Pontos importantes sobre o Regulamento de Dosimetria publicado pela ANPD

No último dia 27 de fevereiro de 2023, fora publicado no Diário Oficial da União, a Resolução nª 04 da ANPD – Autoridade Nacional de Proteção de Dados Pessoais, que aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. 

Com a publicação, a autoridade poderá aplicar as sanções, inclusive em processos que já estavam em trâmite, como aqueles decorrentes das mandatórias notificações de incidentes por vazamento.

Reforçamos abaixo algumas orientações a partir de pontos relevantes do regulamento.

1) Ausência de adequação/análise de novo procedimento/contrato e risco de configurar falta grave:

A ausência de base legal apropriada para tratamento de dados pessoais é considerada FALTA GRAVE, assim, importante que reforcem às equipes orientação no sentido de não iniciarem qualquer projeto ou contrato sem análise da legalidade do tratamento de dados.

Lembro que são várias as hipóteses autorizativas e 90% dos casos conseguimos ajustar a uma delas. O que não pode acontecer é não termos essa atividade mapeada para demonstrar em caso de fiscalização.

Omitir a atividade com receio de a mesma não ser aprovada, ou para agilizar o início, é bem pior!

Sugere-se, a fim de otimizar o aculturamento, que seja incluída a análise pelo encarregado de dados ou escritório de privacidade nos fluxos de procedimentos operacionais internos. Para mais orientações, consulte nossa cartilha sobre Privacy by Design.

2) Poderá configurar falta grave em caso de adoção sistemática de práticas irregulares

Em caso de violação da LGPD por um fato específico – falta de base legal, por exemplo – e depois haver uma outra falta relacionada a um incidente de segurança, ainda que não vinculada à primeira falta a conduta poderá ser considerada falta grave, caso a atividade de tratamento “puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade”.

O Regulamento estabeleceu no artigo 8º, § 3º, que se a atividade acima for realizada por um agente de tratamento que adotou sistematicamente práticas irregulares, a conduta que seria considerada como falta média será convertida em grave. Além disso, mesmo que a infração seja considerada leve, a reincidência pode ser considerada para fins de gradação da sanção.

É importante destacar que a reincidência pode ocorrer tanto em relação a um dispositivo específico quanto de forma geral em relação a toda a LGPD. Além disso, a reincidência é avaliada pelo período de 5 anos.

O Regulamento prevê dois tipos de reincidência para fins de gradação ou definição das sanções.

• VIII – reincidência específica: repetição de infração pelo mesmo infrator ao mesmo dispositivo legal ou regulamentar, no período de 5 (cinco) anos, contado do trânsito em julgado do processo administrativo sancionador, até a data do cometimento da nova infração;
• IX – reincidência genérica: cometimento de infração pelo mesmo infrator, independentemente do dispositivo legal ou regulamentar, no período de 5 (cinco) anos, contado do trânsito em julgado do processo administrativo sancionador até a data do cometimento da nova infração, excluído o disposto no inciso VIII do caput;
  

  3) Boas práticas como circunstância atenuante da multa simples

  A multa simples, que poderá chegar a 2% do faturamento do grupo econômico – limitada a R$ 50.000.000,00 (cinquenta milhões de reais) -, poderá ser reduzida em até 20% caso a empresa demonstre:

  • implementação de política de boas práticas e de governança ou de adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar os danos aos titulares, voltados ao tratamento seguro e adequado de dados, até a prolação da decisão de primeira instância no âmbito do processo administrativo sancionador;

  A demonstração da implementação é fundamental, não bastando simples alegação. Aproveite para revisar onde estão as documentações, confirmar respectivas assinaturas e adoção das políticas pelos envolvidos.