Em 29/10/2021, foi publicada a Resolução que trata sobre os procedimentos inerentes ao processo de fiscalização e as regras a serem observadas no âmbito do processo administrativo sancionador pela Autoridade Nacional de Proteção de Dados (ANPD).
Conforme já mencionamos em outros artigos, em vigor desde 2018 e com punições exigíveis desde agosto de 2021, a Lei º 13.709/2018 - Lei Geral de Proteção de Dados (LGPD) - regulamenta o tratamento de dados pessoais no Brasil. Seja pessoa física ou jurídica, havendo tratamento de dados pessoais e oferta de bens ou serviços, é necessária a observância desta legislação especial.
Por isso, atuar em desconformidade com a LGPD poderá ensejar a aplicação de penalidades severas, dentre elas: bloqueio de uso de dados, eliminação de base de dados e publicização negativada, conforme dispõe o artigo 52.
Neste artigo, não analisaremos a integralidade do Regulamento, mas sim, aspectos voltados ao procedimento de fiscalização e punição.
Segundo a Resolução nº 1 de 28/10/2021, a atuação da ANPD se pautará por 5 grandes pilares: monitoramento, orientação, prevenção, fiscalização e repressão.
O monitoramento se destina ao levantamento de informações e dados relevantes para subsidiar a tomada de decisões pela ANPD, trazendo segurança jurídica aos envolvidos e aos processos;
A atividade de orientação tem como objetivo o desenvolvimento de mecanismos de informação, conscientização e de sensibilização dos agentes de tratamento e dos titulares de dados pessoais.
Na prevenção, a ANPD atuará na orientação do agente de tratamento para atingir a conformidade ou para mitigar situações que possam gerar riscos aos titulares de dados ou outros agentes, seja por meio de consultas públicas, reuniões, mediações, estudos seja por outros métodos, como vimos, por exemplo, no caso do WhatsApp.
Por fim, um dos principais eixos de atuação da ANPD se caracteriza pela atuação repressiva, voltada à interrupção de situações de dano ou risco, à recondução à plena conformidade e à punição dos responsáveis mediante a aplicação das sanções previstas no artigo 52 da LGPD, por meio de processo administrativo sancionador. Este último pilar é o que nos interessa nesse momento.
No entanto, antes de aplicação de punições, existe o processo administrativo de fiscalização, tal como ocorre em outras esferas, como Ministério do Trabalho e do Emprego.
Na fiscalização, a ANPD poderá atuar por meio de ofício, em conjunto com outros órgãos e entes públicos (como Procon, judiciário, por exemplo), em cooperação com autoridades de outros países ou organismos internacionais e por força de fiscalização periódicas, decorrentes de denúncias de titulares ou de comunicações oficiais de outros Órgãos ou das atividades de monitoramento e de tratamento de temas prioritários.
Antes da instauração do processo administrativo sancionador, embora não esteja apresentado como requisito obrigatório de licitude, o Regulamento prevê que a ANPD desenvolva as atividades de Orientação e de Prevenção dos agentes de tratamento e dos titulares de dados.
Tais atividades, embora demandem a participação e o cumprimento de obrigações por parte dos agentes e demais interessados, não configuram punições, mas podem ser entendidos como procedimentos prévios que, caso não observados, além da levarem à instauração do processo administrativo sancionador, servem como fator agravante ao agente que atua em desconformidade com a LGPD.
Essa conclusão é extraída a partir da leitura do artigo 32 e seguintes do Regulamento, o qual prevê, como medidas preventivas: divulgação de informações; aviso; solicitação de regularização ou informe; e plano de conformidade, dentre outras.
Outra referência que traz esse entendimento, é o disposto no parágrafo 4º do artigo 35, bem assim do disposto no parágrafo 3º do artigo 36 que estabelecem que o não atendimento das solicitações de regularização, do informe ou do plano de conformidade ensejarão a atuação da ANPD de forma repressiva e será considerado fato agravante.
Uma vez instaurado o processo administrativo sancionador, o agente de tratamento (autuado) não terá recurso imediato desta decisão, porém, terá garantida a ampla defesa e o contraditório.
Além disso, o processo administrativo sancionador deverá estar pautado em observância aos princípios da legalidade, finalidade, motivação, razoabilidade, proporcionalidade, moralidade, segurança jurídica, interesse público e eficiência, observando: o interesse geral; a adequação entre meios e fins necessários ao atendimento do interesse público; uso de formalidades essenciais; adoção de formas simples, suficientes para propiciar adequado grau de certeza, segurança e respeito aos direitos dos interessados; impulsão, de ofício, sem prejuízo da atuação dos interessados; e interpretação da norma administrativa atendendo o fim público, vedada aplicação retroativa de nova interpretação.
O processo administrativo sancionador será divido em fases, sendo a primeira dela considerada o Procedimento Preparatório (PP), o qual será realizado quando a Coordenação-Geral de Fiscalização, de ofício ou por requerimento, verificar que os indícios da prática de infração não são suficientes para a instauração imediata de processo administrativo sancionador. Quer dizer, não se trata de uma fase obrigatória.
