Bulletin Spécial: Règlement de Dosimétrie et Application de Sanctions Administratives

Le 27 février 2023, la Résolution CD/ANPD nº 4/2023, qui approuve le Règlement de Dosimétrie et Application des Sanctions Administratives  (Règlement), a été publiée au Journal Officiel.

Le Règlement définit les directives pour l'application d'amendes et autres sanctions administratives prévues dans la Loi Générale de Protection des Données Personnelles (LGPD) par l'Autorité Nationale de Protection des Données (ANPD).

Il faut souligner que, selon les termes de l'article 52 de la LGPD, l'ANPD peut appliquer les sanctions administratives suivantes:

B. Facteurs à considérer pour définir la sanction

L’article 7º du Règlement établit des critères et paramètres qui seront utilisés par l’ANPD pour déterminer la sanction. Parmi ces critères, on compte:

• La gravité et la nature de l’infraction; 
• Le degré du préjudice;
• L’avantage économique et la condition économique de l’agent de traitement;
• La récidive de l’agent de traitement;
• La coopération, la bonne foi et l’adoption de mesures de bonnes pratiques de gestion par l’agent de traitement;
• La proportionnalité entre la gravité de la faute et l’intensité de la sanction.

La gravité de l’infraction est le point de départ pour sa qualification, qui prendra en compte la nature, la durée, le nombre de personnes affectées et le degré du préjudice causé par celle-ci. 

Selon les termes de l’article 8º du Règlement, l’infraction peut être classée comme légère, moyenne ou grave, considérant les critères suivants:

On observe que l’infraction légère a un caractère résiduel, quand on ne note l’existence d’aucun critère permettant de la qualifier de moyenne ou grave. En général, considérant l’amplitude du concept adopté pour qualifier l’infraction comme moyenne – qui comprend des aspects comme la possibilité que l’infraction provoque des préjudices matériels et moraux aux titulaires ce qui, dépendant de l’interprétation, pourrait être appliqué à n’importe quel cas concret de violation de la LGPD – rares seront les scénarios dans lesquels l’infraction sera considérée comme légère.

C. Facteurs financiers et économiques considérés dans l’évaluation de l’amende

En plus de l’application de l’idée d’avantage économique comme critère pour la qualification de la gravité de l’infraction, l’ANPD a également choisi de l’utiliser comme paramètre pour étalonner la valeur d’une éventuelle sanction pécunière imposée à l’agent de traitement. Quand l’avantage économique est estimable, la valeur base de l’amende doit représenter au moins le double de l’avantage obtenu ou voulu par le contrevenant, dans le respect des limites de l’alinéa II de l’article 52 de la LGPD.

Un autre facteur présent dans le paragraphe 1º de l’article 52 de la LGPD est la condition économique de l’agent de traitement. La condition économique du contrevenant correspond à sa capacité de payer l’amende. L’ANPD évaluera la condition économique du contrevenant en se basant sur son chiffre d’affaires brut lors de l’exercice antérieur à l’application de la sanction (article 11, II, du Règlement). Dans ce sens, pour définir quelle sera la valeur adoptée comme paramètre pour calculer l’amende maximale de 2% sur le chiffre d’affaires, la date prise en compte ne sera pas celle où l’infraction aura été commise, mais celle de l’imposition de la sanction par l’ANPD.

D. D’autres facteurs à prendre en compte dans l’évaluation de l’amende

L’ANPD évaluera l’amplitude du préjudice causé par l’infraction. L’importance et l’impact des préjudices causés ou l’expressivité du préjudice au bien juridique seront pondérés. L’action ou l’omission du contrevenant, les conséquences directes ou indirectes de l’infraction et le risque pour le titulaire des données et l’Administration Publique seront évalués.

Pour classer l’infraction comme grave, moyenne ou légère, on considère la gravité et la nature de la conduite et des droits personnels affectés. Le degré du préjudice sera, lui, analysé séparément, quand la sanction sera évaluée. Le but est d’adapter la sanction aux préjudices et impacts provoqués par la conduite de l’agent de traitement ayant commis l’infraction.

En cas de récidive, l’historique de l’agent de traitement par rapport à d’autres infractions à la LGPD est considéré. Selon les termes du Règlement, la récidive peut être générique ou spécifique: la première concerne les infractions à n’importe quelle disposition légale ou réglementaire, alors que la deuxième est basée sur la récurrence de la violation de la même disposition légale ou réglementaire. Dans les deux cas, l’ANPD considèrera une période de 5 (cinq) ans après le jugement définitif de la procédure administrative pour le calcul de récurrence possible.

