Dados: ANPD e Fiscalização

O cenário da proteção de dados no Brasil passou por transformações significativas desde a promulgação da Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018). Com a criação da Autoridade Nacional de Proteção de Dados (ANPD), o país estabeleceu um órgão fiscalizador com poder de sanção, consolidando a cultura de proteção de dados no ambiente corporativo e governamental. Este artigo, direcionado a advogados e profissionais do Direito Digital, analisa o papel da ANPD na fiscalização do tratamento de dados, explorando a legislação, a jurisprudência e as melhores práticas para a conformidade legal.

A Autoridade Nacional de Proteção de Dados (ANPD): Natureza e Competência

A ANPD, inicialmente vinculada à Presidência da República e, posteriormente, transformada em autarquia de natureza especial (Lei nº 14.460/2022), é o órgão central na aplicação da LGPD. Sua atuação abrange a normatização, a fiscalização e a sanção, buscando garantir a proteção dos direitos fundamentais de liberdade e de privacidade, conforme o artigo 55-J da LGPD.

A competência da ANPD é ampla e inclui:

• Zelar pela proteção dos dados pessoais: Artigo 55-J, inciso I.
• Fiscalizar e aplicar sanções: Artigo 55-J, inciso IV.
• Promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança: Artigo 55-J, inciso VI.
• Estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais: Artigo 55-J, inciso VII.
• Articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação: Artigo 55-J, inciso VIII.

A Fiscalização da ANPD: Procedimentos e Critérios

A fiscalização da ANPD é o mecanismo central para garantir o cumprimento da LGPD. O processo de fiscalização, regulamentado pela Resolução CD/ANPD nº 1/2021, é pautado pelos princípios da proporcionalidade, da razoabilidade e da ampla defesa (Artigo 55-J, § 1º).

O processo fiscalizatório pode ser iniciado de ofício pela ANPD, por provocação de titulares de dados, do Ministério Público ou de outras autoridades. A ANPD possui a prerrogativa de requisitar informações aos controladores e operadores (Artigo 55-J, inciso IV), realizar auditorias (Artigo 55-J, inciso XVI) e aplicar as sanções previstas no artigo 52 da LGPD.

Critérios de Avaliação

Ao avaliar a conduta de um agente de tratamento, a ANPD considera diversos fatores, conforme o artigo 52, § 1º da LGPD:

• A gravidade e a natureza das infrações e dos direitos pessoais afetados: A dimensão do dano causado ao titular.
• A boa-fé do infrator: A demonstração de que o agente agiu com diligência e buscou a conformidade.
• A vantagem auferida ou pretendida pelo infrator: O benefício econômico ou outro obtido com a infração.
• A condição econômica do infrator: A capacidade financeira do agente para arcar com a sanção.
• A reincidência: O histórico de infrações do agente.
• O grau de dano: A extensão do prejuízo causado ao titular.
• A cooperação do infrator: A colaboração com a ANPD durante a investigação.
• A adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano: A existência de um programa de governança em privacidade eficiente (Artigo 50 da LGPD).
• A adoção de política de boas práticas e governança: A demonstração de compromisso com a proteção de dados (Artigo 50 da LGPD).
• A pronta adoção de medidas corretivas: A ação rápida para reparar o dano e evitar novas infrações.
• A proporcionalidade entre a gravidade da falta e a intensidade da sanção: A adequação da pena à infração.

Sanções Administrativas: O Poder de Punição da ANPD

O artigo 52 da LGPD estabelece o rol de sanções administrativas aplicáveis pela ANPD, que variam de advertência a multas milionárias, passando por suspensão e proibição do tratamento de dados:

• Advertência: Com indicação de prazo para adoção de medidas corretivas (Artigo 52, inciso I).
• Multa simples: De até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração (Artigo 52, inciso II).
• Multa diária: Limitada ao teto de R$ 50.000.000,00 (cinquenta milhões de reais) (Artigo 52, inciso III).
• Publicização da infração: Após devidamente apurada e confirmada a sua ocorrência (Artigo 52, inciso IV).
• Bloqueio dos dados pessoais: Até a sua regularização (Artigo 52, inciso V).
• Eliminação dos dados pessoais: A que se refere a infração (Artigo 52, inciso VI).
• Suspensão parcial do funcionamento do banco de dados: Por no máximo 6 (seis) meses, prorrogável por igual período, até a regularização da atividade (Artigo 52, inciso X).
• Suspensão do exercício da atividade de tratamento dos dados pessoais: Por no máximo 6 (seis) meses, prorrogável por igual período (Artigo 52, inciso XI).
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados: (Artigo 52, inciso XII).

