Sete pontos de atenção acerca da proposta de dosimetria da ANPD

A minuta da resolução submetida à consulta pública [1] complementa o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1/21 [2], ao estabelecer regras, em especial os parâmetros e critérios, para a aplicação de sanções administrativas previstas na LGPD, quais sejam:

II – multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração;

III – multa diária, observado o limite total a que se refere o inciso II;

IV – publicização da infração após devidamente apurada e confirmada a sua ocorrência;

V – bloqueio dos dados pessoais a que se refere a infração até a sua regularização;

VI – eliminação dos dados pessoais a que se refere a infração;

X – suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador; 

XI – suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período;

XII – proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. 

Importante lembrar que a premissa do processo de fiscalização é a atuação responsiva da ANPD, com a adoção de medidas proporcionais ao risco identificado e à postura dos agentes regulados, conforme artigo 17 da Res. 1/21 CD/ANPD. Vejamos:

— Priorização da atuação baseada em evidências e riscos regulatórios, com foco e orientação para o resultado;

— A adoção de medidas proporcionais ao risco identificado e à postura dos agentes regulados;

— Mecanismos de transparência, de retroalimentação e de autorregulação;

— Incentivo à responsabilização e prestação de contas pelos agentes de tratamento;

— Estímulo à conciliação direta entre as partes e priorização da resolução do problema e da reparação de danos pelo controlador, observados os princípios e os direitos do titular previstos na LGPD; e

— Exigência de mínima intervenção na imposição de condicionantes administrativas ao tratamento de dados pessoais.

Antes de comentar sobre a consulta pública, importante relembrar alguns marcos temporais da LGPD:

— Sanção da LGPD: 14/08/18 — Lei 13.709/18;

— Criação da ANPD: 28/12/18 — Medida Provisória 869/18 > Lei 13.853/19;

— Estrutura Regimental e nomeação dos Diretores de ANPD: 05/11/20, com a publicação no DOU de todos os diretores da ANPD. Decreto 10.474/20 em vigor;

— ANPD transformada em autarquia de natureza especial: 13/06/22 (MP 1.124/22, que ainda será analisada pelo Congresso Nacional);

— LGPD em vigor, com exceção das sanções administrativas: 18/09/20 – Medida Provisória 959/20 > Lei 14.058/20. Aproveito para citar relatório de Jurimetria com a análise das decisões do Judiciário sobre LGPD em 2021[3];

— Sanções administrativas: 01/08/21 — Lei 14.010/20. Porém, a  ANPD esclareceu que "iniciaria a sua atuação sancionadora após aprovação do Regulamento de Fiscalização e Aplicação de Sanções Administrativas" [4], o que ocorreu em 28/10/21, fora a discussão sobre a necessidade da regulamentação da dosimetria, pois a LGPD prevê (artigo 53) que a ANPD definirá, por meio de regulamento próprio sobre sanções administrativas a infrações, que deverá ser objeto de consulta pública, as metodologias que orientarão o cálculo do valor-base das sanções de multa. As metodologias devem ser previamente publicadas, para ciência dos agentes de tratamento, e devem apresentar objetivamente as formas e dosimetrias para o cálculo do valor-base das sanções de multa, que deverão conter fundamentação detalhada de todos os seus elementos, demonstrando a observância dos critérios previstos nesta Lei. O regulamento de sanções e metodologias correspondentes deve estabelecer as circunstâncias e as condições para a adoção de multa simples ou diária.

Ainda, de suma importância a leitura das 114 páginas do Relatório de Análise de Impacto Regulatório da proposta de Dosimetria [5], e o voto da Relatora (Diretora Miriam Wimmer) [6], avaliando modelos nacionais e internacionais, o que denota a cautela que a ANPD teve antes de finalizar o texto para a consulta pública.

Assim, vamos aos sete pontos de atenção:

1) Prazo da consulta pública é curto demais para sugestões diante de uma regulamentação de tamanha importância. Por isso, é muito relevante a dilação por mais 30 dias, no mínimo, do prazo atual. Ou seja, até o dia 15/10;

2) O conceito de "infração permanente" (quando o infrator, mediante ação ou omissão, pratica a infração ao mesmo dispositivo normativo, prolongando a conduta no tempo) não pode ferir o princípio da irretroatividade da lei. Importante haver clareza no conceito para que se mitigue esse risco.

