Ana Carolina Teles*
Com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD) em setembro de 2020, muitas empresas e órgãos públicos precisaram se adequar às novas regras de proteção de dados pessoais.
E muitas incertezas pairavam naquele 18 de setembro, uma vez que os artigos 52 e seguintes, que tratam das sanções administrativas, não haviam entrado em vigor. Ficaram para depois. Especificamente, só começaram a valer a partir de 1º de agosto de 2021.
Como chegamos aqui?
Bom, um bom ponto para se avaliar é porque as multas foram adiadas. E temos um terreno fértil por aqui, mas vamos focar no que importa.
Além de muito lobby político das empresas em nosso estimado Congresso Nacional, havia uma questão preponderante. Mesmo tendo sido constituída em 2019, a Autoridade de Proteção de Dados (ANPD) ainda precisava estabelecer a sua estrutura operacional.
Além disso, antes de ‘poder multar’, ela deveria criar as regras para aplicação da LGPD. E isso é meio óbvio, né? Como ela aplicaria sanções sem antes apresentar aos agentes regulados os parâmetros de cálculos e de aplicabilidade das penalidades? Pois é.
No entanto, o governo não priorizou a infraestrutura organizacional da ANPD, o que impactou a capacidade da agência em cumprir suas responsabilidades e, de fato, publicar as regulamentações necessárias (e impositivas, segundo a LGPD) para melhor esclarecer como se daria a sua fiscalização.
Muita coisa melhorou desde então, claro. Mas não dá para dizer que, em 2023, a ANPD vive a sua plena eficiência de produtividade máxima.
Percebe-se que, ao invés de iniciar as regulamentações pelos assuntos gerais, a Autoridade começou pelas ‘beiradas’ das exceções. Exemplo claro é a publicação da Resolução nº 02 sobre Agentes de Pequeno Porte.
Essa é uma regulação, inclusive, que normatiza certos assuntos e faz remissão a futuras regulamentações da ANPD (quando, em um futuro – não tão distante – isso enfim for acontecer).
Mas a questão que ficou é: por que não estabelecer os parâmetros e regras suplementares da LGPD de forma geral e, depois, regulamentar o que se aplica ou não aos agentes de pequeno porte? Basicamente, a imagem passada à sociedade foi que o agente de grande porte pode não saber bem o que fazer, pois não tem orientações gerais sobre questões essenciais da LGPD, porém, o agente de pequeno porte… Tem regulação própria!
Isso faz pouco sentido. Até mesmo considerando que, como mencionado acima, tal regulação também não resolveu tanta coisa.
E o que aconteceu com as sanções?
O (não) tão esperado agosto de 2021 chegou e, com ele, ainda havia muitas incertezas e inseguranças jurídicas.
Isto porque, os artigos 52, 53 e 54, da LGPD, começam a valer, mas sem a sua norma de dosimetria mostrar sinal de publicação.
E, que não esqueçamos, o próprio artigo 53 assim determina:
Art. 53. A autoridade nacional definirá, por meio de regulamento próprio sobre sanções administrativas a infrações a esta Lei, que deverá ser objeto de consulta pública, as metodologias que orientarão o cálculo do valor-base das sanções de multa.
Por um ano e alguns meses, os setores empresariais conviveram com a vigência de sanções que ainda não haviam sido regulamentadas. Dito isso, os processos de implementações à LGPD continuaram a todo vapor, mas não é exagero imaginar que as preocupações eram suavizadas pela espera de algo que ainda não havia chegado.
De todo modo, não dá para ignorar, também, que a ANPD, em outubro de 2021, havia publicado a sua primeira resolução: “Processo de Fiscalização e do Processo Administrativo Sancionador”. Ainda não havia regulamentação específica da dosimetria das multas, por exemplo, mas a ANPD já estabelecia as regras e procedimentos para a fiscalização, prazos para a apresentação de defesa e outros trâmites processuais relevantes.
Mas, enfim, o “Regulamento de Dosimetria e Aplicação de Sanções Administrativas” foi publicado em fevereiro de 2023. E, agora, não há mais ‘o que esperar’. Não que não fosse sério antes (afinal, a LGPD está valendo desde 2020!), mas a ANPD precisava ratificar a mudança: então, em março deste ano, ela divulgou com transparência ativa a lista dos processos sancionatórios de empresas e órgãos públicos que aguardam conclusão.
Ou seja, realmente está acontecendo.
E, com isso, surge uma pergunta capciosa: “A ANPD pode multar os agentes regulados por infrações à LGPD que ocorreram antes da data da publicação da norma de dosimetria?”.
Não pretendo esgotar a questão, mas é importante clarear algumas posições do mercado.
A ANPD vai aplicar multas retroativas?
Podemos dizer que há 3 linhas de raciocínio para responder o questionamento acima.
Não há retroatividade das multas!
A primeira defende que não há o que se falar em retroatividade das multas, já que as sanções estão valendo desde agosto de 2021. Então, determinada infração que ocorreu após essa data pode ser investigada e penalizada pela ANPD, de acordo com a norma que foi publicada em 2023.
Sem surpresa, essa é a posição da Autoridade. E gera preocupações não só no setor privado, como também no público. Inclusive, recentemente foi pauta de discussão da Comissão de Defesa do Consumidor, em audiência pública, na qual a própria Autoridade esteve presente.
Dessa forma, a ANPD sinaliza que, desde 2021, as sanções poderiam ser aplicadas, já que estão vigentes. Mas, ao mesmo tempo, também reconhece que havia impossibilidade de aplicar a multa, por exemplo, pela ausência de metodologia definida em norma, que só veio anos depois.
Há retroatividade!
