Regra para multas provoca corrida no setor público e privado para adequação à LGPD

A Autoridade Nacional de Proteção de Dados (ANPD) acredita haverá uma corrida no setor público e privado para adequação à Lei Geral de Proteção de Dados (LGPD) .

Essa possível adequação será influenciada pela publicação do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, a norma que faltava para aplicar multas, conhecida pelo presidente da ANPD, Waldemar Gonçalves, como a mais esperada.

“O lançamento do regulamento de dosimetria com certeza será um incentivo à corrida de empresas e órgãos que ainda não se adequaram à lei Geral de Proteção de Dados e que, a partir de agora, buscarão com mais celeridade essa adequação”, afirmou Gonçalves.

No caso dos órgãos públicos, não há possibilidade de aplicação de multas, porém existem outras medidas para exigir o cumprimento da LGPD, como explica a autoridade.

A nova norma, insiste Gonçalves, reforça a proteção dos titulares de dados.

“O titular de dados passa a ter cada vez mais a garantia ao direito fundamental à proteção de dados pessoais. E o Brasil passa a estar muito mais alinhado às melhores práticas para a melhoria de seu ambiente de negócios”.

O presidente diz ainda que o ideal é que todos sigam o que prescreve a LGPD e, assim, não será preciso utilizar a parte repressiva, porém sabe-se que em muitos casos isso não acontece.

O presidente da ANPD insistiu que a multa é apenas uma das ferramentas à disposição da Autoridade “para reconduzir o agente de tratamento de dados pessoais à conformidade com a LGPD”.

Ele ainda emenda explicando que “o regulamento tem objetivo de estabelecer parâmetros para que as sanções sejam aplicadas de forma justa e na dose certa”.

Na mesma linha, o coordenador geral de fiscalização da ANPD, Fabrício Lopes, sustentou a ideia de que a regra é equilibrada.

“A ideia é não cometer exageros na aplicação das sanções, nem adotar sanções muito brandas. A lógica é dosar a medida que a ANPD vai adotar. Com a dosimetria a gente tem o último braço para a atuação repressiva completa. Já vínhamos atuando em orientação, temos processos preventivos instaurados com várias empresas, e por fim, oito processos sancionadores aguardando a dosimetria.”

Fonte: Convergência Digital
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

Norma estabelece sanções que podem ser aplicadas por descumprimento da LGPD

Foi publicado, nesta segunda-feira (27), o Regulamento de Dosimetria e Aplicação de Sanções Administrativas pela Autoridade Nacional de Proteção de Dados (ANPD).

A norma era bastante aguardada pelos cidadãos por esclarecer as ações de fiscalização e, quando for o caso, de sanções da ANPD.

Vale lembrar que a sanção administrativa é apenas uma das ferramentas que a Autoridade possui para reconduzir o agente de tratamento de dados pessoais à conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) .

A norma de Dosimetria tem como objetivos:

– Regulamentar os artigos 52 e 53 da LGPD e definir os critérios e parâmetros para as sanções pecuniárias e não pecuniárias pela ANPD, bem como as formas e dosimetrias para o cálculo do valor-base das multas;
– Alterar os artigos 32, 55 e 62 da Resolução nº 1º CD/ANPD, com vistas a aprimorar o processo administrativo sancionador e de fiscalização, permitindo-se que a ANPD evolua na atividade repressiva, respeitados o devido processo legal e o contraditório, de modo a proporcionar segurança jurídica e transparência para todos os envolvidos.

Norma de dosimetria

A elaboração da norma de dosimetria contou com a participação social. A minuta do regulamento recebeu 2.504 contribuições da sociedade em consulta pública realizada entre os dias 15 de agosto e 15 de setembro de 2022.

Além da consulta, foi realizada audiência pública, na qual foram recebidas 24 contribuições. A versão final da minuta de Resolução foi apresentada pela Coordenação-Geral de Normatização e distribuída entre os diretores, por sorteio, em 25 de janeiro de 2023, ficando a relatoria a cargo do Diretor Arthur Sabbat.

Após a finalização do voto pelo Diretor Relator, na sexta-feira (17), o processo foi encaminhado para votação dos demais diretores. A votação foi realizada por meio de circuito deliberativo (procedimento decisório do Conselho Diretor, realizado por meio de votos eletrônicos, sem a necessidade da realização de Reunião Deliberativa), tornando, assim, o processo decisório mais célere.

