Entenda a seguir mais sobre o regulamento de dosimetria e aplicação de sanções administrativas:
Índice
- A. Conceitos gerais relevantes para a dosimetria e aplicação das sanções administrativas
- B. Fatores a serem considerados para definir a sanção
- C. Fatores financeiros e econômicos considerados na valoração da multa
- D. Outros fatores a serem considerados na valoração da multa
- E. Atenuantes na valoração da multa
- F. Metodologia para cálculo da multa simples
- G. Desconsideração do Regulamento
- H. Do procedimento administrativo
- I. Alterações relevantes no Regulamento
- 1) Definição do que constitui um "grupo ou conglomerado de empresas"
- 2) "Tratamento de dados pessoais em larga escala" como hipótese de classificação de infração grave
- 3) Eliminação da "má-fé do infrator" como hipótese de classificação de infração grave
- 4) Eliminação de "risco à integridade física" como hipótese de classificação de infração grave
- 5) Substituição de "roubo de identidade" por "uso indevido de identidade"
- 6) Limitação do exercício de direito ou utilização de serviço
- 7) Substituição de "recursos recebidos" por "recursos auferidos" na definição de faturamento
- J. Conclusão
- Conte com o BMA Advogados!
A. Conceitos gerais relevantes para a dosimetria e aplicação das sanções administrativas
No dia 27 de fevereiro de 2023, foi publicada no Diário Oficial da União a Resolução CD/ANPD nº 4/2023, que aprova o
Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Regulamento).
O Regulamento define as diretrizes para a aplicação de multas e outras sanções administrativas previstas na Lei Geral de Proteção de Dados Pessoais (LGPD) pela Autoridade Nacional de Proteção de Dados (ANPD ou Autoridade).
Vale lembrar que, nos termos do artigo 52 da LGPD, a ANPD pode aplicar as seguintes sanções administrativas:
Advertência: sanção de caráter educativo, que visa a informar o agente de tratamento sobre irregularidades e orientá-lo sobre como se adequar às normas da LGPD.
Multa: a ser aplicada de acordo com os parâmetros e critérios definidos no Regulamento.
Publicização da infração: a infração será publicizada quando for de interesse público geral. É competência da ANPD determinar a forma da publicização, estabelecendo a duração, veículo e conteúdo.
Bloqueio e eliminação de dados pessoais: os dados pessoais tratados de forma irregular podem ser bloqueados ou eliminados, caso a ANPD determine.
Suspensão do exercício da atividade de tratamento de dados pessoais: a suspensão do exercício de determinada atividade de tratamento por um período de até seis meses.
Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados pessoais: proibição, temporária ou definitiva, do exercício de atividades que envolvam o tratamento de dados pessoais.
B. Fatores a serem considerados para definir a sanção
O artigo 7º do Regulamento estabelece critérios e parâmetros que serão utilizados pela ANPD para determinar a sanção, dentre os que estão:
- Gravidade e natureza da infração;
- Grau do dano;
- Vantagem econômica e a condição econômica do agente de tratamento;
- Reincidência do agente de tratamento;
- Cooperação, boa-fé e a adoção de medidas de boas-práticas e de governança pelo agente de tratamento;
- A proporcionalidade entre a gravidade da falta e a intensidade da sanção.
A gravidade da infração é o ponto de partida para a sua classificação, que levará em consideração a sua natureza, a duração da violação, o número de pessoas afetadas e o grau de dano causado.
Nos termos do artigo 8º do Regulamento, a infração é classificada em leve, média e grave, considerando os seguintes critérios:
Grave | - Infração que constituir obstrução à atividade de fiscalização.