Tanto é que o parágrafo único do artigo 42 refere que: “A Coordenação-Geral de Fiscalização poderá instaurar processo administrativo sancionador de imediato, independentemente de procedimento preparatório ou da adoção de medidas de orientação e prevenção, em razão da gravidade e da natureza das infrações, dos direitos pessoais afetados, da reincidência, do grau do dano ou do prazo de prescrição administrativa aplicável”.
Assim, o PP caracteriza-se por ser investigativo e, portanto, poderá tramitar em sigilo. Compreende a realização de averiguações preliminares e de diligências, a fim de subsidiar a decisão para instauração ou não de processo administrativo sancionador, sem prejuízo da adoção de medidas de orientação e prevenção, conforme o caso.
Concluído que houve infração à LGPD, é iniciada a segunda fase (ou primeira, quando não existir PP), com a instauração do processo administrativo sancionador, ocasião em que o interessado poderá apresentar um “Termo de Ajuste de Conduta” e solicitar a sua suspensão.
Neste aspecto, o que mais chama à atenção é o fato de que o Regulamento impõe ao autuado o dever de apresentar proposta de TAC e não a autoridade, o que diverge de outros procedimentos de natureza semelhante.
Não apresentado ou não acolhida a sugestão de TAC, será emitido o auto de infração, do qual o autuado poderá apresentar defesa, produzir provas, as quais também poderão ser indeferidas pela Coordenação-Geral de Fiscalização, dando-se início, então à segunda (ou terceira) fase.
Transcorrido o prazo de defesa, independentemente da sua apresentação, será elaborado relatório de instrução que subsidiará a decisão de primeira instância e o processo será concluso à Coordenação-Geral de Fiscalização para decisão.
Por conta do pulso Oficial, a ANPD poderá realizar diligências e juntar novas provas aos autos, independentemente do prazo de defesa do autuado, visando à celeridade processual e à mitigação de riscos, assegurado o contraditório.
O relatório de instrução encerra esta fase, sendo proferida uma decisão da Coordenação-Geral de Fiscalização. A decisão deverá ser motivada, com indicação dos fatos e dos fundamentos jurídicos, bem como aplicará a respectiva sanção, quando cabível, observando o disposto no §1º do art. 52 da LGPD e nas demais regulamentações expedidas pela ANPD.
Na hipótese da decisão de primeira instância decretar a aplicação de sanção administrativa, a sua intimação, além da ciência, também determinará o cumprimento da sanção pelo autuado e o respectivo prazo para a execução.
A intimação do autuado encerra a fase Decisória e dá início ao seu cumprimento (no caso de trânsito em julgado) ou início à fase Recursal.
O recurso da decisão é cabível no prazo de 10 dias úteis e será interposto perante o Conselho Diretor e terá efeito suspensivo limitado à matéria contestada da decisão, ressalvadas as hipóteses de fundado receio de prejuízo de difícil ou incerta reparação decorrente da execução da decisão recorrida.
A interposição do recurso será realizada perante a Coordenação-Geral de Fiscalização, que poderá revisar sua decisão.
Proferida decisão em sede de recurso (Conselho Diretor), inicia-se a fase de cumprimento que é processada pela Coordenação-Geral de Fiscalização, responsável pela adoção das providências necessárias ao seu cumprimento.
Na hipótese de terem sido aplicadas punições pecuniárias, o autuado poderá ser inscrito no Cadastro Informativo de Créditos não Quitados do Setor Público Federal (Cadin) e na Dívida Ativa.
Tal como previsto na Lei nº 9.784, de 29 de janeiro de 1999, aplicada subsidiariamente ao processo administrativo sancionador, nos processos administrativos que resultarem sanções poderão ser revistos, a qualquer tempo, quando surgirem fatos novos ou circunstâncias relevantes suscetíveis de justificar a inadequação da sanção aplicada, porém, se efeito suspensivo.
Como se pode concluir da explanação acima, a Lei 13.709/2018 “veio para ficar”.
As sanções previstas na esfera administrativa podem gerar sério prejuízo à organização, inclusive inviabilizando totalmente o negócio que não estiver adaptado ou que não estiver preparado com bons subsídios para sua defesa em processo administrativo.
Além dos prejuízos causados pelas punições, outras questões podem agravar o cenário de alguns negócios, como a multiplicação de ações judiciais patrocinadas pelos titulares dos dados.
Portanto, a adequação dos negócios à LGPD é essencial para a mitigação de riscos sejam eles administrativos, comerciais ou judiciais.
Camila Salles dos Santos
Advogada especializada em Direito Digital e Segurança de Dados.
Data Protection Officer na Smarte Estratégias Empresariais.
1. https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-1-de-28-de-outubro-de-2021-355817513
2. https://www.gov.br/anpd/pt-br/assuntos/noticias/a-nova-politica-de-privacidade-do-whatsapp
3. A defesa será apresentada em 10 dias úteis, por força do disposto no artigo 47.