Depois da votação dos Diretores, o encerramento do circuito deliberativo deu-se com a assinatura do Diretor-Presidente, Waldemar Gonçalves. Após a assinatura, o documento foi enviado para publicação no Diário Oficial da União, sendo publicado na data de hoje.

Dosimetria

Dosimetria é o método que orienta a escolha da sanção mais apropriada para cada caso concreto em que houver violação à LGPD e permite calcular, quando cabível, o valor da multa aplicável ao infrator.

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas é a norma que vai estabelecer as circunstâncias, as condições e os métodos de aplicação das sanções, considerando, dentre outros aspectos, o dano ou o prejuízo causado aos titulares de dados pelo descumprimento à LGPD.

Sanções LGPD

Poderão ser aplicadas todas as sanções já previstas na Lei Geral de Proteção de Dados Pessoais, que são:

– Advertência;
– Multa simples, de até 2% do faturamento da empresa, limitada, no total, a R$ 50.000.000,00, por infração;
– Multa diária, com limite total de R$ 50.000.000,00;
– Publicização da infração;
– Bloqueio dos dados pessoais;
– Eliminação dos dados pessoais;
– Suspensão parcial do funcionamento do banco de dados por no máximo de seis meses, prorrogável por igual período, até que se regularize a situação;
– Suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo de seis meses, prorrogável por igual período;
– Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
– Com exceção das multas, todas as demais sanções poderão ser aplicadas ao Poder Público.

Como as sanções serão aplicadas?

As sanções serão aplicadas depois de uma análise feita em processo administrativo caso a caso. Esse processo deverá dar a oportunidade de ampla defesa, de acordo com as peculiaridades do caso concreto e conforme os seguintes critérios:

– Gravidade e natureza das infrações e dos direitos pessoais afetados;
– Boa-fé do infrator;
– Vantagem auferida ou pretendida pelo infrator;
– Condição econômica do infrator;
– Reincidência;
– Grau do dano;
– Cooperação do infrator;
– Adoção de mecanismos e procedimentos internos capazes de minimizar o dano;
– Adoção de política de boas práticas e governança;
– Pronta adoção de medidas corretivas; e
– Proporcionalidade entre a gravidade da falta e a intensidade da sanção.
O regulamento de dosimetria, ainda, busca garantir a proporcionalidade entre a sanção aplicada e a gravidade da conduta do agente, além de prover segurança jurídica aos processos fiscalizatórios e garantir o direito ao devido processo legal e ao contraditório.

O que muda a partir de agora?

A partir de agora a ANPD poderá aplicar as sanções administrativas com base em requisitos claros e estabelecidos, pois o regulamento entra em vigor imediatamente após a sua publicação.

Com isso, o cidadão passa a ter cada vez mais garantia da proteção de seu direito fundamental à proteção de dados pessoais, e o Brasil passa a estar muito mais alinhado às melhores práticas para melhoria de seu ambiente de negócios.

Fonte: Contabeis.com.br
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: Consentimento e legítimo interesse: faca de dois gumes

LGPD: Consentimento e legítimo interesse: faca de dois gumes
 
 
O ser humano busca intuitivamente identificar referências salvadoras nos momentos de pressão e tensão, como este que estamos vivendo, em uma contagem regressiva para a vigência da Lei Geral de Proteção de Dados Pessoais (LGPD).
 
Fora as “balas de prata” que oportunamente surgem em praticamente todas as ocasiões (e que a maioria das pessoas gosta de acreditar que existam, explicando a longevidade do snake oil 1 no velho oeste norte-americano), temos testemunhado o fortalecimento de dois argumentos para o tratamento de informações pelos controladores: o consentimento e o legítimo interesse.
 
O consentimento é o mais simples de entender, pois, como o nome diz, permite que o operador cadastre informações do titular de dados e prossiga no atendimento para o qual supomos haver (legítimo) interesse. Um exemplo: quando alguém baixa um app e após a instalação abre-se um texto enorme, com um quadrinho que temos de marcar com um “x”, para poder usar o serviço: o “x” (em tese) é o consentimento.
 
“O consentimento não é um ‘cheque em branco’, que permite ao controlador o uso indiscriminado dos dados de seus clientes ou funcionários. Trata-se mais de um ‘certificado de autenticidade’ de coleta, evidenciando que as informações foram prestadas de boa vontade, pelo seu titular”
Fácil, correto? Aliás, ao consentir no uso de seus dados pelo controlador, o titular estaria, a princípio, assumindo os riscos por eventual mau uso que o controlador realizar, mas vale lembrar que o consentimento pode ser revogado pelo titular! Você sabia disso?
 
