Segundo divulgado no último dia 23 de agosto, no site da Autoridade Nacional de Proteção de Dados (ANPD), no período de 2 a 15 de setembro de 2022 ocorre Consulta Pública, por meio da Plataforma Participa Mais Brasil, para elaboração da norma de dosimetria e aplicação de sanções pela autoridade^[1].

A busca pela construção de regulamento relativo à aplicação de sanções administrativas e metodologias de cálculo do valor da multa decorrem da previsão do artigo 53 da Lei Geral de Proteção de Dados (LGPD), a Lei 13.709/18, que deixou a cargo da ANPD a atribuição de editar regulamento sobre a matéria.

Nesse sentido, em julho de 2022 foi divulgado Relatório de Análise de Impacto Regulatório^[2], o qual propõe um modelo normativo baseado na valoração, isto é, determinar a espécie de sanção e o valor das sanções pecuniárias por meio de uma metodologia pré-definida. 

Segundo o relatório, este seria um sistema que proporcionaria maior flexibilidade na aplicação de sanções administrativas e que adotaria como parâmetro inicial para a definição da sanção a ser aplicada no caso concreto a gravidade e a natureza das infrações e dos direitos pessoais afetados e, posteriormente, seriam considerados elementos como a) boa-fé do infrator; b) vantagem auferida ou pretendida; c) condição econômica; d) grau do dano; e) adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, entre outros. 

Ocorre que, em que pese a boa intenção da ANPD na busca pela adoção de um modelo regulatório eficaz, que atenda a todos os seus nichos de atuação (uma vez que cabe a ela a fiscalização e sanção de estabelecimentos de portes diversos, incluindo grandes multinacionais), a autoridade ainda carece no empenho de editar regulação que trate acerca das condutas ilícitas passíveis de sanção. 

A ausência de tipificação tem gerado insegurança, dúvida e confusão quanto à atuação da ANPD, na sua missão institucional de aplicação da LGPD. Tal fato restou evidenciado no Relatório da Gestão da Ouvidoria da ANPD sobre 2021^[3], o qual relata que, no último ano, foram feitas 2.679 consultas ao órgão regulador, as quais demandavam um pronunciamento específico da autoridade sobre uma condição hipotética ou concreta. Ainda, o mesmo relatório indica que a Coordenação Geral de Fiscalização recebeu 756 denúncias contra controladores de dados, assim como foram solicitadas 352 consultas acerca da aplicabilidade da LGPD a casos específicos.

As questões acima mencionadas não foram efetivamente solucionadas, uma vez que, segundo a própria autoridade, o órgão recém-criado ainda apresenta baixa capacidade operacional e de pessoal. Ainda, no Relatório de Análise de Impacto Regulatório, de julho de 2022, a autoridade se vale do argumento de recente criação ao reconhecer a falta de experiência na aplicação de sanções pela ANPD e a falta de ausência de dados e informações sobre os processos sancionadores. 

Nota-se que a ANPD tem demonstrado grande interesse e busca na elaboração de regulamento de aplicação de sanções administrativas e definição das metodologias de cálculo do valor-base das sanções de multa. Em 28 de outubro de 2021, editou a Resolução CD/ANPD nº 01 que trata do processo de fiscalização e do processo administrativo sancionador.

Ainda que a presença de um regulamento que trate da fiscalização e aplicação de sanções pela autoridade seja de extrema importância, uma vez que proporciona ao administrado proteção e segurança jurídica pela observância do princípio do devido processo legal adjetivo, revela-se uma contradição: como haverá a efetivação dos procedimentos de fiscalização e de sanção sem a existência de uma norma que estabeleça previamente a tipificação das condutas ilícitas passíveis de sanção?

Ressalte-se que a falta de previsão de infrações causa a judicialização de questões que envolvem a LGPD, mas que deveriam ou poderiam ser solucionadas na esfera administrativa. 

No REsp 1.758.799/MG, a 3ª Turma do STJ apreciou os deveres inerentes à gestão de banco de dados, de que trata a Lei 12.414/2019 (Lei do Cadastro Positivo). O julgamento versou sobre clara ilicitude em matéria de proteção de dados pessoais.

Conforme o acórdão, “a gestão do banco de dados impõe a estrita observância das exigências contidas nas respectivas normas de regência — CDC e Lei 12.414/2011 — dentre as quais se destaca o dever de informação, que tem como uma de suas vertentes o dever de comunicar por escrito ao consumidor a abertura de cadastro, ficha, registro e dados pessoais e de consumo, quando não solicitada por ele”.

Nesta linha, “o consumidor tem o direito de tomar conhecimento de que informações a seu respeito estão sendo arquivadas/comercializadas por terceiro, sem a sua autorização, porque desse direito decorrem outros dois que lhe são assegurados pelo ordenamento jurídico: o direito de acesso aos dados armazenados e o direito à retificação das informações incorretas”. 

A 3ª Turma estabeleceu que “configura como dano moral in re ipsa a ausência de comunicação acerca da disponibilização/comercialização de informações pessoais em bancos de dados do consumidor”^[4].

