Mitigando sanções da ANPD: o papel da retenção de dados na LGPD

A ANPD (Autoridade Nacional de Proteção de Dados) publicou recentemente o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, conhecido como "norma de dosimetria", que estabelece parâmetros e critérios para aplicação de penalidades por descumprimento à LGPD (Lei Geral de Proteção de Dados), reforçando a capacidade de fiscalização e atuação sancionadora da autoridade.

Isso porque uma retenção de dados adequada, que define prazos de guarda e eliminação de dados que não possuem mais finalidade para o negócio, além de contribuir para a economia com infraestrutura, protege interesses de clientes, apoia a responsabilidade e transparência da empresa, mantém a privacidade e a confidencialidade, além de reduzir riscos de incidentes de dados.

A norma de dosimetria da ANPD avalia a gravidade da infração com base em vários critérios, como a natureza e a gravidade dos dados pessoais afetados e a intencionalidade da violação, entre outros.

Os parâmetros e critérios para a definição das sanções são estabelecidos levando em consideração fatores como a adoção reiterada de mecanismos e procedimentos internos de minimização de danos, a boa-fé do infrator e a reincidência específica. Dessa forma, a adoção de mecanismos de record keeping, assim como um desenho de processos para a coleta e o tratamento de mínimo de dados, poderá ser considerada, mesmo numa situação de incidente, como fator mitigante.

A norma considera como agravante o tratamento de dados em grande volume, duração, frequência e extensão geográfica amplas, enquanto a realização de tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD é outro fator negativo. A retenção adequada de dados pode ser um fator mitigante, já que uma empresa que retém apenas os dados necessários e com base legal pode argumentar que tomou medidas para cumprir a LGPD e, portanto, reduzir o impacto de uma eventual sanção.

A ANPD pode, ainda, reduzir a sanção se a empresa cooperar com a autoridade durante o processo de investigação e fornecer informações relevantes para a resolução da infração. Novamente, a manutenção de registros adequados pode ajudar a empresa a fornecer dados para a ANPD durante o processo de investigação, colaborando com transparência.

Por fim, o histórico de conformidade da empresa também é considerado pela ANPD na determinação da gravidade da infração e da sanção a ser aplicada. Se uma empresa mantiver registros precisos e completos de suas atividades de processamento de dados pessoais, isso pode demonstrar antecedentes de conformidade com a LGPD e ajudar a mitigar a sanção.

É importante destacar que o record keeping deve ser uma prática contínua e sistemática, com ações de monitoramento e atualização dos registros para garantir que a empresa esteja sempre em conformidade com a legislação e pronta para colaborar com a ANPD em caso de investigação de incidentes de dados.