E. Circonstances atténuantes dans l'évaluation de l'amende

L’ANPD évaluera si le contrevenant a agi de bonne foi. La cessation de l’infraction sera considérée comme une circonstance atténuante dans le calcul de l’amende, réduisant la valeur de la sanction selon le moment où la conduite aura cessé. D’autres circonstances atténuantes pour l’application de pénalités seront évaluées, telles que:

i. La coopération du contrevenant, soit la contribution effective de l’agent de traitement selon les conduites prévues dans l’article 5º de la Résolution CD/ANPD nº 1/2021, pondérés également les devoirs décrits dans l’article 4º de la Loi nº 9.784/99 (Loi de Procédure Administrative), pouvant réduire la valeur de l’amende de 5%;

ii. L’adoption de mécanismes et procédures de sécurité, dont l’efficacité devra être démontrée et prouvée par des documents, systèmes et autres moyens disponibles, pouvant réduire jusqu’à 20% la valeur de l’amende;

iii. Les politiques et bonnes pratiques de gestion, évaluées graduellement à la lumière du cas concret, permettant une réduction de 20% de la valeur base de l’amende.

iv. L’adoption de mesures pour réparer ou limiter les préjudices, qui peuvent permettre une réduction jusqu’à 20% de la valeur de l’amende à la condition qu’elles aient été implantées avant l’instauration d’une procédure préparatoire ou d’une procédure administrative de sanction.

F. Méthodologie du calcul de l'amende simple

Pour calculer la valeur de l'amende, le Règlement prévoit l'observation des étapes suivantes:

• Détermination du tarif de base: Selon la qualification de l'infraction, le tarif de base – utilisé pour le calcul de la valeur base de l'amende – peut varier de 0,08% à 1,5%
• Détermination de la valeur base de l'amende: Représente la multiplication du tarif de base par la valeur du chiffre d'affaires de l'agent de traitement ou groupe économique, à l'exclusion des impôts applicables.
• Circonstances aggravantes ou atténuantes: à partir de la valeur base de l'amende, sont considérées les circonstances agravantes et atténuantes dans le cas concret, qui peuvent augmenter ou réduire la valeur de la sanction.
• Ajustement de la valeur finale de la sanction: Enfin, les ajustements pour l'adéquation de l'amende aux limites minimales et maximales prévues dans la réglementation doivent être effectués. Par rapport au minimum, l'amende ne peut pas être inférieure au double de l'avantage économique perçu. En ce qui concerne le maximum, les limites prévues dans l'alinéa II do art. 52 da LGPD doivent être respectées.
  

G. Non respect du Règlement

Le Règlement comporte dans son art. 27 une disposition controversée. Selon celle-ci, l’ANPD pourra, dans certains cas, ne pas tenir compte de la méthodologie de dosimétrie qu’elle a elle-même créé, si elle considère qu’il y a préjudice à la proportionnalité entre la gravité de l’infraction et l’intensité de la sanction.

Même si le paragraphe unique de cette disposition établit que la décision de ne pas tenir compte de la méthodologie doit être fondée et ne peut pas être basée sur des valeurs juridiques abstraites, cette possibilité assure à l’ANPD une importante marge de manoeuvre dans l’imposition de sanctions suivant des critères différents de ceux prévus par le Règlement, fragilisant la sécurité juridique espérée par les agents de traitement.

H. De la procédure administrative 

Le Règlement établit aussi que les sanctions seront appliquées après une procédure administrative de l’ANPD, dans le respect des termes de la Loi nº 9.784/1999, de la LGPD, du Régiment Interne de l’ANPD, et du Règlement de la Procédure de Contrôle et de la Procédure Administrative de Sanction, approuvé par la Résolution CD/ANPD nº. 1, et publié au Journal Officiel le 29 octobre 2021, selon les termes ci-dessous:

