A LGPD vale para todos

Mário Tavernard Martins de Carvalho e André Paschoal Café de Castro *

A aplicação das sanções previstas no artigo 52 da LGPD (Lei Geral de Proteção de Dados) está em vigor desde 1º de agosto de 2021. Contudo, a regulação do processo de fiscalização e do processo administrativo sancionador na ANPD (Autoridade Nacional de Proteção de Dados), com o intuito de possibilitar a aplicação das sanções, ocorreu apenas em 28 de outubro de 2021, com a publicação do Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021). Paralelamente, em 24 de fevereiro de 2023, a ANPD publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023), o qual estabelece as circunstâncias, as condições e os métodos de aplicação das sanções, considerando aspectos como a extensão do dano e o prejuízo causado aos titulares de dados.

Assim, diante de um cenário de incertezas sobre os direcionamentos a serem tomados pela ANPD no exercício de suas prerrogativas fiscalizatórias e sancionatórias, a autarquia, recentemente, deu sinais de efetividade na apuração de infrações e aplicação de sanções. Isso porque, em 06/07/2023, por meio de decisão proferida no âmbito do Processo Administrativo Sancionador de nº 00261.000489/2022-62, a autarquia, pela primeira vez, aplicou sanção a um agente de tratamento.

A instauração do referido Processo Administrativo Sancionador foi motivada por uma denúncia direcionada à autarquia, a partir da qual se alegou que a microempresa Telekall Infoservice estaria ofertando contatos de WhatsApp de eleitores para fins de disseminação de material de campanha eleitoral, à época da eleição municipal de 2020 em Ubatuba/SP.

Posteriormente, com a instauração do processo administrativo em questão, a ANPD apurou a ocorrência de três infrações à legislação de proteção de dados: violação ao art. 7º da LGPD, por tratamento de dados pessoais sem fundamento nas “bases legais” elencadas pelo artigo; violação ao art. 41 da LGPD, por não indicação de encarregado (também conhecido como “DPO”); e violação ao art. 5º do Regulamento de Fiscalização da ANPD, em razão do descumprimento de determinações de natureza fiscalizatória conduzidas pela Coordenação Geral de Fiscalização da ANPD.

A não indicação de encarregado pela Telekall Infoservice rendeu apenas a sanção de advertência. Contudo, o tratamento de dados pessoais sem fundamento legal e o descumprimento de medidas fiscalizatórias pela empresa levaram à aplicação de multa simples no valor total de R$ 14.400,00. Vale ressaltar que, conforme dispõe o art. 52, II, da LGPD, o valor da multa simples pode equivaler a 2% do faturamento da empresa (excluído os tributos), limitado à quantia de R$ 50.000.000,00 (cinquenta milhões de reais).

Assim, diante da aplicação de sanções a uma microempresa, a qual, diga-se de passagem, está classificada como “inapta” no Cadastro Nacional de Pessoas Jurídicas há mais de dois anos, a ANPD dá sinais claros de que, independentemente do grau da infração e do tamanho da empresa, ou melhor, do agente de tratamento, uma vez violada a legislação de proteção de dados, haverá consequências legais – sem considerar a repercussão midiática e o ônus reputacional para a empresa.

Diante disso, a adequação à legislação de proteção de dados, para além de ser medida fundamental para se evitar a aplicação de penalidades, é medida essencial para se evitar perdas reputacionais – por vezes irreparáveis – garantindo, assim, a boa imagem da empresa e a sustentabilidade do negócio.

*Graduado em Direito Empresarial, com MBA em Finanças Corporativas, professor do Ibmec/MG e sócio do escritório Tavernard Advogados / Graduado em Direito e Trainee Jurídico do escritório Tavernard Advogados