Como a ANPD calcula a multa, a dosimetria da Resolução 4/2023

Quando alguém quer dimensionar o risco de um programa de verificação de identidade mal desenhado, o número que costuma aparecer primeiro é o teto: até dois por cento do faturamento, limitado a cinquenta milhões de reais por infração. É um número real, está na lei, mas isolado ele engana, porque é um teto, não a conta. A pergunta que importa para uma decisão de engenharia e de orçamento é outra: como a Autoridade Nacional de Proteção de Dados, a ANPD, sai do teto para o valor efetivo de uma multa concreta?

A resposta estava incompleta enquanto faltava o regulamento de dosimetria. A Lei Geral de Proteção de Dados, a Lei 13.709/2018, listava as sanções e os critérios, mas não o método de cálculo. A Resolução CD/ANPD 4, de 24 de fevereiro de 2023, preencheu essa lacuna. Este artigo percorre o que a lei prevê, como o regulamento transforma critério em conta, e por que boa governança reduz o número muito antes de o processo começar.

O que a LGPD prevê como sanção

O artigo 52 da LGPD lista as sanções administrativas que a ANPD pode aplicar. Elas vão muito além da multa: advertência, com prazo para adoção de medidas corretivas; multa simples; multa diária; publicização da infração; bloqueio dos dados a que a infração se refere; e eliminação desses dados. A lei ainda prevê, entre as sanções, a suspensão parcial do funcionamento do banco de dados, a suspensão do exercício da atividade de tratamento e a proibição parcial ou total do exercício de atividades relacionadas a tratamento, medidas graves que atingem a operação, não só o caixa.

A multa simples é a que traz o número mais citado: até dois por cento do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada, no total, a cinquenta milhões de reais por infração. O detalhe do por infração é decisivo: um único processo pode reconhecer mais de uma infração, e o limite se aplica a cada uma.

Os critérios que a lei manda considerar

O mesmo artigo 52, no parágrafo 1º, determina que as sanções sejam aplicadas após procedimento administrativo que garanta o contraditório e a ampla defesa, de forma gradativa, isolada ou cumulativa, e de acordo com as peculiaridades do caso. E lista os parâmetros que a autoridade deve pesar, entre eles a gravidade e a natureza da infração, a boa-fé do infrator, a vantagem auferida ou pretendida, a condição econômica, a reincidência, o grau do dano, a cooperação do infrator, a adoção reiterada de mecanismos internos de política de boas práticas e governança, e a pronta adoção de medidas corretivas.

Essa lista é a matéria-prima da dosimetria. O que faltava era a fórmula que transforma esses fatores em um valor, e é isso que o regulamento entrega. Vale notar que a adoção de política de boas práticas e governança e a pronta correção são atenuantes escritos na lei: o mesmo esforço de desenhar bem um fluxo, documentar base legal e manter um plano de resposta a incidente com dado biométrico tem efeito direto no cálculo, não é só higiene abstrata.

Como a Resolução 4/2023 chega ao número

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD 4/2023, organiza o cálculo em etapas. Primeiro, ele classifica a infração por gravidade, em categorias que separam a infração leve da média e da grave, conforme fatores como a natureza dos dados envolvidos, o número de titulares afetados e a boa-fé. Dado sensível, e a biometria de um fluxo de verificação é dado sensível, puxa a classificação para cima.

A partir dessa classificação, o regulamento estabelece o método para chegar a um valor-base da multa, ancorado no faturamento e sujeito aos limites da lei, e então aplica sobre esse valor-base as circunstâncias atenuantes e agravantes do caso concreto. Reincidência agrava; cooperação e correção espontânea atenuam. O regulamento também cuida de situações práticas, como o infrator que não fornece ou não tem faturamento apurável, e a forma da multa diária.

O ponto que interessa a quem toma decisão é o formato: a multa não é um número arbitrário nem o teto por padrão. É o resultado de uma conta que parte da gravidade, ancora no porte econômico e é modulada pelo comportamento da empresa antes e depois do problema. Como os valores concretos e as faixas dependem do texto vigente do regulamento, eles devem ser conferidos na fonte primária, no portal da ANPD, e não estimados de memória.

O processo antes da multa

Nenhuma sanção nasce pronta. Ela vem ao fim de um processo administrativo sancionador, que assegura contraditório e ampla defesa, e que é precedido pela atividade de fiscalização da autoridade. Isso importa por uma razão prática: existe uma janela para demonstrar boa-fé, cooperar e corrigir, e essa demonstração entra na dosimetria como atenuante. A empresa que chega ao processo com base legal documentada, relatório de impacto à proteção de dados pronto e trilha de decisão auditável chega em posição diferente da que precisa construir tudo isso depois de intimada.

Por que governança reduz o número antes do cálculo

O erro de leitura mais comum é tratar a multa como um evento aleatório contra o qual não há defesa a não ser não ser pego. A estrutura da dosimetria diz o contrário: quase todos os fatores que puxam o valor para baixo são decisões que a empresa toma antes de qualquer incidente. Minimizar o dado tratado reduz a gravidade; documentar a base legal correta afasta a infração; manter governança e responder rápido são atenuantes expressos.

Um programa de verificação bem desenhado atua exatamente nessas alavancas. Ele coleta o mínimo necessário, o que reduz o número de titulares e a sensibilidade do acervo exposto em qualquer cenário; e trata a retenção como regra de engenharia, com prazo e expurgo definidos, não como intenção. Na UNIFOKAL, por exemplo, o desenho parte da coleta mínima para a finalidade de verificar identidade e da retenção com prazo e expurgo definidos, o tipo de decisão de projeto que, num processo sancionador, ajuda a sustentar a boa-fé e a governança que a lei manda pesar. A dosimetria, lida assim, deixa de ser ameaça abstrata e vira uma lista de coisas concretas a fazer antes.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 52, 53 e 54, sobre sanções administrativas e seus parâmetros, disponível no portal do Planalto: planalto.gov.br
• Resolução CD/ANPD 4, de 24 de fevereiro de 2023, que aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, publicada pela Autoridade Nacional de Proteção de Dados no portal gov.br/anpd