Por isso existe uma segunda linha defende que, sim, ao multar agentes por infrações que ocorreram antes de fevereiro de 2023, haveria retroatividade de norma.
Isto é, a interpretação da lei (ou ausência dela) mudaria em relação ao passado, de maneira a penalizar condutas pretéritas que, na época, não eram, necessariamente, consideradas como agravantes de uma potencial infração à LGPD, por exemplo. A retroatividade da norma enfrenta o óbice do art. 5o, XXXVI da CF/88 que veda leis retroativas que possam prejudicar direitos adquiridos ou atos jurídicos perfeitos.
Um ponto essencial que se defende é que a definição da norma de dosimetria das sanções deve ter como finalidade a contribuição da segurança jurídica e a efetividade da LGPD, garantindo que as sanções sejam aplicadas de forma justa e proporcional às infrações cometidas. O que, de acordo com esta perspectiva, não ocorre na tese anterior.
Ressalta-se, ainda, que este entendimento defende que a ANPD não poderia aplicar nenhuma das sanções dispostas no art. 52 a infrações que ocorreram antes da norma, sem exceção, por esbarrar na sua inconstitucionalidade.
Portanto, discutir sanções retroativas a fatos anteriores a fevereiro de 2023, ainda que as sanções estivessem previstas na LGPD desde agosto de 2021, configura, então, retração indevida pela entidade.
Depende da sanção!
Já uma terceira linha, a qual simpatizo, propõe uma posição alternativa.
Ela defende que a aplicação retroativa das multas é vedada, também por razões do princípio da irretroatividade das normas. Mas a ANPD poderia aplicar as outras sanções, como advertências e bloqueios de dados, a infrações que ocorreram a partir de agosto de 2021.
Essa visão muito se sustenta no § 1º, do art. 53:
§ 1º As metodologias a que se refere o caput deste artigo devem ser previamente publicadas, para ciência dos agentes de tratamento, e devem apresentar objetivamente as formas e dosimetrias para o cálculo do valor-base das sanções de multa, que deverão conter fundamentação detalhada de todos os seus elementos, demonstrando a observância dos critérios previstos nesta Lei.
Ora, de fato, se a metodologia para o cálculo do valor-base deveria ser precisamente publicada antes da aplicação das multas e essa publicação só veio em fevereiro de 2023, definitivamente, a sanção de multa pecuniária não poderia ser aplicada à infração que ocorreu antes dessa data.
Então, por quais motivos, hoje, após a publicação da norma de dosimetria, a ANPD poderia ‘voltar ao passado’ e aplicar uma multa a uma infração, baseada em um cálculo que foi estabelecido tempos depois de tal infração ocorrer?
Novamente, o argumento da retroatividade volta a se destacar. E persistir nesse caminho pode ferir esse princípio constitucional e gerar insegurança jurídica para o setor socioeconômico brasileiro.
E quanto ao que falta a ANPD regulamentar?
Para somar essas teses, há também que se discutir sobre a aplicabilidade de sanções a descumprimentos de assuntos da LGPD, que sequer foram regulamentadas pela ANPD.
Um exemplo disso é o famoso artigo 63 da LGPD, o qual estabelece que a ANPD deve desenvolver normas para a adequação progressiva de bancos de dados que foram constituídos antes da entrada em vigor da lei. Essas normas devem levar em consideração a complexidade das operações de tratamento e a natureza dos dados.
Aplicar sanções a esses casos, hoje, não seria uma retroatividade da LGPD e da norma dosimetria da ANPD? Isto porque, estes bancos de dados foram constituídos antes da LGPD passar a valer e, também, antes da ANPD regulamentar normas sobre a tal adequação progressiva.
Então, caso a ANPD decida investigar e aplicar uma sanção específica em relação a esses bancos de dados, há plenos argumentos para discutir a sua impossibilidade jurídica.
É essencial, portanto, avaliar a posição da ANPD em relação a essas situações e aguardar a definição das regulamentações faltantes (são muitas!) para ter mais clareza sobre a aplicação das sanções previstas na LGPD.
Afinal, qual o impacto disso?
Na prática, como já mencionamos, a ANPD irá aplicar as sanções administrativas a fatos posteriores a agosto de 2021. E é exatamente o que ela já está fazendo.
E, de fato, essa posição tem gerado controvérsias e críticas. Mas a realidade é que a ANPD também tem força argumentativa para sustentar essa tese, apesar das posições contrárias.
Portanto, não há segredo.
Os setores público e privado devem manter os seus programas de privacidade ativos e eficientes. Não apenas para evitar multas, mas também para afastar os danos reputacionais que vêm com as violações de privacidade.
Por aqui, esperamos que a ANPD adote uma postura equilibrada na aplicação das sanções, sempre de forma transparente e respeitando os princípios do contraditório, da ampla defesa e do devido processo legal. Afinal, é papel da Autoridade levar em consideração tanto a necessidade de proteção dos dados pessoais quanto a necessidade de garantir a segurança jurídica dos agentes de tratamento e o desenvolvimento econômico no território brasileiro.
Leia também:
Privacidade, proteção de dados pessoais e a prática de background check
O que esperar da ANPD em 2023?
Ana Carolina Teles: atua diretamente com Direito Digital e Proteção de Dados, com o intuito de prestar consultoria com a maior expertise possível. Possui especializações sobre a Lei Geral de Proteção de Dados (teoria e prática) pelo Instituto de Tecnologia e Sociedade do Rio de Janeiro (ITS Rio), e, ainda, possui cursos de especialização em Direito Digital, Proteção de Dados e Compliance pela Escola Superior de Advocacia de São Paulo (ESAOAB/SP).