- Infração caracterizada como média e que cumular, pelo menos, uma das seguintes situações:
- tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando, ainda, o volume de dados envolvidos, a duração, a frequência e a extensão geográfica do tratamento realizado;
- o infrator pretender ou de fato obter vantagem econômica em decorrência da infração;
- implicar risco à vida dos titulares;
- tratamento de dados pessoais sensíveis, ou de dados pessoais de crianças, de adolescentes ou de idosos;
- tratamento de dados pessoais realizado sem fundamento em uma das hipóteses legais previstas nos artigos 7º e 11 da LGPD;
- tratamento de dados pessoais com efeitos discriminatórios ilícitos ou abusivos; ou
- adoção sistemática de práticas irregulares pelo infrator.
|
Média | Situações em que a atividade de tratamento de dados pode impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço pelos titulares, bem como pode ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras, ou uso indevido de identidade. |
| Leve | Quando não verificada nenhuma das hipóteses citadas acima. |
Percebe-se que a infração de natureza leve tem caráter residual, quando não for observada a existência de nenhum critério que permita classificar a infração como média ou grave. Em geral, considerando a abrangência do conceito adotado para a classificação da infração como média – que inclui aspectos como a possibilidade de a infração ocasionar danos materiais e morais aos titulares, o que, a depender da interpretação, poderia ser aplicado para qualquer caso concreto de violação à
LGPD – raros serão os cenários nos quais a infração será considerada como leve.
C. Fatores financeiros e econômicos considerados na valoração da multa
Além da aplicação da ideia de vantagem econômica como critério para a classificação da gravidade da infração, a ANPD também optou por utilizá-la como parâmetro para fins de aferição do valor de eventual sanção pecuniária a ser imposta ao agente de tratamento. Quando a vantagem econômica for estimável, o valor-base da multa deve representar ao menos o dobro da vantagem auferida ou pretendida pelo infrator, respeitados os limites do inciso II do artigo 52 da LGPD.
Fator adicional também disposto no § 1º do artigo 52 da LGPD é a condição econômica do agente de tratamento. A condição econômica do infrator refere-se à sua capacidade de arcar com o valor da multa. A ANPD avaliará a condição econômica do infrator com base em seu faturamento bruto no exercício anterior à aplicação da sanção (artigo 11, II, do Regulamento). Nesse sentido, para fins de definição de qual será o valor adotado como parâmetro para o cálculo da multa máxima de 2% sobre o faturamento, a data de corte relevante não será a do momento da infração cometida, mas sim da imposição da sanção pela ANPD.
D. Outros fatores a serem considerados na valoração da multa
A ANPD aferirá a extensão do dano causado pela infração. A relevância e o impacto dos prejuízos causados ou a expressividade da lesão ao bem jurídico serão ponderados. A ação ou omissão do infrator, as consequências diretas ou indiretas da infração, e o risco ao titular de dados e à Administração Pública serão avaliados.
Na classificação da infração em grave, média ou leve, considera-se a gravidade e natureza da conduta e dos direitos pessoais afetados. O grau do dano, por sua vez, será avaliado em separado, quando da valoração da sanção. O propósito é adequar a sanção de acordo com os prejuízos e impactos causados pela conduta do agente de tratamento que cometeu a infração.
Na reincidência é considerado o histórico do agente de tratamento em relação a outras infrações à LGPD que tenham sido cometidas por respectivo agente. Nos termos do Regulamento, a reincidência pode ser genérica ou específica: a primeira diz respeito a infrações de qualquer dispositivo legal ou regulamentar, enquanto a última está focada na recorrência de violação ao mesmo dispositivo legal ou regulamentar. Em ambos os casos, a ANPD considerará o período de 5 (cinco) anos do trânsito em julgado do processo administrativo sancionador para fins de cômputo de possível reincidência.
E. Atenuantes na valoração da multa
A ANPD avaliará se o infrator agiu de boa-fé. A cessação da infração será considerada como atenuante para o cálculo da multa, reduzindo o valor da sanção de acordo com o momento em que a conduta cessar. Ainda como atenuantes para aplicação de penalidades serão avaliadas:
i. A cooperação do infrator, sendo necessária a contribuição efetiva do agente de tratamento, em linha com as condutas previstas no artigo 5º da Resolução CD/ANPD nº 1/2021, ponderados também os deveres descritos no artigo 4º da Lei nº 9.784/1999 (Lei de Processo Administrativo), podendo reduzir o valor da multa em 5%;
ii. A adoção de mecanismos e procedimentos de segurança, demonstrada a sua efetividade, comprovada por meio de documentos, sistemas e outros meios disponíveis, podendo a redução chegar a 20%;
iii. As políticas e boas práticas de governança, avaliadas de forma gradativa à luz do caso concreto, sendo possível uma redução de 20% do valor base da multa.
iv. A adoção de medidas para reverter ou mitigar os danos, que podem resultar numa redução de até 20% do valor da multa, desde que tenham sido implementadas previamente à instauração de procedimento preparatório ou processo administrativo sancionador.
