LGPD - DAS RESPONSABILIDADES ADMINISTRATIVAS E CÍVEIS

 

Dados e informações circulam a todo momento pela rede mundial de computadores, ocasionando cada vez mais casos de ataques cibernéticos às grandes empresas, haja vista que dados representam um alto valor hoje no mercado e despertam o interesse de muitas pessoas e organizações mal-intencionadas.

O titular de dados pessoais, sem dúvida nenhuma, é a parte mais impotente numa relação que envolva o tratamento de dados, podendo sofrer prejuízos muitas vezes tidos como irreparáveis e a LGPD busca estabelecer meios para evitar tal problemática, assim como punir responsáveis no caso de atos ilícitos.

As organizações devem estar de acordo com as boas práticas, métodos e técnicas atuais de proteção de dados, cabendo ao controlador comunicar a ANPD e o titular caso haja a ocorrência de qualquer incidente de segurança que possa acarretar risco ou dano relevante ao titular.

A comunicação de tal incidente deve ser realizada num prazo razoável (não há precisão de quantos dias), devendo conter a descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos, a indicação de medidas técnicas e de segurança utilizadas para proteção de dados (observados os segredos comerciais e industriais), os riscos relacionado ao incidente, os motivos da demora (no caso da comunicação não ter sido imediata) e por fim, as medidas que foram ou serão tomadas para reverter ou mitigar os efeitos do prejuízo.

A ANPD ciente do ocorrido, analisará a gravidade do caso, podendo tomar providências no que tange a divulgação do fato em meios de comunicação e medidas para reverter ou mitigar os efeitos do incidente.

Veja que qualquer violação à LGPD pode acarretar sanções administrativas, principalmente as que se referem ao vazamento de dados pessoais, acidental ou por meio de atos ilícitos. A seguir será elencada as penalidades administrativas aplicáveis:

- Advertência: Apresenta indicação de prazo para adoção de medidas corretivas;

- Multa simples: De até 2% do faturamento da pessoa jurídica de direito privado, grupo ou aglomerado no Brasil, no que versa o seu último exercício, excluídos tributos e limitada ao montante de 50 milhões por infração;

- Multa diária: Multa por dia, observado o limite total de 50 milhões;

- Publicização da infração: Torna a infração pública, após devidamente apurada e ratificada a sua ocorrência;

- Bloqueio de dados pessoais: Os dados pessoais referentes à infração serão bloqueados até a sua regularização;

- Eliminação de dados pessoais: Os dados pessoais referentes à infração serão eliminados;

- Suspensão parcial do funcionamento do banco de dados: Será suspenso parcialmente o funcionamento do banco de dados a que se refere a infração, pelo prazo máximo de 6 meses, prorrogável por igual período até a regularização da atividade de tratamento pelo controlador;

- Suspensão do exercício da atividade de tratamento de dados pessoais: Suspende o exercício da atividade de tratamento de dados pessoais ao que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período;

- Proibição parcial ou total do exercício de atividades: A ANPD pode proibir totalmente ou parcialmente as atividades relacionadas ao tratamento de dados pessoais.

No caso da aplicação das três últimas sanções acima expostas, posto sua gravidade e impacto às organizações, elas só serão possíveis se a organização já tiver recebido uma advertência, multa, publicização, bloqueio ou eliminação de dados pessoais.

Ademais, caso os controladores sejam submetidos a outros órgãos ou entidades com competências sancionatórias, estas três últimas sanções só poderão ser consideras depois que ouvido tais entes.

É notório que as sanções deverão ser aplicadas após o procedimento administrativo que permita a ampla defesa e o contraditório do infrator, cabendo a análise apurada de todas as peculiaridades que envolvam o caso concreto.

A infração desta lei passará pelo crivo da ANPD, na qual, determinará sanções após verificar parâmetros e critérios como: a gravidade e a natureza das infrações; dos direitos pessoais afetados; a boa-fé do infrator; a  vantagem auferida ou pretendida pelo infrator; a condição econômica do infrator; se é reincidente; o grau do dano, a cooperação do infrator; a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento adequado de dados; a adoção de política de boas práticas e governança; a pronta adoção de medidas corretivas; e por fim, a proporcionalidade entre a gravidade da falta e a intensidade da sanção.

A lei diz que a ANPD definirá por meio de regulamento próprio e de consulta pública, sobre as sanções administrativas e as metodologias que deverão orientar a questão do cálculo do valor-base das sanções de multa.

Destarte, os danos sofridos pelo titular em decorrência de algum incidente envolvendo o vazamento de dados deve ser suportado pelos agentes de dados (controlador ou operador), nos quais responderão judicialmente quanto a reparação dos danos causados.

É colacionado a seguir o artigo 42º[1] da LGPD, que em consonância com o Código Civil brasileiro, trata do direito de indenização do titular dos dados frente a  constatação de um ato ilícito:

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;

II - os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.

§ 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.

§ 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

§ 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

Como visto, as sanções podem ser de uma simples advertência até a suspensão parcial ou total do exercício de atividades relacionadas ao tratamento de dados, pena essa extremamente gravosa. Sem contar que a veiculação de possíveis vazamentos de dados e ilicitudes pode arruinar a reputação de incorporações no mercado em que atuam.

A LGPD não trata de uma matéria nova em nosso ordenamento jurídico, pelo contrário, ela apenas consolida e instrumentaliza direitos e deveres pertinentes ao tratamento de dados pessoais. A aplicação de possíveis sanções visa compelir incorporações a respeitarem e protegerem os direitos fundamentais do indivíduo, como a liberdade, privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Autora desde artigo: Nadya Prinet Godoy

Disponibilizado em: Abr/2021

Photo by Pierre Bamin on Unsplash

 

---

[1] Presidência da República. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 03 de abril de 2021.