O enorme problema decorrente do consentimento é que, a partir deste momento, quem recebeu as informações acaba de se comprometer como fiel depositário, sendo obrigado a guardar, proteger e mantê-las em um ambiente seguro, caso queira continuar prestando seu serviço e evitar penalidades, se esses dados vierem a ser vazados ou expostos.
 
O consentimento não é um “cheque em branco”, que permite ao controlador de dados o uso indiscriminado dos dados de seus clientes ou funcionários. Ao meu ver, trata-se mais de um “certificado de autenticidade” de coleta, evidenciando que as informações foram prestadas de boa vontade, pelo seu titular.
 
E o legítimo interesse? Bom, esse é um conceito vago e generalista, devendo ser a principal justificativa que será adotada pelas empresas para tratamento de dados pessoais no Brasil. Só que, neste caso, o risco é assumido pelo controlador de dados, em vez de pelo titular.
 
De acordo com a LGPD, nem todo interesse do controlador é legítimo. Entretanto, falta clareza na própria lei para definir as referências que devam ser usadas para definir se o legítimo interesse foi corretamente aplicado.
 
Isso deverá ser feito pela Autoridade Nacional de Proteção de Dados (ANDP), que, a propósito, vai ter muito trabalho para cobrir as brechas que diariamente surgem, colocando os controladores em situações duvidosas.
 
 
Lucro é legítimo interesse?
 
Imagine que, ao longo de quase 200 palestras que ministrei desde o fim de 2018, várias pessoas me perguntaram se o objetivo de lucro das empresas não é um “legítimo interesse”. Invariavelmente sempre começo a responder esclarecendo que não sou advogado e que meu objetivo é auxiliar as organizações a implementar os mecanismos de controle que a lei requer, baseado no ajuste de procedimentos operacionais e implementação dos itens de Segurança de Informação cuja maturidade não tenha se mostrado satisfatória.
 
“A princípio, muitas empresas deverão optar pela justificativa do legítimo interesse para tratar os dados de seus clientes. Prevejo uma série de abusos que culminará na definição mais estreita do que será esse legítimo interesse, pela ANPD. Nisso, provavelmente muitas empresas, que não têm nada a ver com esses abusos, terão que rever suas estratégias e atualizar seus conceitos”
E, em seguida, esclareço que tenho minha própria opinião acerca de vários pontos da lei que, apesar de estarem sendo defendidos por alguns advogados “xiitas”, com base na jurisprudência do GDPR (e portanto inaplicável diretamente pelo jurídico brasileiro), poderiam ser facilmente derrubados em uma exposição técnica.
 
Por exemplo: alegar que um IP ou número de celular é um dado privado, porque (de acordo com esses advogados) é possível chegar à identidade de seu titular, é insano. Posso usar um cadastro fake em uma Starbucks e o IP que usei não só impede me identificar como, daqui a algumas horas, estará sendo usado por outra pessoa de qualquer outro lugar daquela região.
 
Na minha família, contratei um plano familiar, onde os quatro números estão em meu nome. Como então poderiam ser dados pessoais dos dois filhos e sua mãe?
 
Os “xiitas” respondem que meus exemplos são “exceções” e que a lei deve estar alinhada à regra. Duvido seriamente disso, especialmente com a quantidade de linhas que pertencem a empresas, nas mãos de funcionários, e das redes wi-fi gratuitas pelo mundo. Sempre digo que, dependendo da profundidade da investigação, qualquer dado é privado, pois permite chegar ao seu titular.
 
Opa, já ia me deixando levar pelo sentimentalismo: e o lucro, ele pode ser usado como legítimo interesse? Fernando Marinho usa e abusa do princípio de Segurança de Informação de que “o que não é proibido é permitido”. Logo, a princípio, muitas empresas deverão optar por essa justificativa para tratar os dados de seus clientes.
 
O que o autor também prevê é uma série de abusos que culminará na revisão, ou melhor, da definição mais estreita do que será esse legítimo interesse, pela ANPD. Nisso, provavelmente muitas empresas, que não têm nada a ver com esses abusos, terão que rever suas estratégias e atualizar seus conceitos.
 
 
 
Fonte: Portal SERPRO
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma