As Sanções Administrativas da Lei Geral de Proteção de Dados Estão em Vigor!

A partir de hoje, dia 1º de agosto de 2021, entram em vigor os arts. 52, 53 e 54 da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD), que estabelecem sanções administrativas que podem ser aplicadas pela ANPD (art. 65, I-A, da LGPD).

Contudo, isso não impede que as pessoas sejam responsabilizadas pelo descumprimento das normas da LGPD entre 18 de setembro de 2020 e 31 de julho de 2021, pelo Judiciário ou por outros órgãos administrativos (como, por exemplo, o PROCON), com fundamento em dispositivos legais e regulamentares diversos dos arts. 52 a 54 da LGPD.

As sanções administrativas previstas no art. 52 da LGPD são as seguintes:

1) advertência, com a indicação de prazo para a adoção das medidas corretivas;

2) multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluí­dos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;

3) multa diária, observado o limite total da multa simples. Portanto, o valor total da multa diária (ou seja, somados todos os dias de sua incidência) não pode ultrapassar o valor da multa simples, de até 2% do faturamento e observado o limite máximo de cinquenta milhões de reais por infração;

4) publicização da infração (apenas quando for devidamente apurada e confirmada a sua ocorrência). A ANPD não pode impor essa sanção de forma preventiva, mas o art. 48 da LGPD prevê o dever do controlador de comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;

5) bloqueio dos dados pessoais objeto da infração, até a sua regularização;

6) eliminação dos dados pessoais objeto da infração;

7) suspensão parcial do funcionamento do banco de dados objeto da infração, pelo perí­odo máximo de 6 meses, prorrogável por mais 6 meses, até a regularização da atividade de tratamento pelo controlador;

8) suspensão do exercí­cio da atividade de tratamento dos dados pessoais objeto da infração pelo perí­odo máximo de 6 meses, prorrogável por mais 6 meses;

9) proibição parcial ou total do exercí­cio de atividades de tratamento de dados pessoais.

A LGPD condiciona a imposição de qualquer uma das sanções à instauração de processo administrativo, com o exercí­cio prévio da ampla defesa pelo supostos infrator (art. 52, § 1º) e de outros princí­pios processuais cabíveis (em especial o contraditório e, de modo mais amplo, o devido processo legal).

Ainda, a LGPD define os critérios que devem ser observados para a definição da sanção a ser aplicada, de modo isolado ou em conjunto com outras sanções administrativas.