A Resolução CD/ANPD nº 4/2023 estabelece a dosimetria das sanções, garantindo maior previsibilidade e segurança jurídica na aplicação das penalidades.

Jurisprudência e a Consolidação da LGPD

A jurisprudência brasileira tem se consolidado no sentido de reconhecer a importância da proteção de dados e a responsabilidade dos agentes de tratamento.

O Supremo Tribunal Federal (STF), no julgamento da ADI 6387, reconheceu o direito fundamental à proteção de dados pessoais, elevando-o à categoria de direito autônomo, mesmo antes da promulgação da Emenda Constitucional nº 115/2022, que o incluiu expressamente no artigo 5º, inciso LXXIX, da Constituição Federal.

O Superior Tribunal de Justiça (STJ) tem proferido decisões relevantes sobre a responsabilidade civil por vazamento de dados. A Corte tem entendido que o mero vazamento de dados pessoais, por si só, não gera dano moral presumido (in re ipsa), exigindo a comprovação do efetivo prejuízo ao titular. No entanto, em casos de vazamento de dados sensíveis ou de situações em que o vazamento expõe o titular a riscos significativos, a jurisprudência tende a reconhecer o dano moral.

Os Tribunais de Justiça estaduais também têm aplicado a LGPD em diversas situações, como em casos de compartilhamento indevido de dados por empresas de telemarketing, instituições financeiras e plataformas digitais.

Dicas Práticas para Advogados

A atuação do advogado no Direito Digital exige conhecimento aprofundado da LGPD e das normas da ANPD. Algumas dicas práticas para a atuação na área:

• Mapeamento de Dados: Auxiliar o cliente a identificar e mapear todos os dados pessoais tratados pela organização, documentando o ciclo de vida dos dados (Artigo 37 da LGPD).
• Bases Legais: Garantir que todo tratamento de dados esteja respaldado em uma das bases legais previstas nos artigos 7º e 11 da LGPD.
• Políticas de Privacidade: Elaborar e revisar as políticas de privacidade, assegurando que sejam claras, transparentes e acessíveis aos titulares (Artigo 9º da LGPD).
• Relatório de Impacto à Proteção de Dados Pessoais (RIPD): Auxiliar na elaboração do RIPD em casos de tratamento de dados que possam gerar riscos aos direitos e liberdades civis (Artigo 38 da LGPD).
• Atendimento aos Titulares: Implementar procedimentos eficientes para atender às solicitações dos titulares de dados (Artigo 18 da LGPD).
• Gestão de Incidentes: Auxiliar na elaboração e implementação de um plano de resposta a incidentes de segurança, garantindo a notificação à ANPD e aos titulares em caso de vazamento de dados (Artigo 48 da LGPD).
• Treinamento: Promover treinamentos periódicos para os colaboradores da empresa sobre a importância da proteção de dados e as políticas internas.
• Monitoramento: Acompanhar as resoluções e orientações da ANPD, bem como a evolução da jurisprudência sobre o tema.

Conclusão

A fiscalização da ANPD representa um marco na efetividade da Lei Geral de Proteção de Dados no Brasil. A atuação da Autoridade, pautada pela normatização, fiscalização e aplicação de sanções, exige que as organizações adotem uma postura proativa na gestão da privacidade e segurança da informação. A conformidade com a LGPD não se resume a evitar multas, mas sim a construir uma cultura de respeito aos dados pessoais, fortalecendo a confiança dos titulares e mitigando riscos jurídicos e reputacionais. O advogado especialista em Direito Digital desempenha um papel fundamental nesse cenário, orientando seus clientes na implementação de programas de governança eficientes e na navegação pelo complexo arcabouço regulatório da proteção de dados.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.