Sanção por violação à LGPD vai para uma microempresa

Transcrição Áudio (Automática)

Fala turma!

Primeira decisão da ANPD, Autoridade Nacional de Proteção de Dados, saiu e não foi para as grandes não, foi para uma microempresa. Então, aqueles que acham aí que microempresa não vai ser fiscalizada já pode ir tirando o cavalinho da chuva porque de fato vão ser fiscalizadas sim. Alguns pontos que merecem atenção nesta decisão. Primeiro, o fato de ser microempresa e ter na primeira sanção dela ter sido ali uma advertência pela ausência de nomeação de encarregado. Alguns vão lembrar e falar que “olha, temos uma resolução número 2 que flexibiliza para as micro, empresas de pequeno porte, algumas startups, as regras da LGPD”. E uma dessas flexibilizações é a nomeação, a obrigatoriedade de ter nomeado um encarregado de dados. Só que é importante a gente lembrar que nesta mesma resolução ela traz algumas exceções a esse benefício, como por exemplo quando há um tratamento de alto risco que pode ser considerado como aquele que é feito em larga escala. Então vejam bem o que pode ter acontecido e uma ressalva porque a gente só tem acesso à decisão em si, não sabe os fundamentos, a gente não tem conhecimento sobre os fundamentos que levaram a essa decisão, mas acredito que pela atividade da empresa ser de marketing, nós podemos ali suspeitar que é justamente a essa atividade feita em larga escala e aí como há um disparo em massa de mensagens comerciais, há também essa…

Ela tira, a empresa perde esse caráter ou essa proteção da resolução número 2. Então, primeiro ponto, se afastou a consideração de que ela é uma empresa de pequeno porte. Se afasta esse benefício. Segundo ponto é a ausência de base legal. Ótimo, todo mundo sabe. “Ah, é uma atividade é ilícita, então vou ter problemas ali com o A LGPD se eu não encaixar em uma daquelas hipóteses legais.” E no caso aqui não considerou nem consentimento, nem legítimo interesse e que geralmente são aquelas mais utilizadas em atividades de marketing. Então a gente não sabe se de fato essas bases que eram utilizadas eram de fato bases legítimas de uma relação com determinada empresa e eles atuando como, por exemplo, um operador ou se de fato eles havia ali uma base de dados construída própria e que podia afetar pessoas que nunca tiveram qualquer tipo de relação com as empresas que estavam disparando o marketing. Que também devem ser motivo de fiscalização. As empresas que usam empresa, esses serviços que não estão adequados também podem se sujeitar à responsabilização por essa ausência de hipótese legal. E um outro ponto interessante que vale a gente comentar que é o fato de a empresa não ter contribuído no processo de fiscalização fornecendo as documentações e isso configura uma violação é o artigo 5º do Regulamento de Fiscalização.

Então, uma vez intimada, a empresa não apresenta a documentação, ela então também só pode sofrer uma sanção por ter possivelmente um tratamento em larga escala e por isso mesmo sendo microempresa é obrigatória a sua nomeação. Segundo a falta de hipótese legal para esse tratamento de dados. E a terceira não contribuição, não fornecimento de documentação no processo fiscalizatório. E aí, Rafael, qual que é essa documentação? Importante a gente lembrar que a ANPD já tinha divulgado lá dos processos, no seu site, os processos, as ações que estavam em tramitação e uma delas era justamente essa empresa e lá mencionava exatamente essa falta de relatórios de impacto, o registro das operações de tratamento, tudo aquilo que a gente sempre fala que é importante e que está na legislação como documentação obrigatória. Então, certamente a empresa não apresenta é porque não os tem e aí o fato gera então essa infração. E outra coisa interessante, veja que não precisa da ANPD ir lá na empresa fazer a fiscalização, ela não precisa ter braço pra isso. Ela pode fazer a solicitação e se a empresa não apresenta, ela tem uma infração que o valor dessa infração por não apresentar a documentação foi o mesmo valor por não haver uma hipótese legal.

Chama bastante atenção isso, um caso claro, histórico, porque é a nossa primeira decisão administrativa da autoridade que fiscaliza o regime de tratamento de dados pessoais no Brasil e que dá um alerta àqueles que ainda acreditam que vão passar ilesos com tratamentos abusivos dos dados pessoais. Um grande abraço para vocês.