O caso acima exemplificado poderia ser interpretado como uma omissão das finalidades a que se destina o tratamento de dados, conforme a LGPD. Tal conduta é, por exemplo, considerada como contraordenação grave perante a Comissão Nacional de Proteção de Dados (CNPD) (artigo 37, item 01, h, Lei n. 58/2019), autoridade de proteção de dados em Portugal, punível em até 20 mil euros ou ao equivalente a 4% do faturamento anual, em se tratando de empresa de grande porte.

Outro elemento que reforça a falta de empenho da ANPD na tipificação das condutas ilícitas diz respeito ao seu Planejamento Estratégico^[5], de vigência entre 2021 a 2023. O documento prevê, de forma genérica, que serão objetivos da autoridade: a) o fortalecimento da cultura e Proteção de Dados Pessoais; b) o estabelecimento de um ambiente normativo eficaz para a Proteção de Dados Pessoais e c) o aprimoramento de ações para o cumprimento das competências legais. 

Ao descrever as ações estratégicas para alcançar os objetivos estabelecidos, constata-se que a imensa maioria dos atos estipulados dizem respeito à implementação da ANPD como autarquia de natureza especial e a estruturação definitiva do órgão para o exercício eficiente de sua atividade.

A demora na elaboração de regulamento tipificando as condutas ilícitas passíveis de sanção administrativa pode levar a ANPD a perder credibilidade institucional, na atividade de fiscalização e sancionamento, à medida que as questões relativas ao cumprimento da LGPD continuarão a ser levadas ao Poder Judiciário.

A adoção de modelo responsivo nas estruturas do regime jurídico sancionador que rege a atuação da ANPD não pode afastar a garantia constitucional de tipicidade de infrações administrativas, um dos alicerces fundamentais do Direito Administrativo Sancionador no Brasil. Sem prévia tipificação infralegal, torna-se inválida qualquer pretensão sancionadora da ANPD, na aplicação da LGPD.

A tipicidade adequada é forma indispensável para estímulo de conformidade aos regulados, pelos seus efeitos preventivos e dissuasivos. Avançar, de forma concomitante, no desenho dos tipos administrativos, visando conferir isonomia e uniformidade no exercício da ampla discricionariedade deixada pela LGPD, também deve ser um tema prioritário na agenda regulatória.

^[1] Autoridade Nacional de Proteção de Dados – ANPD. Aberta consulta pública sobre elaboração da norma de dosimetria e aplicação de sanção pela ANPD. Disponível em<https://www.gov.br/anpd/pt-br/assuntos/noticias-periodo-eleitoral/aberta-consulta-publica-sobre-norma-de-dosimetria> Acessado em 04 de setembro de 2022. 

^[2] Autoridade Nacional de Proteção de Dados – ANPD. Relatório de Análise de Impacto Regulatório – Construção do modelo regulatório previsto na LGPD com relação à aplicação de sanções administrativas e às metodologias de cálculo do valor-base das sanções de multa. Disponível em <https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2022-06-30___air_reg_dosimetria_.pdf> Acessado em 04 de setembro de 2022. 

^[3] Autoridade Nacional de Proteção de Dados – ANPD. Relatório de Gestão de Ouvidoria – Exercício 2021. Disponível em <https://www.gov.br/anpd/pt-br/canais_atendimento/ouvidoria/anpd-rel-ouvidoria-2021.pdf> Acessado em 04 de setembro de 2022. 

^[4]REsp 1.758.799/MG, Rel. Min. Nancy Andrighi, Terceira Turma, por unanimidade, julgado em 12/11/2019, DJe 19/11/2019, Informativo n. 660. 

^[5] Autoridade Nacional de Proteção de Dados – ANPD. Planejamento Estratégico 2021-2023. Disponível em < https://www.gov.br/anpd/pt-br/acesso-a-informacao/planejamento-estrategico-anpd-versao-2-0-06072022.pdf > Acessado em 09 de setembro de 2022.

Autoridade Nacional de Proteção de Dados – ANPD. Aberta consulta pública sobre elaboração da norma de dosimetria e aplicação de sanção pela ANPD. Disponível em  <https://www.gov.br/anpd/pt-br/assuntos/noticias-periodo-eleitoral/aberta-consulta-publica-sobre-norma-de-dosimetria> Acessado em 04 de setembro de 2022.

Autoridade Nacional de Proteção de Dados – ANPD. Relatório de Análise de Impacto Regulatório – Construção do modelo regulatório previsto na LGPD com relação à aplicação de sanções administrativas e às metodologias de cálculo do valor-base das sanções de multa. Disponível em <https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2022-06-30___air_reg_dosimetria_.pdf> Acessado em 04 de setembro de 2022.

Autoridade Nacional de Proteção de Dados – ANPD. Relatório de Gestão de Ouvidoria – Exercício 2021. Disponível em <https://www.gov.br/anpd/pt-br/canais_atendimento/ouvidoria/anpd-rel-ouvidoria-2021.pdf> Acessado em 04 de setembro de 2022.

Informativo n. 660, REsp 1.758.799/MG, Rel. Min. Nancy Andrighi, Terceira Turma, por unanimidade, julgado em 12/11/2019, DJe 19/11/2019.

Lei nº 58/2019 – Lei da Proteção de Dados Pessoais. Disponível em <https://www.pgdlisboa.pt/leis/lei_mostra_articulado.php?artigo_id=3118A0037&nid=3118&tabela=leis&pagina=1&ficha=1&so_miolo=&nversao=#artigo> Acessado em 04 de setembro de 2022.