O Conselho Diretor da Autoridade Nacional de Proteção de Dados através das deliberações tomadas no Circuito Deliberativo nº 02/2023, resolveu aprovar o Regulamento de Dosimetria e Aplicação de Sanções Administrativas.
Publicada na data de ontem (27/02/2023) através da RESOLUÇÃO CD/ANPD Nº 4, DE 24 DE FEVEREIRO DE 2023, o Regulamento estabelece os parâmetros e critérios para aplicação de sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD), bem como as formas e dosimetrias para o cálculo do valor-base das sanções de multa.
O Art. 2º do Regulamento adotou, ainda, algumas definições importantes, tais como:
I – grupo ou conglomerado de empresas: conjunto de empresas de fato ou de direito com personalidades jurídicas próprias, sob direção, controle ou administração de uma pessoa natural ou jurídica ou ainda grupo de pessoas que detêm, isolada ou conjuntamente, poder de controle sobre as demais, desde que demonstrado interesse integrado, efetiva comunhão de interesses e atuação conjunta das empresas dele integrantes;
II – infração: descumprimento de obrigação estabelecida na Lei nº 13.709, de 14 de agosto de 2018 (LGPD), e nos regulamentos expedidos pela ANPD;
III – infração permanente: conduta infrativa que se prolonga no tempo, mediante ação ou omissão do infrator referente ao mesmo dispositivo normativo;
IV – infrator: agente de tratamento que comete infração;
V – medidas corretivas: medidas determinadas pela ANPD com a finalidade de corrigir a infração e reconduzir o infrator à plena conformidade à LGPD e aos regulamentos expedidos pela ANPD, devendo ser aplicadas conjuntamente com a sanção de advertência, nos termos deste Regulamento;
VI – política de boas práticas e de governança: normas e processos internos que assegurem o cumprimento abrangente da legislação de proteção de dados pessoais, estabelecidos e implementados pelo agente de tratamento mediante a adoção de:
a. regras de boas práticas e de governança, nos termos do art. 50, caput e § 1º, da LGPD; ou
b. programa de governança em privacidade, nos termos do § 2º do art. 50 da LGPD;
VII – ramo de atividade empresarial: área de atuação de empresa, grupo ou conglomerado de empresas, conforme definido pela ANPD e verificado no caso concreto, podendo ser comprovada mediante objeto social, código de Classificação Nacional de Atividades Econômicas (CNAE), código de serviço diretamente relacionado, ou instrumentos congêneres;
VIII – reincidência específica: repetição de infração pelo mesmo infrator ao mesmo dispositivo legal ou regulamentar, no período de 5 (cinco) anos, contado do trânsito em julgado do processo administrativo sancionador, até a data do cometimento da nova infração;
IX – reincidência genérica: cometimento de infração pelo mesmo infrator, independentemente do dispositivo legal ou regulamentar, no período de 5(cinco) anos, contado do trânsito em julgado do processo administrativo sancionador até a data do cometimento da nova infração, excluído o disposto no inciso VIII do caput; e
X – trânsito em julgado: atributo de decisão definitiva proferida em processo administrativo sancionador, no âmbito da ANPD, tornando-a imutável e indiscutível dentro do processo em que foi proferida.
Merece destaque as definições previstas nos incisos VIII e IX os quais dispõem sobre a modalidades de reincidências cujos efeitos irão refletir sobre a aplicação das penas. Portanto, vale a atenção de que as penas poderão ter diferentes circunstancias, podendo ser compreendidas, nos termos do Regulamento, como de natureza:
I – leve
II – média; ou
III – grave
E, cujos efeitos refletirão quando da aplicação e dosagem das penas, a exemplo da pena de advertência prevista no Art. 9º do Regulamento e que será aplicada quando: I – a infração for leve ou média e não caracterizar reincidência específica; ou II – houver necessidade de imposição de medidas corretivas.
No geral, dentre as sanções administrativas previstas estão:
I – multa simples e multa diária;
II – bloqueio de dados pessoais;
III – eliminação de dados pessoais;
IV – suspensão parcial do funcionamento do banco de dados;
V – suspensão do exercício de atividade de tratamento dos dados pessoais;
VI – proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados;
É sempre bom ter em mente que a aplicação de uma sanção administrativa não exclui eventuais sanções de natureza civil como reparação de danos e, criminal para os casos em que ficar comprovado dolo ou culpa provenientes de ações delituosas que possam ter motivada a infração administrativa, seja por ato próprio ou de terceiro.
Por fim, e não menos importante o fato de que a Resolução CD/ANPD Nº 4, de 24 de fevereiro de 2023 alterou os artigos 32, 55 e 62 da Resolução CD/ANPD nº 1, de 28 de outubro de 2021, publicada no Diário Oficial da União de 29 de outubro de 2021.