A LGPD (Lei Geral de Proteção de Dados) vigora desde 2020, de modo a tornar a relação entre empresas e clientes mais transparente e segura. Porém, apesar de estar em vigor desde 2020, isto é, com as bases legais estruturadas, apenas em 27/02/2023 a ANPD (Autoridade Nacional de Proteção de Dados) instituiu o Regulamento de Dosimetria e a aplicação de sanções pelo não-cumprimento da LGPD. 

A dosimetria era o item que faltava para a completa estruturação da ANPD, e, a partir de sua publicação, as sanções passam a ser aplicadas às empresas que não estão completamente adequadas à LGPD.

A dosimetria divide as infrações em:

• Leves 
• Graves 
• Gravíssimas 

Essa divisão é feita de acordo com os critérios estabelecidos para a aplicação de sanções, sendo que esta ferramenta é apenas uma das quais a ANPD utiliza para reconduzir o infrator à adequação à LGPD. 

Ficou em dúvida sobre o que é contemplado pelo novo Regulamento e quais multas sua empresa pode receber? Explicamos melhor abaixo!

  1. O que é dosimetria da LGPD

A dosimetria é a norma que estabelece os critérios que orientam a escolha de sanções condizentes com o grau de descumprimento da LGPD.

Assim, a aplicação de multas por descumprimento à LGPD e de outras sanções administrativas é feita de acordo com a real necessidade, visando a maior efetividade dos processos de fiscalização.

A elaboração do regulamento de dosimetria foi previsto pelo art. 53 da LGPD.

  2. A Resolução CD/ANPD nº4/2023

A Resolução CD/ANPD nº4/2023, publicada pelo Diário oficial da União, em 27/02/2023, é o documento que aprova o Regulamento de Dosimetria e a Aplicação de Sanções Administrativas. 

A minuta da Resolução contou com ampla participação social, envolvendo uma consulta pública, na qual recebeu 2.504 contribuições da sociedade, e uma audiência pública, com 24 contribuições.

O objetivo da Resolução CD/ANPD nº4/2023, de acordo com o Art. 1º é: “estabelecer parâmetros e critérios para aplicação de sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD), bem como as formas e dosimetrias para o cálculo do valor-base das sanções de multa.”

  3. Classificação das infrações

De acordo com o Regulamento de Dosimetria, o grau da infração é dado segundo a gravidade e a natureza das infrações e dos direitos pessoais afetados e se divide em:

• Média: quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, isto é, impedir ou limitar o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares 
• Grave: quando, além dos critérios estabelecidos para infração média, envolver tratamento de dados pessoais em larga escala, considerando-se o volume de dados envolvidos, a duração, a frequência e a extensão geográfica do tratamento realizado; o infrator auferir [conseguir] ou pretender auferir vantagem econômica em decorrência da infração cometida; implicar risco à vida dos titulares; envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; verificada a adoção sistemática de práticas irregulares pelo infrator; constituir obstrução à atividade de fiscalização.
• Leve: quando não verificada nenhuma das hipóteses descritas acima.

  4. Critérios para a definição da sanção

As sanções serão aplicadas após análise feita em processo administrativo, com oportunidade de ampla defesa. As sanções passíveis de aplicação já são previstas na LGPD, são elas:

• Advertência; 
• Multa simples, de até 2% (dois por cento) do faturamento da empresa, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais), por infração; 
• Multa diária, com limite total de R$ 50.000.000,00 (cinquenta milhões de reais); 
• Publicização da infração; 
• Bloqueio dos dados pessoais; 
• Eliminação dos dados pessoais; 
• Suspensão parcial do funcionamento do banco de dados por no máximo de 6 (seis) meses, prorrogável por igual período, até que se regularize a situação;  
• Suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo de 6 (seis) meses, prorrogável por igual período;   
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.    

Além dessas, punições mais severas como o bloqueio ou a eliminação definitiva dos dados pessoais irregularmente tratados podem ser aplicadas. Com exceção das multas, as outras punições valem também para o Poder Público.

Os critérios para o estabelecimento das multas e das sanções não monetárias são:

1. Gravidade e natureza das infrações e dos direitos pessoais afetados; 
2. Boa-fé do infrator; 
3. Vantagem auferida ou pretendida pelo infrator; 
4. Condição econômica do infrator; 
5. Reincidência; 
6. Grau do dano; 
7. Cooperação do infrator; 
8. Adoção de mecanismos e procedimentos internos capazes de minimizar o dano; 
9. Adoção de política de boas práticas e governança; 
10. Pronta adoção de medidas corretivas; e 
11. Proporcionalidade entre a gravidade da falta e a intensidade da sanção. 

  5. Como se adequar à LGPD

Para estar adequado à LGPD é necessário estar de acordo com as bases legais estabelecidas, de modo que todos os funcionários saibam como e onde recolher, tratar e excluir os dados dos clientes e o que fazer no caso de vazamento de dados.

Assim, a forma ideal de não deixar passar nenhum critério legislativo é buscar a adequação por meio de uma Consultoria Jurídica, com treinamento para os seus colaboradores. 

  6. Conclusão

Em suma, apesar de a Lei já existir há três anos, sua abordagem repressiva passa a ser utilizada somente em 2023. Dessa forma, empresas que não estiverem devidamente adequadas à LGPD poderão sofrer sanções que variam desde advertência até multas e, mesmo, bloqueio e eliminação de dados, a depender da gravidade da infração, estabelecida de acordo com o Regulamento de Dosimetria.

É, portanto, imprescindível manter sua empresa com a regulamentação jurídica em dia, de modo que, além de oferecer segurança e transparência para os clientes, não venha a ser sancionada pela ANPD, o que inclui multas de até 50 milhões de reais.

Desse modo, a melhor opção é buscar uma Consultoria Jurídica que ofereça acompanhamento durante o processo e que prepare todos os colaboradores para agirem de acordo com a LGPD. 

Por Luana Minikel