Multas pela LGPD: o que diz o novo regulamento da ANPD
03/04/2023 - 09:45
As multas da LGPD são motivo de preocupação para muitos negócios, e tem tirado o sono de advogados e gestores jurídicos. Até pouco tempo atrás, no entanto, não havia uma definição clara da dosimetria das multas, de outras sanções previstas na Lei Geral de Proteção de Dados. Agora isso mudou!
A Autoridade Nacional de Proteção de Dados (ANPD) publicou, no final de fevereiro de 2023, o “Regulamento de Dosimetria e Aplicação de Sanções Administrativas”. Ali, estão previstas e determinadas as sanções e as multas da LGPD. Vamos conhecer as principais?
Sanções da LGPD: o que diz o novo regulamento
O regulamento de dosimetria da ANPD reforça e especifica as sanções para quem cometer infrações à LGPD, conforme já estava previsto no art. 52 da Lei:
- advertência;
- multa simples;
- multa diária;
- publicização da infração, após devidamente apurada e confirmada a sua ocorrência;
- bloqueio dos dados pessoais a que se refere a infração, até a sua regularização;
- eliminação dos dados pessoais a que se refere a infração;
- suspensão parcial do funcionamento do banco de dados a que se refere a infração;
- suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração;
- proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados;
O documento, no entanto, aprofunda-se na determinação de como essas sanções aplicadas. A primeira contribuição é estratificar as infrações à LGPD em três graus:
- leve;
- média;
- grave.
Na hora de definir qual será o grau aplicado a uma infração determinada, poderão ser considerados mais de uma dezena de critérios – dentre eles, a boa-fé do infrator e a pronta adoção de medidas de correção.
Determinação do gravidade da infração à LGPD
O regulamento é claro, no sentido de determinar quais situações serão enquadrados nos graus leve, médio ou grave de infração. Essa definição é importante porque alguns tipos de sanções – como as multas pela LGPD – só poderão ser aplicadas se atingidos certos graus de infração.
|
Infração leve à LGPD |
Infração média à LGPD |
Infração grave à LGPD |
|
Quando não se enquadra em nenhuma das outras duas hipóteses (média e grave). |
Quando afeta significativamente interesses e direitos fundamentais dos titulares de dados pessoais. Isto é, impede ou limita, de maneira significativa, o exercício de direitos ou a utilização de um serviço. Ainda, quando ocasiona danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave |
Quando houver obstrução à atividade de fiscalização;
Ou, ainda, quando se somar às características de uma infração média, alguma das seguintes hipóteses: - tratamento de dados pessoais em larga escala, com número significativo de titulares, alto volume de dados envolvidos, grande duração, frequência e larga extensão geográfica do tratamento realizado; - infrator auferir ou pretender vantagem econômica em decorrência da infração cometida; - a infração implicar risco à vida dos titulares; - a infração envolver tratamento de dados sensíveis ou de crianças, de adolescentes ou de idosos - o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; - o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; - quando houver a adoção sistemática de práticas irregulares pelo infrator. |
Leia também: ANPD publica guia de segurança da informação e checklist da LGPD
Multas na LGPD
Uma das sanções que mais preocupa advogados e gestores jurídicos são as multas, já que elas tem potencial de afetar diretamente o caixa das empresas. Assim sendo, apresentaremos abaixo dois tipos de multas previstas na LGPD.
Multas simples segundo a ANPD
O primeiro tipo de multa da LGPD é a multa simples. Ela se aplica em infrações graves ou quando não há cumprimento de medidas corretivas ou preventivas. O valor-base da multa é calculado de acordo com o faturamento da empresa no último exercício anual, entre outras variáveis.
Agravante da multa simples na LGPD
A multa simples pode ser acrescida, nos percentuais abaixo, conforme as circunstâncias registradas:
- 10% para cada caso de reincidência específica, até o limite de 40%;
- 5% para cada caso de reincidência genérica, até o limite de 20%;
- 20% para cada medida de orientação ou preventiva descumprida no processo de fiscalização ou do procedimento preparatório que precedeu o processo administrativo sancionador, até o limite de 80%; e
- 30% para cada medida corretiva descumprida, até o limite de 90%;
Em caso de mais de uma circunstância registrada, os percentuais de acréscimo poderão ser somados.
Atenuantes da multa simples
Há, também, uma série de fatores atuantes da multa simples, que foram estabelecidos no mesmo regulamento. Nos casos de cessação da infração, a atenuação é calculada considerando os seguintes percentuais:
- 75%, se previamente à instauração de procedimento preparatório pela ANPD;
- 50%, se após a instauração de procedimento preparatório e até a instauração de processo administrativo sancionador
- 30%, se após a instauração de processo administrativo sancionador e até a prolação da decisão de primeira instância no âmbito do processo administrativo sancionador;
Outra hipótese é a redução de 20% da multa simples, se houver a implementação de política de boas práticas e de governança ou de adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar os danos aos titulares de dados.
Já quando o infrator tiver comprovado a implementação de medidas capazes de reverter ou mitigar os efeitos da infração sobre os titulares de dados pessoais afetados, teremos os seguintes atenuantes:
- 20%, previamente à instauração de procedimento preparatório ou processo administrativo sancionador pela ANPD;
- 10%, se após a instauração de procedimento preparatório e até a instauração de processo administrativo sancionador; e
E, por fim, uma última hipóteses é a redução de 5%, nos casos em que se verifique a cooperação ou boa-fé por parte do infrator.
De modo geral, por fim, vale a diretriz expressa no artigo 15, II, do regulamento, segundo o qual o valor da multa não poderá superar “2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado de empresas no Brasil no seu último exercício, excluídos os tributos, ou a R$ 50.000.000,00.”
Multa diária na LGPD
A multa diária da LGPD não poderá ser aplicada irrestritamente. Como fica claro no art.16 do Regulamento, ela deve ser acionada apenas para “assegurar o cumprimento, em prazo certo, de uma sanção não pecuniária ou de uma determinação estabelecida pela ANPD”.
Sua aplicação também é válida quando, após notificado sobre o cometimento de irregularidades, o ente deixar de saná-las no prazo assinalado pela ANPD. Ou, por exemplo, quando houver a prática de obstrução à atividade de fiscalização. Uma terceira hipótese, por fim, é a de infração permanente, não cessada até a decisão de aplicação da multa.
Assim como ocorre na multa simples, também na diária o valor a ser pago não poderá superar os 2% do faturamento da pessoa de direito privado, ou então, o limite máximo de R$ 50 milhões por infração.
Conclusão
No começo de 2023 havia quase 7 mil denúncias tramitando na ANPD, segundo o próprio órgão. E com o fortalecimento da atuação da Autoridade, esse número pode crescer ainda mais.
Por isso, é fundamental que advogados e Data Protection Officers (DPO) estejam preparados para orientar seus clientes, frente aos desafios de adequação da lei. Conhecer as sanções e as multas da LGPD é outro caminho importante para fornecer uma consultoria jurídica mais adequada.
[1] Autor: Tiago Fachini
Mais de 300 mil ouvidas no JurisCast e Debate Legal
Mais de 1.100 artigos publicados no Jurídico de Resultados
Especialista em Marketing Jurídico
Palestrante, professor e um apaixonado por um mundo jurídico cada vez mais inteligente e eficiente.
