O cenário da proteção de dados no Brasil passou por transformações significativas desde a promulgação da Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018). Com a criação da Autoridade Nacional de Proteção de Dados (ANPD), o país estabeleceu um órgão fiscalizador com poder de sanção, consolidando a cultura de proteção de dados no ambiente corporativo e governamental. Este artigo, direcionado a advogados e profissionais do Direito Digital, analisa o papel da ANPD na fiscalização do tratamento de dados, explorando a legislação, a jurisprudência e as melhores práticas para a conformidade legal.
A Autoridade Nacional de Proteção de Dados (ANPD): Natureza e Competência
A ANPD, inicialmente vinculada à Presidência da República e, posteriormente, transformada em autarquia de natureza especial (Lei nº 14.460/2022), é o órgão central na aplicação da LGPD. Sua atuação abrange a normatização, a fiscalização e a sanção, buscando garantir a proteção dos direitos fundamentais de liberdade e de privacidade, conforme o artigo 55-J da LGPD.
A competência da ANPD é ampla e inclui:
- Zelar pela proteção dos dados pessoais: Artigo 55-J, inciso I.
- Fiscalizar e aplicar sanções: Artigo 55-J, inciso IV.
- Promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança: Artigo 55-J, inciso VI.
- Estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais: Artigo 55-J, inciso VII.
- Articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação: Artigo 55-J, inciso VIII.
A Fiscalização da ANPD: Procedimentos e Critérios
A fiscalização da ANPD é o mecanismo central para garantir o cumprimento da LGPD. O processo de fiscalização, regulamentado pela Resolução CD/ANPD nº 1/2021, é pautado pelos princípios da proporcionalidade, da razoabilidade e da ampla defesa (Artigo 55-J, § 1º).
O processo fiscalizatório pode ser iniciado de ofício pela ANPD, por provocação de titulares de dados, do Ministério Público ou de outras autoridades. A ANPD possui a prerrogativa de requisitar informações aos controladores e operadores (Artigo 55-J, inciso IV), realizar auditorias (Artigo 55-J, inciso XVI) e aplicar as sanções previstas no artigo 52 da LGPD.
Critérios de Avaliação
Ao avaliar a conduta de um agente de tratamento, a ANPD considera diversos fatores, conforme o artigo 52, § 1º da LGPD:
- A gravidade e a natureza das infrações e dos direitos pessoais afetados: A dimensão do dano causado ao titular.
- A boa-fé do infrator: A demonstração de que o agente agiu com diligência e buscou a conformidade.
- A vantagem auferida ou pretendida pelo infrator: O benefício econômico ou outro obtido com a infração.
- A condição econômica do infrator: A capacidade financeira do agente para arcar com a sanção.
- A reincidência: O histórico de infrações do agente.
- O grau de dano: A extensão do prejuízo causado ao titular.
- A cooperação do infrator: A colaboração com a ANPD durante a investigação.
- A adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano: A existência de um programa de governança em privacidade eficiente (Artigo 50 da LGPD).
- A adoção de política de boas práticas e governança: A demonstração de compromisso com a proteção de dados (Artigo 50 da LGPD).
- A pronta adoção de medidas corretivas: A ação rápida para reparar o dano e evitar novas infrações.
- A proporcionalidade entre a gravidade da falta e a intensidade da sanção: A adequação da pena à infração.
Sanções Administrativas: O Poder de Punição da ANPD
O artigo 52 da LGPD estabelece o rol de sanções administrativas aplicáveis pela ANPD, que variam de advertência a multas milionárias, passando por suspensão e proibição do tratamento de dados:
- Advertência: Com indicação de prazo para adoção de medidas corretivas (Artigo 52, inciso I).
- Multa simples: De até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração (Artigo 52, inciso II).
- Multa diária: Limitada ao teto de R$ 50.000.000,00 (cinquenta milhões de reais) (Artigo 52, inciso III).
- Publicização da infração: Após devidamente apurada e confirmada a sua ocorrência (Artigo 52, inciso IV).
- Bloqueio dos dados pessoais: Até a sua regularização (Artigo 52, inciso V).
