A Autoridade Nacional de Proteção de Dados (ANPD), criada pela Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados), têm as suas atribuições regulamentadas nos 24 incisos do art. 55-J da referida legislação.

Uma de suas funções é editar regulamentos, como o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, instituído pela Resolução CD/ANPD nº1/2021, e o Regulamento de Aplicação de Sanções Administrativas, publicado em fevereiro deste ano, para definir os critérios e parâmetros para as sanções previstas nos arts. 52 e 53 da LGPD, bem como as formas e dosimetrias para o cálculo do valor-base das multas.

Quanto ao primeiro Regulamento, há previsão, em seu art. 15, que a ANPD adotará atividades de monitoramento, de orientação e de prevenção no processo de fiscalização, e poderá iniciar a atuação repressiva no processo administrativo sancionador.

Em relação aos meios de atuação, a fiscalização pode se dar de ofício, em decorrência de programas periódicos de fiscalização, de forma coordenada com órgãos e entidades públicos, ou em cooperação com autoridades de proteção de dados pessoais de outros países. Já no tocante à instauração do processo administrativo sancionador, este pode acontecer de ofício pela Coordenação Geral de Fiscalização (CGF), em decorrência do processo de monitoramento, ou diante de requerimento em que a CGF, após efetuar a análise de admissibilidade.

Quanto ao segundo Regulamento, instituído pela Resolução CD/ANPD nº 4/2023, o qual trata sobre a dosimetria das sanções, há disposição, em seu art. 3º, a respeito das sanções administrativas as quais o infrator estará sujeito, de acordo com a gravidade e a natureza da infração e dos direitos pessoais afetados (art. 8º). Outrossim, o cálculo da dosimetria é feito considerando a base de cálculo a partir do faturamento da empresa ou grupo, o intervalo de alíquotas, o grau de dano e as circunstâncias atenuantes e agravantes.

A título de exemplo, tem-se a primeira sanção aplicada pela Coordenação-Geral de Fiscalização da ANPD à empresa Telekall Inforservice, em julho de 2023, por violação aos arts. 7º e o 41 da LGPD, além do art. 5º do Regulamento de Fiscalização da ANPD.

A fiscalização foi iniciada a partir de denúncia de que a empresa Telekall Infoservice estaria ofertando uma listagem de contatos de WhatsApp de eleitores para fins de disseminação de material de campanha eleitoral. Os fatos denunciados foram relativos à eleição municipal de 2020, em Ubatuba/SP.

A ANPD verificou que o tratamento de dados pessoais denunciado estava ocorrendo sem respaldo legal. Foi apurada ainda a falta de comprovação da indicação de encarregado pelo tratamento de dados pessoais pela empresa. Embora seja uma microempresa, a Telekall não comprovou que não fazia tratamento de alto risco, condição necessária para excepcionalizar a exigência de designação do encarregado.

Diante dos indícios de infração à LGPD e do não atendimento de determinações da equipe de fiscalização pela empresa, a CGF/ANPD lavrou Auto de Infração, iniciando o Processo Administrativo Sancionador. Encerrada a instrução, a Autoridade entendeu que a empresa ofertava listagens de contatos de WhatsApp para fins de disparo de mensagens, tendo construído banco de dados a partir de dados disponíveis na internet.

Dessa forma, a CGF concluiu pela ocorrência de infração ao art. 7º e ao art. 41 da LGPD, e art. 5º da Resolução CD/ANPD nº 1/2021. À infração ao art. 7º da LGPD (pela ausência de comprovação de hipótese legal de tratamento de dados pessoais) e à violação ao art. 5º do Regulamento de Fiscalização (devido à obstrução à atividade de fiscalização) foram aplicadas sanções de multa simples (art. 52, II), no valor de R$ 7.200,00 para cada infração, totalizando R$14.400,00. Quanto ao descumprimento ao art. 41 da Lei, devido à ausência de indicação de um Encarregado de Dados, resultou em sanção de advertência (art. 52, I). Ainda há possibilidade de recurso da decisão ao Conselho Diretor da Autoridade.

Além do processo mencionado acima, existem, atualmente, outros 13 processos de fiscalização e mais 9 processos administrativos sancionadores em andamento, segundo informações divulgadas pela CGF. O número ainda é baixo, mas o que se percebe é um aumento gradativo das atividades fiscalizatórias da ANPD, bem como um número cada vez maior de comunicados sobre incidentes, requerimentos, denúncias e petições de titulares de dados, o que deve levar a uma atuação cada vez mais intensa da ANPD.

Nossa equipe de proteção de dados permanece à disposição para quaisquer esclarecimentos a respeito da temática.

Mariana de Magalhães e Souza

Advogada da Área Cível de Stüssi Neves Advogados – São Paulo

mariana.souza@stussinevessp.com.br