​	​La Coordination Générale de Contrôle pourra, d'office ou moyennant requête, effectuer des vérifications préliminaires, quand les indices de pratique d'infraction ne seront pas suffisants pour l'instauration immédiate de la procédure administrative de sanction.  Classement ou instauration de la procédure administrative de sanction.
​	D'office par la Coordination Générale de Contrôle;  Par le biais d'une requête où la Coordination Générale de Contrôle détermine l'ouverture immédiate d'une procédure de sanction, après avoir effectué l'analyse de recevabilité;  En conséquence d'une procédure de surveillance.
​	Après la rédaction du procès-verbal d'infraction, l'agent de traitement concerné aura un délai maximal de 10 (dix) jours utiles pour présenter sa défense;  L'ANPD pourra effectuer des démarches et ajouter de nouvelles preuves, indépendamment du délai de défense de l'inculpé.
​	​Les demandes de production de preuves seront analysées par la Coordination Générale de Contrôle et pourront être refusées.  Preuve d'expert. (i) La Coordination Générale de Contrôle définira les exigences importantes à l'instruction et les conditions devant être satisfaites par l'expert; (ii) l'inculpé pourra formuler des conditions supplémentaires et demander des reseignements à l'expert.  Arguments finaux. Ils pourront être présentés dans un délai de 10 (dix) jours utiles avant l'élaboration du Rapport d'Instruction, si de nouvelles preuves ont été produites entre la défense et l'instruction procédurière.  Le Rapport d'Instruction subventionnera la décision de première instance, concluant la phase de l'instruction.
​	​La Coordination Générale de Contrôle profèrera la décision de première instance.  La décision doit appliquer la sanction suivant les paramètres et critères définis dans la LGPD et le Règlement de Dosimétrie, et déterminer le délai pour son exécution;  En cas d'imposition d'obligation de faire ou ne pas faire, la décision devra indiquer le délai pour le respect des mesures imposées et la valeur de l'amende simple ou quotidienne.
​	​L'inculpé pourra interposer un recours administratif auprès du Conseil Directeur dans un délai de 10 (dix) jours utiles à partir de la décision de première instance.  Jugement de Reconsidération. Dès la réception du recours administratif, la Coordination Générale de Contrôle pourra reconsidérer sa décision, laquelle ne pourra pas aggraver la sanction précédemment appliquée. Le recours sera acheminé par la Coordination Générale de Contrôle au Conseil Directeur, avec son analyse des hypothèses générales d'admissibilité, de la concession d'un effet de suspension et du mérite de la demande.  Le recours sera jugé par le Conseil Directeur.
​	​Le procès sera envoyé à la Coordination Générale de Contrôle pour le suivi du respect de la décision.  Si la sanction pécunière n'est pas payée à la date d'expiration du délai, le débiteur sera cité à propos de l'existence du débit, inscrit au Cadastre Informatif de Crédits non Remboursés du Secteur Public Fédéral (Cadin), et informé que le débit sera envoyé pour inscription à la Dette Active.  Si la décision est respectée et s'il n'y a pas d'autres mesures à adopter, l'affaire sera classée.
​	Dans le cas où surgiraient des faits nouveaux et importants justifiant la non adéquation de la sanction appliquée, les procédures administratives résultant en sanctions pourront être révisées, tant sur demande que d'office. La demande de révision ne suspend pas les effets de la sanction appliquée par décision administrative en jugement. La révision ne pourra pas conduire à une aggravation de la sanction.

I. Modifications importantes dans le Règlement

Le Règlement a subi plusieurs modifications par rapport à la version préliminaire soumise à consultation publique par l'ANPD en août 2022. Même si la majorité des modifications sont formelles, certains ont des impacts significatifs, comme:

1) Définition de ce qui constitue un "groupe ou conglomérat d'entreprises"

2) "Traitement de données personnelles à grande échelle" comme hypothèse de qualification d'infraction grave

3) Élimination de la "mauvaise foi du contrevenant" comme hypothèse de qualification d'infraction grave

4) Élimination du "risque pour l'intégrité physique" comme hypothèse de qualification d'infraction grave

5) Remplacement de "vol d'identité" par "utilisation indue d'identité"

6) Limitation de l’exercice de droit ou l’utilisation d’un service

7) Remplacement de "ressources reçues" par "ressources perçus" dans la définition de chiffre d'affaires

J. Conclusion

La publication du Règlement était l’étape qui manquait pour que l’ANPD puisse appliquer les sanctions prévues dans la LGPD aux agents de traitement qui violent la législation. À partir de maintenant, les procédures administratives qui étaient arrêtées à l’ANPD doivent être reprises, apportant la nécessité d’un suivi constant de la part des organisations ayant éventuellement communiqué des incidents de sécurité ou fait face à des enquêtes de l’Autorité.

Avec le Règlement en vigueur, l’ANPD devrait être de plus en plus active et les premières sanctions pécunières devraient être appliquées dans les prochains mois. Un point essentiel du Règlement est l’importance de l’adoption de programmes de gestion en protection de données et de mesures de sécurité par les agents de traitement, qui peuvent réduire considérablement les sanctions appliquées par l’Autorité, sous la forme de circonstances atténuantes à d’éventuelles amendes.

Dans le cas où votre organisation n’aurait pas encore adopté de mesures pour garantir sa conformité à la LGPD, l’équipe de Protection des Données et Cybersecurity de BMA est prête à vous aider à structurer et implanter un programme de gestion efficace et adéquat, élaboré spécifiquement pour satisfaire les besoins de votre organisation.