- Eliminação dos dados pessoais: A que se refere a infração (Artigo 52, inciso VI).
- Suspensão parcial do funcionamento do banco de dados: Por no máximo 6 (seis) meses, prorrogável por igual período, até a regularização da atividade (Artigo 52, inciso X).
- Suspensão do exercício da atividade de tratamento dos dados pessoais: Por no máximo 6 (seis) meses, prorrogável por igual período (Artigo 52, inciso XI).
- Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados: (Artigo 52, inciso XII).
A Resolução CD/ANPD nº 4/2023 estabelece a dosimetria das sanções, garantindo maior previsibilidade e segurança jurídica na aplicação das penalidades.
Jurisprudência e a Consolidação da LGPD
A jurisprudência brasileira tem se consolidado no sentido de reconhecer a importância da proteção de dados e a responsabilidade dos agentes de tratamento.
O Supremo Tribunal Federal (STF), no julgamento da ADI 6387, reconheceu o direito fundamental à proteção de dados pessoais, elevando-o à categoria de direito autônomo, mesmo antes da promulgação da Emenda Constitucional nº 115/2022, que o incluiu expressamente no artigo 5º, inciso LXXIX, da Constituição Federal.
O Superior Tribunal de Justiça (STJ) tem proferido decisões relevantes sobre a responsabilidade civil por vazamento de dados. A Corte tem entendido que o mero vazamento de dados pessoais, por si só, não gera dano moral presumido (in re ipsa), exigindo a comprovação do efetivo prejuízo ao titular. No entanto, em casos de vazamento de dados sensíveis ou de situações em que o vazamento expõe o titular a riscos significativos, a jurisprudência tende a reconhecer o dano moral.
Os Tribunais de Justiça estaduais também têm aplicado a LGPD em diversas situações, como em casos de compartilhamento indevido de dados por empresas de telemarketing, instituições financeiras e plataformas digitais.
Dicas Práticas para Advogados
A atuação do advogado no Direito Digital exige conhecimento aprofundado da LGPD e das normas da ANPD. Algumas dicas práticas para a atuação na área:
- Mapeamento de Dados: Auxiliar o cliente a identificar e mapear todos os dados pessoais tratados pela organização, documentando o ciclo de vida dos dados (Artigo 37 da LGPD).
- Bases Legais: Garantir que todo tratamento de dados esteja respaldado em uma das bases legais previstas nos artigos 7º e 11 da LGPD.
- Políticas de Privacidade: Elaborar e revisar as políticas de privacidade, assegurando que sejam claras, transparentes e acessíveis aos titulares (Artigo 9º da LGPD).
- Relatório de Impacto à Proteção de Dados Pessoais (RIPD): Auxiliar na elaboração do RIPD em casos de tratamento de dados que possam gerar riscos aos direitos e liberdades civis (Artigo 38 da LGPD).
- Atendimento aos Titulares: Implementar procedimentos eficientes para atender às solicitações dos titulares de dados (Artigo 18 da LGPD).
- Gestão de Incidentes: Auxiliar na elaboração e implementação de um plano de resposta a incidentes de segurança, garantindo a notificação à ANPD e aos titulares em caso de vazamento de dados (Artigo 48 da LGPD).
- Treinamento: Promover treinamentos periódicos para os colaboradores da empresa sobre a importância da proteção de dados e as políticas internas.
- Monitoramento: Acompanhar as resoluções e orientações da ANPD, bem como a evolução da jurisprudência sobre o tema.
Conclusão
A fiscalização da ANPD representa um marco na efetividade da Lei Geral de Proteção de Dados no Brasil. A atuação da Autoridade, pautada pela normatização, fiscalização e aplicação de sanções, exige que as organizações adotem uma postura proativa na gestão da privacidade e segurança da informação. A conformidade com a LGPD não se resume a evitar multas, mas sim a construir uma cultura de respeito aos dados pessoais, fortalecendo a confiança dos titulares e mitigando riscos jurídicos e reputacionais. O advogado especialista em Direito Digital desempenha um papel fundamental nesse cenário, orientando seus clientes na implementação de programas de governança eficientes e na navegação pelo complexo arcabouço regulatório da proteção de dados.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.