A Lei Geral de Proteção de Dados Pessoais (LGPD), que entrou em vigor em agosto de 2020, com o intuito de regular o tratamento de dados pessoais, inclusive por meios digitais, dispôs acerca das sanções administrativas aplicáveis às infrações cometidas por agentes de tratamento de dados, em seus artigos 52, 53 e 54, os quais somente entraram em vigor em agosto de 2021.
A LGPD, em seu artigo 55-A, criou a Autoridade Nacional de Proteção de Dados (ANPD), inicialmente como órgão da administração pública, passando posteriormente a autarquia de natureza especial, a qual desde a sua instituição teve um viés orientativo e educacional.
Ocorre que já em meados de 2022, a ANPD sinalizara que iniciaria a prática fiscalizatória e punitiva. Quase dois anos após a entrada em vigor das sanções administrativas e após a instauração de processo administrativo sancionatório pela Coordenação-Geral de Fiscalização (CGF), a ANPD aplicou a primeira sanção decorrente de infração à LGPD, no último dia 06 de julho.
Trata-se de processo instaurado contra microempresa situada no território nacional, cujas penalidades aplicadas decorreram da ausência de registro de operações de tratamento (ROPA), da ausência de comprovação de hipótese legal, do não envio de Relatório de Impacto de Proteção de Dados (RIPD), da ausência de nomeação de encarregado de dados pessoais (DPO) e do não atendimento à requisição da ANPD.
As sanções totalizaram o montante de R$14.400,00 (quatorze mil e quatrocentos reais). Houve advertência por infração ao artigo 41 da LGPD, o qual faz alusão à necessidade de indicação de encarregado pela empresa, bem como aplicação de multa simples de R$ 7.200,00 (sete mil e duzentos reais) por ofensa ao artigo 7º, da LGPD, relativo às bases legais e de mais R$ 7.200,00 (sete mil e duzentos reais) por ofensa ao artigo 5º do Regulamento de fiscalização, que dispõe sobre a possibilidade de aplicação gradativa de sanções, isolada ou cumulativamente, considerando as peculiaridades de cada caso concreto.
É importante ressaltar que a empresa infratora pode recorrer da decisão, mas, caso renuncie a este direito, fará jus à redução de 25% (vinte e cinco por cento) no valor da multa.
Contudo, a decisão é questionável ao deixar de determinar expressamente à infratora as medidas necessárias à adequação das condutas tidas como irregulares à vista da LGPD. A aplicação das multas, sem estabelecer a obrigação de adequação, pode gerar a equivocada premissa de que o pagamento bastaria.
Diante desse cenário, passa-se, na prática, de uma conduta inicialmente orientativa da ANPD, para uma atuação regulatória também punitiva, demonstrando a importância das empresas, inclusive as de pequeno porte, diligenciem com brevidade na adequação, na implementação de boas práticas e no respeito e atendimento à legislação de proteção de dados pessoais.
*Carmen Gloria Arriagada Bérrios, sócia do Pereira Gionédis Advogados, e Renata de Pauli, advogada associada ao PGA