Em 27.02.2023 a Autoridade Nacional de Proteção de Dados – ANPD editou a Resolução CD/ANPD nº 04/2023, que aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (“Regulamento”).
O Regulamento fixa os parâmetros e critérios para aplicação, pela ANPD, de sanções administrativas pecuniárias e não pecuniárias no julgamento de infrações administrativas de sua competência, bem como estabelece as formas e dosimetrias para o cálculo do valor-base das sanções de multa.
Com a edição do Regulamento, agentes de tratamento de dados que descumprirem obrigações previstas na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) ou na regulamentação editada pela ANPD estarão sujeitos às sanções administrativas estabelecidas no Regulamento.
O Regulamento tem por objetivo assegurar proporcionalidade entre a sanção aplicada e a gravidade da conduta do agente, estipulando correspondência entre o tipo de infração cometida e a penalidade imposta. Para tanto, os diversos tipos de infrações são classificadas como grave, média ou leve, da seguinte maneira:
(i) as infrações leves são aquelas que não se enquadram na definição de infrações médias ou graves;
(ii) as infrações médias são aquelas em que o tratamento de dados impede ou limita, de maneira significativa, o exercício de direitos ou a utilização de um serviço, ou ocasiona danos materiais ou morais aos titulares de tais dados; e
(iii) as infrações graves são aquelas em que constituem uma obstrução à atividade de fiscalização ou que, além de estarem presentes os requisitos de uma infração média, também envolvam (iii.1) o tratamento de dados pessoais em larga escala, (iii.2) a obtenção ou pretensão de auferir vantagem econômica pelo infrator em decorrência da infração cometida; (iii.3) o risco à vida dos titulares de dados; (iii.4) o tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; (iii.5) o tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; (ii.6) o tratamento de dados com efeitos discriminatórios ilícitos ou abusivos; ou (ii.7) a adoção sistemática de práticas irregulares pelo infrator.
As penalidades aplicadas pela ANPD poderão consistir em: advertência, multa, publicização da infração, suspensão ou eliminação de dados pessoais de uma determinada base ou a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Tais penalidades serão aplicadas de acordo com as peculiaridades de cada caso e após o exercício de ampla defesa pelo acusado. Na definição das sanções, serão considerados os seguintes critérios e parâmetros: a gravidade e a natureza das infrações e dos direitos pessoais afetados; a boa-fé do infrator; a vantagem auferida ou pretendida pelo infrator; a condição econômica do infrator; a reincidência específica; a reincidência genérica; o grau do dano; a cooperação do infrator; a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a Lei Geral de Proteção de Dados Pessoais – LGPD; a adoção de política de boas práticas e governança; a pronta adoção de medidas corretivas; e a proporcionalidade entre a gravidade da falta e a intensidade da sanção.
O Regulamento entrou em vigor na data de sua publicação.
Maiores informações, bem como a íntegra do Regulamento, podem ser encontradas no site da ANPD (www.gov.br/anpd/pt-br).