F. Metodologia para cálculo da multa simples
Para calcular o valor da multa, o Regulamento prevê que os seguintes passos devem ser observados:
Determinação da alíquota-base: De acordo com a classificação da infração, a alíquota-base – utilizada para o cálculo do valor-base da multa – pode variar entre 0,08% a 1,5%.
Determinação do valor-base da multa: Representa a multiplicação da alíquota-base pelo valor do faturamento do agente de tratamento ou grupo econômico, excluídos os tributos incidentes.
Agravantes e atenuantes: a partir do valor-base da multa, são consideradas as agravantes e atenuantes presentes no caso concreto, que podem tanto aumentar quanto reduzir o valor da sanção.
Ajuste do valor final da sanção: Por fim, devem ser feitos os ajustes para adequação da multa aos limites mínimos e máximos previstos na regulamentação. Em relação ao piso da sanção, a multa não pode ser inferir ao dobro da vantagem econômica auferida. Por sua vez, o teto da multa deve respeitar os limites previstos no inciso II do artigo 52 da LGPD.
G. Desconsideração do Regulamento
O Regulamento traz, em seu artigo 27, uma disposição controversa. De acordo com respectivo dispositivo, a ANPD poderá, em determinados casos, afastar a metodologia de dosimetria por ela criada, quando entender que houver prejuízo à proporcionalidade entre a gravidade da infração e a intensidade da sanção.
Ainda que o parágrafo único desse dispositivo estabeleça que a decisão que afastar a metodologia deve ser fundamentada, e não pode ser pautada em valores jurídicos abstratos, essa possibilidade garante bastante margem de manobra à ANPD para a imposição de sanções em patamares distintos daqueles previstos no Regulamento, fragilizando a segurança jurídica esperada pelos agentes de tratamento.
H. Do procedimento administrativo
O Regulamento também estabelece que as sanções serão aplicadas após procedimento administrativo da ANPD, respeitados os termos da Lei de Processo Administrativo, da LGPD, do Regimento Interno da ANPD, e do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº. 1, publicado no DOU em 29 de outubro de 2021, conforme abaixo:
 | - A Coordenação-Geral de Fiscalização poderá, de ofício ou mediante requerimento, efetuar averiguações preliminares, quando os indícios da prática de infração não forem suficientes para a instauração imediata de processo administrativo sancionador.
- A Coordenação-Geral de Fiscalização poderá arquivá-lo ou instaurar processo administrativo sancionador.
|
 | - De ofício pela Coordenação-Geral de Fiscalização;
- Diante de requerimento em que a Coordenação-Geral de Fiscalização determinar pela abertura imediata de processo sancionador, após efetuar a análise de admissibilidade; e
- Em decorrência do processo de monitoramento.
|
 | - Após, a lavratura do auto de infração, o autuado será intimado para apresentar defesa no prazo máximo de 10 dias úteis.
- A ANPD poderá realizar diligências e juntar novas provas aos autos, independentemente do prazo de defesa do autuado.
|
 | - Os pedidos de produção de prova serão analisados pela Coordenação-Geral de Fiscalização e poderão ser indeferidos.
- A Coordenação-Geral de Fiscalização definirá os requisitos relevantes para a instrução processual e os quesitos a serem respondidos pelo perito.
- O autuado poderá formular quesitos suplementares e requerer esclarecimentos ao perito
- As alegações finais poderão ser apresentadas no prazo de 10 dias úteis antes da elaboração do Relatório de Instrução, se entre a defesa e a instrução processual forem produzidas novas provas.
- O Relatório de Instrução subsidiará a decisão de primeira instância e encerra a fase de instrução.
|
 | - A Coordenação-Geral de Fiscalização proferirá a decisão de primeira instância.
- A decisão deve aplicar a sanção seguindo os parâmetros e critérios definidos na LGPD e no Regulamento, bem como determinar o prazo para a execução.