3) Modelo de classificação de gravidade das infrações: com os critérios propostos, as infrações recairão, invariavelmente, na conclusão pela "gravidade" (invés de leve ou média) de praticamente todos os eventos objeto das futuras fiscalizações. Basta juntar a subjetividade dos conceitos de "dados em larga escala" ou o "fato afetar significativamente interesses e direitos fundamentais", com a nulidade de uma base legal, como o legítimo interesse ou um vício de consentimento, por exemplo. Ou, então, um "roubo de identidade" com eventual vantagem econômica indireta (a ANPD entender que um evento foi motivado por falta de investimento, conforme sugere o relatório de impacto regulatório), por exemplo. Ou, até mesmo, a abrangência do que pode ser considerado "obstrução à atividade de fiscalização", como um representante que pode não responder adequadamente a uma pergunta da fiscalização e a ANPD considerar que ele não era "apto a oferecer suporte à atuação da ANPD, com conhecimento e autonomia" (conforme incido VI, do artigo 5º, da Res. 1/21 CD/ANPD).

4) Reincidência

— Prazo muito longo considerado para as reincidências (05 anos). No próprio relatório de análise de impacto regulatório a proposta é de 2 anos para a “específica” e de 3 anos para a “genérica”;

— Início da contagem deve ser do fato gerador e não da decisão transitada em julgado;

— Na "reincidência específica" precisaria definir que ela se aplica sobre a atividade de tratamento, pois ferir o mesmo dispositivo legal, por exemplo, pode envolver atividades completamente distintas. Ou seja, não seria possivelmente uma reincidência específica como pretende o atual texto.

5) Cálculo do valor-base da multa simples e grupo econômico: o cálculo deve ser realizado com fundamento no valor do faturamento no ramo de atividade empresarial em que ocorreu a infração (artigo 52, §4º, da LGPD) e não com base no faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil referente ao último exercício anterior disponível ao da aplicação da sanção (proposta no artigo 12, inciso II), o que deve ser excepcional.

6) Efeito suspensivo: nos termos do artigo 60 da Res. 01/21 da ANPD, o efeito suspensivo deve ser regra e não exceção, como sugere a proposta em seu artigo 62-A ao dispor que "o recurso administrativo poderá ter efeito suspensivo, quando requerido pelo recorrente e houver fundado receio de prejuízo de difícil ou incerta reparação" e não que "terá efeito suspensivo".

7) Importância da manifestação prévia do principal órgão regulador setorial antes da aplicação de qualquer sanção: apesar de as sanções previstas na LGPD serem de competência exclusiva da ANPD, e ela prevalecerá, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública (artigo 55-K – LGPD), é muito relevante que o órgão setorial competente, por sua especialização, seja necessariamente ouvido previamente a qualquer sanção. Isso, inclusive, dará mais segurança para a ANPD na análise dos casos concretos, cada vez mais complexos com questões específicas do respectivo setor.

A eleição do modelo de valoração ao invés do modelo de tipos, apesar de poder gerar maior proporcionalidade entre a gravidade da falta e a intensificação da sanção, trará responsabilidade ainda maior para a ANPD na avaliação a ser amoldada a cada conduta.

O desafio será identificar e implementar alternativas que consigam sancionar equilibradamente os atores transgressores e ao mesmo tempo estimular aqueles que desejam cooperar e atender os padrões mínimos desejados. Medidas excessivamente prescritivas que criem barreiras ou custos desnecessários ou desproporcionais aos regulados podem gerar uma cultura de desincentivo e de percepção negativa da LGPD, que busca proteger direitos fundamentais e o desenvolvimento econômico e tecnológico e a inovação.

Por fim, conforme própria ponderação da ANPD na Análise de Impacto Regulatório, importante haver possibilidade para reavaliação dos dispositivos do futuro regulamento, a partir da experiência que ainda é inexistente da ANPD, diante do risco de não ser assertiva quanto à proporcionalidade e à razoabilidade pela falta de dados e informações históricas provenientes de processos administrativos sancionadores.