interpretação da norma e a operacionalização da dosimetria ficam prejudicadas.
Outra dificuldade está associada aos elementos a serem considerados em cada uma das fases da dosimetria, ou seja, na estipulação da sanção adequada ao ato ilícito ou infração em avaliação. Tomamos aqui como referência uma lição do direito penal. Seguindo a vedação de bis in idem, princípio reconhecido pelo sistema normativo e jurisprudência nacionais, é vedada a duplicidade de condenações pelo mesmo fato, assim como a consideração de um mesmo elemento em mais de uma fase da fixação da pena. Por exemplo, se um fato ou circunstância constitui elementar do tipo, não pode ser considerado na fixação da pena-base, incrementando a punição ao agente; se o cometimento de uma infração associativa estiver previsto num tipo específico em que o número de agentes seja elementar, não estará caracterizado o adicionalmente o crime de associação criminosa.
Pois bem, no cálculo do valor base da multa simples, os seguintes aspectos devem ser considerados, segundo a proposta colocada em consulta: (i) a classificação da gravidade da infração; (ii) o faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil referente ao último exercício anterior disponível ao da aplicação da sanção, excluídos os tributos; (iii) o grau do dano, de acordo com o Anexo I (art. 12).
O faturamento, no entanto, é considerado como referência a partir da qual se calculará o percentual na determinação da alíquota-base, como elemento na determinação do valor-base, e na adequação aos limites máximos da multa. Embora seja razoável que a proporcionalidade também tenha por referência características do agente, a consideração redundante deste elemento implica em si uma sanção, não referida à infração, mas ao tamanho do agente – e mais arriscado, do grupo ou conglomerado, o que pode inclusive representar riscos a investimentos em empresas pequenas e em desenvolvimento. E este não é objeto regulatório da ANPD.
Também é o caso da vantagem auferida. Ela está presente entre os critérios e parâmetros de definição da sanção (art. 7º, III), entre os elementos de classificação da gravidade das infrações (art. 8º, § 3º, I, a), e na definição do limite mínimo do valor da multa simples. Isto é, importa, na fase 1, na determinação da alíquota-base que decorre da classificação da gravidade da infração, e, na fase 4, na adequação aos limites mínimo e máximo da multa. O <a href="https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2022-06-30___air_reg_dosimetria_.pdf">estudo de impacto regulatório</a>, inclusive, indica que, nas hipóteses de infração em que o agente pretende obter ou obtém vantagem, haveria um maior incentivo ao descumprimento das leis, ao qual a autoridade deve ser capaz responder, agravando sanção. Por essa razão, a existência e o montante da vantagem auferida ou pretendida deveriam ser utilizados tanto como critério quanto como parâmetro sancionatório.
Há aqui dois problemas centrais. Um é um velho conhecido, muito debatido em diversas outras esferas, i.e., a dificuldade em calcular a vantagem auferida. As discussões sobre o assunto são longevas e a sua definição é particularmente desafiadora, envolvendo frequentemente modelos econométricos robustos – e, naturalmente, altamente contestáveis.
O outro é talvez mais particular à esfera da proteção de dados. Diferentemente do que acontece em outras searas, e talvez o exemplo mais relevante aqui seja a defesa da concorrência, mesmo a constatação da existência de uma vantagem pode representar dificuldades. No caso de um cartel, é razoavelmente lógico dizer que existe alguma vantagem obtida pelo agente econômico infrator. Se o valor do produto ofertado no mercado passar a ser maior que o valor praticado na ausência do cartel, há um referencial possível de ser adotado para o cálculo (ainda que, cabe observar, permaneça complexo estabelecer esse contrafactual e estimar qual teria sido o preço praticado na ausência da conduta).
Quando falamos em infrações à LGPD, no entanto, não necessariamente conseguimos visualizar esse tipo de referência. Nem sempre estarão em questão direitos ou interesses de conteúdo patrimonial. No caso do incidente de segurança, novamente, por definição não haverá vantagem auferida, já que o agente de tratamento é ele mesmo a vítima e tem recursos organizacionais, financeiros e reputacionais comprometidos.
Finalmente, pode-se dizer que a atribuição de sanções nas diferentes searas depende da reconstituição do fato infracional previsto na norma – o que consideramos, de partida, um desafio conceitual a superar –, em contradição com o ordenamento jurídico. O regulamento, claro, é ponto de partida, mas antecipa-se um percurso de endereçamento destas questões, como sói ser, quando da criação e amadurecimento de novas instituições. Como é natural que ocorra, o processo de criação e consolidação de uma política pública e de sua autoridade administrativa é complexo. No caso da proteção de dados pessoais, não é diferente. São diversas prioridades a serem balanceadas, recursos escassos, desafios múltiplos que vão desde a estrutura física da autoridade até a aplicação da própria lei.
O Regulamento de Dosimetria e Aplicação de Sanções Administrativas apresentado à consulta pública certamente tem como objetivo conferir maior segurança jurídica aos administrados e também parâmetros de atuação para que a própria ANPD possa seguir adiante e iniciar seu processo fiscalizatório. O que nos parece essencial é que, reconhecendo a dificuldade em, de antemão visualizar todos os possíveis dilemas que se apresentarão em concreto – alguns dos quais buscamos aqui antecipar, por nos parecerem particularmente prováveis – a autoridade esteja disposta e aberta a atualizar seus entendimentos e, fazendo uso da prerrogativa a ela conferida de regulamentar o tema, evoluir em sua disciplina, aprendendo com erros e acertos. Nesse contexto, oferecer condições procedimentais para alcançar resultados robustos, como oportunidades efetivas para o contraditório e a defesa na reconstituição do fato infracional, por exemplo, contribuem para a consolidação da autoridade da ANPD e redução do risco de judicialização de suas decisões.
Foi dada a largada, começa a maratona.

markus-spiske-FXFz-sW0uwo-unsplash

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Comentários ao Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD

Sanciono, logo existo

Comentários ao Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD (Autoridade Nacional de Proteção de Dados)