Editada em 2018 e somente tendo entrado em vigor em setembro de 2020, a Lei Federal nº 13.709, de 14 de agosto de 2018, ou Lei Geral de Proteção de Dados (“LGPD”), ainda depende de complementos regulatórios para ter sua plena efetividade. Um deles foi introduzido em 27 de fevereiro deste ano, com a publicação pela Autoridade Nacional de Proteção de Dados (“ANPD”) da Resolução CD/ANPD nº 4, que aprovou o regulamento de dosimetria e aplicação de sanções administrativas, com vigência a partir data da publicação da norma.
O novo regulamento definiu os parâmetros e critérios para classificação das infrações em leve, média e grave para fins da aplicação das sanções administrativas, quais sejam: advertência, multa, publicização da infração, bloqueio dos dados pessoais, eliminação dos dados pessoais, suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento dos dados pessoais e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
A infração leve é definida pelo regulamento por meio da exclusão das demais hipóteses, isto é, a infração será considerada leve quando não caracterizada como média ou grave. Ainda, tem-se que a infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, em situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares.
Por sua vez, a infração será considerada grave quando verificada uma infração média cumulada de pelo menos uma das seguintes hipóteses: (i) envolver tratamento de dados pessoais em larga escala; (ii) o infrator auferir ou pretender auferir vantagem econômica em decorrência da infração cometida; (iii) a infração implicar risco à vida dos titulares; (iv) a infração envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; (v) o infrator realizar tratamento de dados pessoais sem amparo da LGPD; (vi) o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; (vii) verificada a adoção sistemática de práticas irregulares pelo infrator; ou (viii) constituir obstrução à atividade de fiscalização.
Quanto à dosimetria para cálculo do valor-base das sanções de multa, a metodologia de cálculo que será aplicada pela ANPD considerará (i) a classificação da infração como leve, média ou grave; (ii) o faturamento do infrator no último exercício disponível anterior à aplicação da sanção; e (iii) o grau do dano. Essa multa, porém, será limitada a 2% do faturamento ou R$50 milhões.
O pagamento de multas eventualmente aplicadas deverá ocorrer no prazo de até 20 dias, sendo que o prazo começa a contar a partir da ciência oficial da decisão de aplicação da sanção. Apesar dessa regra geral, será concedido prazo em dobro para o pagamento da multa para agentes de pequeno porte, definidos pela ANPD como microempresas, empresas de pequeno porte, startups, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais.
Os valores arrecadados com a aplicação das multas serão destinados ao Fundo de Defesa de Direitos Difusos – FDD, para a reparação dos danos causados ao meio ambiente, ao consumidor, a bens e direitos de valor artístico, estético, histórico, turístico, paisagístico, por infração à ordem econômica e a outros interesses difusos e coletivos.
Fonte: VBSO
