por Guilherme Guimarães*

A proteção de dados pessoais começa a ganhar uma nova conotação no Brasil

A Lei Geral de Proteção de Dados (LGPD), que está em vigor há quase três anos, já está sendo usada como base legal para aplicação de multas às empresas que não se adequaram.

 

No início do mês de julho, a Autoridade Nacional de Proteção de Dados (ANPD) autarquia responsável pela fiscalização das empresas públicas e privadas que estão em atuação no Brasil -aplicou a primeira multa em uma empresa do setor de telecomunicação: a Telekall Infoservice.

 

A empresa, classificada como de pequeno porte, recebeu uma advertência por não colaborar com a ANPD e deverá pagar uma multa de R$ 14,4 mil. Esse valor pode ter uma redução, conforme prevê o art. 18 da resolução da ANPD que regulamentou a dosimetria e aplicação das sanções administrativas. Para isso, no entanto, a Telekall precisa renunciar expressamente ao direito de recorrer da decisão de primeira instância.

 

Esse é um importante alerta às empresas que apostaram na não observância da lei brasileira. A multa da Telekall só não foi maior por se tratar de uma empresa de pequeno porte. O art. 11 do regulamento da ANPD considera o faturamento do infrator como um dos elementos para definir o valor-base da multa simples. Ou seja, os valores das multas são calculados a partir do porte do infrator.

 

A multa de R$ 14,4 mil reflete no tipo de multa simples, nos valores de R$ 7.200,00 por infração ao art. 7º e de R$ 7.200,00 aplicada ao art. 5º do Regulamento de Fiscalização. Com isso, a empresa está sendo penalizada por infrações como ausência de registro de operações; não envio de Relatório de Impacto de Proteção de Dados; ausência de encarregado de dados pessoais; e não atendimento à requisição da ANPD.

O art. 11 do regulamento da ANPD considera ainda o faturamento do infrator como um dos elementos para definir o valor-base da multa simples. A sanção ocorreu após a infração ao art. 41 da LGPD. Esse artigo determina que o controlador deverá indicar o encarregado pelo tratamento de dados pessoais (DPO).

 

A penalidade inicia um novo momento para organizações em todo território brasileiro

 

Empresas que ainda não se adequaram devem iniciar o processo imediatamente. E aquelas que já se adequaram, é importante efetuar uma auditoria sobre o trabalho que foi realizado para verificar a eficácia dos controles implementados e/ou se não existe a necessidade de ajustes.

 

Porém, além das empresas privadas, os órgãos públicos também estão na mira da ANPD. O Ministério da Saúde é uma dessas instituições públicas que respondem por esses processos por descumprimento à LGPD. A Autoridade está investigando condutas como ausência de comunicação a titulares sobre incidentes de segurança, não atendimento à requisição da ANPD, ausência de encarregado de dados pessoais e de medidas de SI.

 

Além do DATASUS, outros órgãos do setor de Saúde estão sob mira da ANPD, como é o caso da Secretaria de Estado da Saúde de Santa Catarina, que está sendo investigada sobre ausência de comunicação a titulares de incidente cibernético e não atendimento a determinações da ANPD.

 

Instituto de Pesquisas Jardim Botânico do Rio de Janeiro; Secretaria de Educação do Distrito Federal; Instituto de Assistência ao Servidor Público Estadual de São Paulo IAMSPE; e Secretaria de Desenvolvimento Social, Criança e Juventude-PE são os demais órgãos públicos em processos de investigação de condutas. As multas simples ou diária não são aplicáveis às instituições do setor público.

 

*Guilherme Guimarães é advogado e sócio fundador da Datalege Consultoria Empresarial (www.datalege.com.br). Atua na área de Direito Digital, Proteção de Dados e é especialista em Segurança da Informação pela Universidade Latino-Americana de Tecnologia (UTFPR). Colaborou na redação do Marco Civil da Internet (Lei 12.965/2014).

É consultor e palestrante na área de tecnologia e responsável pela elaboração da Política de Segurança da Informação e de Proteção de Dados Pessoais para diversas corporações. 

A Datalege pode lhe apoiar no caminho para adequação à LGPD, de forma prática e objetiva.