- Quando for imposta obrigação de fazer ou de não fazer, a decisão deverá indicar o prazo para o cumprimento das medidas impostas e o valor da multa simples ou diária.
|
 | - O autuado poderá interpor recurso administrativo ao Conselho Diretor, no prazo de 10 dias úteis da intimação da decisão de primeira instância.
- Recebido o recurso administrativo, a Coordenação-Geral de Fiscalização poderá reconsiderar a sua decisão, a qual não poderá resultar em agravamento da sanção originalmente aplicada. O recurso será encaminhado pela Coordenação-Geral de Fiscalização ao Conselho Diretor, com a análise dos pressupostos gerais de admissibilidade recursal, da concessão de efeito suspensivo e do mérito do pedido.
- O recurso será julgado pelo Conselho Diretor.
|
 | - O processo será encaminhado para a Coordenação-Geral de Fiscalização para acompanhamento do cumprimento da decisão.
- Havendo sanção pecuniária não paga até a data do vencimento, o devedor será intimado sobre a existência do débito, podendo resultar na sua inscrição no Cadastro Informativo de Créditos não Quitados do Setor Público Federal (Cadin), bem como no encaminhamento do débito para inscrição na dívida ativa da União.
- Cumprida a decisão e não havendo outras providências a serem adotadas, os autos serão arquivados.
|
 | - No caso de surgimento de fatos novos relevantes que justifiquem a inadequação da sanção aplicada, os processos administrativos que resultem em sanções poderão ser revistos, tanto a pedido, como de ofício.
- O pedido de revisão não suspende os efeitos da sanção aplicada por decisão administrativa transitada em julgado.
- Da revisão não poderá resultar agravamento da sanção.
|
I. Alterações relevantes no Regulamento
O Regulamento sofreu diversas alterações em relação à minuta preliminar submetida à consulta pública em agosto de 2022 pela ANPD. Embora a maioria das modificações sejam de cunho formal, algumas possuem impactos relevantes, tais como:
1) Definição do que constitui um "grupo ou conglomerado de empresas"
| Minuta preliminar | Regulamento aprovado | Alteração |
- | Art. 2º Para fins deste Regulamento adotam-se as seguintes definições:
I - grupo ou conglomerado de empresas: conjunto de empresas de fato ou de direito com personalidades jurídicas próprias, sob direção, controle ou administração de uma pessoa natural ou jurídica ou ainda grupo de pessoas que detêm, isolada ou conjuntamente, poder de controle sobre as demais, desde que demonstrado interesse integrado, efetiva comunhão de interesses e atuação conjunta das empresas dele integrantes; | Embora o conceito de "grupo ou conglomerado" seja importante para o cálculo do faturamento total a ser utilizado no valor-base das multas simples, a minuta preliminar não dispunha nenhuma definição.
Por sua vez, o Regulamento aprovado pela ANPD define o conceito.
|
2) "Tratamento de dados pessoais em larga escala" como hipótese de classificação de infração grave
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 8º (...)
§ 2º A infração será considerada média quando verificada uma das seguintes hipóteses, desde que não seja classificada como grave:
I - envolver tratamento de dados pessoais em larga escala; ou
II - afetar significativamente interesses e direitos fundamentais dos titulares. | Art. 8º (...)
§ 3º A infração será considerada grave quando:
I - verificada a hipótese estabelecida no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes:
a) envolver tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado; | Para a classificação de uma infração média, a minuta preliminar estabelecia duas hipóteses, incluindo o "tratamento de dados pessoais em larga escala".
Por sua vez, o Regulamento aprovado alterou a posição ocupada pelo "tratamento de dados pessoais em larga escala", que passa a ser uma hipótese de classificação das infrações como graves. |
3) Eliminação da "má-fé do infrator" como hipótese de classificação de infração grave
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 8º (...)
§3º A infração será considerada grave quando:
I – verificada uma ou mais hipóteses estabelecidas no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: (...)
g) verificada a má-fé do infrator ou a adoção sistemática de práticas irregulares; | Art. 8º (...)
§3º A infração será considerada grave quando:
I - verificada a hipótese estabelecida no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: (...)
g) verificada a adoção sistemática de práticas irregulares pelo infrator; | Conforme o voto do Relator Diretor Arthur Sabbat, a comprovação da má-fé do infrator é difícil, o que poderia resultar em insegurança jurídica.
Por outro lado, a "adoção sistemática de práticas irregulares" foi mantida, cuja aferição é objetiva. |
4) Eliminação de "risco à integridade física" como hipótese de classificação de infração grave
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 8º (...)
§3º A infração será considerada grave quando:
I – verificada uma ou mais hipóteses estabelecidas no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: (...)
b) a infração implicar risco à vida ou à integridade física dos titulares; | Art. 8º (...)
§3º A infração será considerada grave quando:
I - verificada a hipótese estabelecida no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: (...)
c) a infração implicar risco à vida dos titulares; | Conforme o voto do Relator, essa exclusão resolve uma redundância da minuta preliminar, tendo em vista que o rol de exemplos para a classificação de infrações médias já inclui o risco à integridade física dos titulares.
Logo, levando em conta o nível de criticidade de ambos os elementos, o risco à integridade física foi mantido apenas como hipótese de classificação de infração média, enquanto o risco à vida continua como hipótese de infração grave. |
5) Substituição de "roubo de identidade" por "uso indevido de identidade"
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 8º (...)
§5º O tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade. | Art. 8º (...)
§ 2º A infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave. | Conforme o voto do Relator, essa substituição tem o objetivo de abranger uma quantidade maior de ações, garantindo a proteção dos direitos dos titulares. |
6) Limitação do exercício de direito ou utilização de serviço
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 8º (...)
§5º O tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço (...). | Art. 8º (...)
§ 2º A infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço (...). | Conforme o voto do Relator, a expressão "dentre outras situações" era extremamente abstrata e ampliativa.
Por outro lado, a inserção da hipótese "limitar, de maneira significativa" tem como fim garantir maior segurança jurídica. |
7) Substituição de "recursos recebidos" por "recursos auferidos" na definição de faturamento
| Minuta preliminar | Regulamento aprovado | Alteração |
Art. 12 (...)
§ 2º Para fins de apuração do disposto no inciso II do caput, o faturamento compreende: (...)
III – somatório de recursos recebidos, para pessoas jurídicas de direito privado sem fins lucrativos, nos termos da legislação vigente.
| Art. 11 (...)
§ 1º Para fins do disposto no inciso II do caput, será considerado como faturamento: (...)
III - o montante total de recursos auferidos, excluídos os tributos sobre vendas, para pessoas jurídicas de direito privado sem fins lucrativos, nos termos da legislação vigente | Conforme o voto do Relator, essa substituição tem como objetivo diferenciar os ingressos provisórios que não integram o patrimônio da pessoa jurídica em relação aos recursos efetivamente alcançados. |
J. Conclusão
A publicação do Regulamento era o passo que faltava para que a ANPD pudesse aplicar as sanções previstas na LGPD aos agentes de tratamento que violem a legislação. A partir de agora, os processos administrativos que estavam parados na ANPD devem ter imediato movimento, trazendo a necessidade de acompanhamento constante por parte das organizações que eventualmente tenham comunicado incidentes de segurança ou tenham enfrentado investigações por parte da Autoridade.
Com o Regulamento em vigor, a expectativa é que a ANPD se torne cada vez mais atuante e que as primeiras sanções pecuniárias sejam aplicadas ao longo dos próximos meses. Um ponto fundamental do Regulamento é a importância da adoção de programas de governança em proteção de dados e de medidas de segurança por parte dos agentes de tratamento, que podem reduzir consideravelmente as sanções aplicadas pela Autoridade, na forma de atenuantes a eventuais multas.
Caso a sua organização ainda não tenha implementado medidas para garantir a sua conformidade com a LGPD, o time de Proteção de Dados e Cybersecurity do BMA está pronto para ajudá-los na estruturação e implementação de um programa de governança efetivo e adequado, elaborado especificamente para atender às necessidades da sua organização.
Conte com o BMA Advogados!
Gostou de conhecer mais informações sobre o regulamento de dosimetria e aplicação de sanções administrativas? Continue acompanhando os nossos conteúdos e saiba sobre mais áreas do Direito, como
Direito ambiental, Direito Trabalhista,
Direito Societário, e muitas outras. Tire todas as suas dúvidas e conte com o nosso escritório de advocacia!
