Novo regulamento da ANPD determina parâmetros para aplicações de penalidades e procedimentos fiscalizatórios oriundos da LGPD

No dia 27 deste mês foi publicado o Regulamento CD/ANPD Nº. 4, que em suma, trata da disposição da dosimetria para as sanções impostas na Lei Geral de Proteção de Dados- LGPD, regulamentando assim os artigos 52 e 53 desta norma, bem como do processo fiscalizatório e sancionador administrativo da ANPD, alterando neste ponto, os artigos 32, 55 e 62 da Resolução CD/ANPD Nº 1.

Em acertado direcionamento, a ANPD, ao buscar a edição desta norma, frise-se, fundamental para parametrizar e afastar arroubos oriundos das sanções estabelecidas na LGPD, submeteu o processo normativo a realização de consultas internas, consulta pública, qual recebera mais de 2.500 (duas mil e quinhentas) propostas de contribuições da sociedade civil, doutrinadores, acadêmicos e setores da economia, além da realização de audiência pública para discussão dos seus desdobramentos. Contudo, estes trâmites não evitaram algumas inconsistências normativas.

A ANPD, deste a sua constituição, bem como através de manifestações públicas do seu Presidente, Waldemar Gonçalves, deixou claro que as suas ações de fiscalizações teriam o propósito, inicialmente, educacional, na medida em que o caráter punitivo seria utilizado somente quando das infrações mais severas ou reincidências.

Contudo, isso não significa dizer que eventuais descumprimentos da LGPD passarão despercebidos ou sem o rigor necessário do órgão para a sua coibição. Pelo contrário, do que se estratifica da publicação do Regulamento CD/ANPD Nº. 4, a ANPD levará em consideração, notadamente, nas ações do infrator, o seu status de regularização no tocante a LGPD, no que diz respeito a instituição de processos, procedimentos e mecanismos capazes de minimizar o dano ocasionado face ao eventual descumprimento da norma, boa-fé, bem como a reincidência específica e genérica, conforme art. 7º deste Regulamento.

Neste sentido é importante citar os incisos II e IV do art. 13 do Regulamento Nº 4 que respectivamente concedem reduções no valor das multa no percentual de 20% (vinte por cento), caso o infrator esteja durante a execução ou finalizado processo de adequação à LGPD e 20% (vinte por cento) a 5% (cinco por cento) nos casos que o infrator tenha comprovado a implementação de medidas capazes de reverter ou mitigar os efeitos da infração e se verifique a cooperação ou boa-fé por parte do infrator.

Logo, torna-se fundamental que os controladores e operadores estejam em compliance com a LGPD, ainda que em fase parcial de instituição dos processos neste sentido, uma vez que, além da importância da proteção dos direitos dos titulares e dos seus respectivos dados, tais condições serão fundamentais na mitigação de penalidades e discussões destas em via administrativa ou judicial. 

O Regulamento em questão, em apoio ao quando já positivado pela LGPD, traz como sanções administrativas oriundas do descumprimento da norma de proteção de dados as advertências, embargos, multas simples, multas diária e publicização da infração, podendo as multas chegar ao valor unitário de até R$50.000.000,00 (cinquenta milhões de reais), limitados a 2% (dois por cento) do faturamento da empresa em seu último exercício.

Inobstante o Regulamento CD/ANPD Nº. 4 represente uma evolução normativa, cabe aqui fazer algumas considerações sobre dispositivos que ainda não representam a sua melhor versão, podendo assim trazer insegurança jurídica aos tutelados e fiscalizados.

Tratando dos principais pontos, cabe aqui destacar que o Regulamento trouxe alguns termos e  conceitos amplamente genéricos, o que pode gerar insegurança jurídica. Citamos o exemplo do artigo 8º da Resolução Nº.4, que ao qualificar o rol de aplicabilidade ao enquadramento de infrações de natureza grave, traz assim, genericamente, em seu parágrafo 3º a seguinte redação: “ § 3º A infração será considerada grave quando: a) envolver tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado;”.

Perceba que o normatizador amplifica, sem qualquer parâmetro básico, o entendimento de tratamento de dados pessoais em larga escala, gerando um vácuo normativo. Logo, corre-se o risco da hipótese de discricionariedade indiscriminada pelo agente fiscalizador, que poderá, através da sua interpretação aleatória, ao seu bel prazer, enquadrar como de natureza grave, qualquer eventual ilícito cometido –  haja vista que na maioria das vezes quando do tratamento, temos mais de um dado pessoal sendo tratado –  caso a sua interpretação seja que tal fato decorreu de tratamento em larga escala, extravasando os limites da discricionariedade da Administração Pública.

Outro ponto que chama a atenção é o fato de que a metodologia de aplicação de sanção de multa utiliza critério de valoração maior para os agravantes do que para os atenuantes (Vmulta = Vbase  x (1+ Agravantes – Atenuantes), o que enseja em frontal violação ao princípio da razoabilidade e proporcionalidade das sanções administrativas.

Espera-se que o processo regulamentar complementar da LGPD, em especial que seja editado um novo Regulamento que venha suprir as lacunas e disparidades existentes no Regulamento CD/ANPD Nº.4, seja sempre pautados nos princípios constitucionais e nos que regem a norma de proteção de dados, privilegiando os direitos dos titulares, mas sem inviabilizar a execução da sanção, torna-las desproporcionais e onerosamente excessivas ou  prejudicar o desenvolvimento da atividade econômica dos eventuais infratores, que frise-se, possuem a investidura da sua função social, evitando assim o abarrotamento do Poder Judiciário com discussões sobre a legalidade destas normas.

Além das hipóteses de aplicação de penalidades, ou necessidade de cumprimento da Lei, os operadores e controladores precisam enxergar o processo de adequação à LGPD como também uma oportunidade de trazer a cultura de proteção de dados para as suas atividades, o que agrega do ponto de vista de governança, reforça os procedimentos de segurança e contribuem para o processo de reconhecimento perante o mercado e consumidores, refletindo diretamente na sua valorização.