Fiscalização da ANPD, o que acontece antes de qualquer multa

A multa da LGPD é o pedaço mais citado e o menos representativo da fiscalização da ANPD. Entre a autoridade tomar conhecimento de um problema e uma sanção ser aplicada existe um processo com etapas, prazos e, principalmente, oportunidades de resolver antes que vire punição. Quem trata dado pessoal em escala, e verificação de identidade trata, inclusive dado sensível, faz bem em conhecer esse caminho antes de precisar percorrê-lo.

O arcabouço em duas peças

A primeira peça é a própria LGPD, a Lei 13.709/2018, cujos artigos 52 a 54 definem as sanções administrativas: advertência, multa simples de até dois por cento do faturamento, limitada a cinquenta milhões de reais por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, e as medidas mais duras de suspensão e de proibição do tratamento. O artigo 52 também lista os critérios que modulam a sanção: gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, cooperação e a adoção de mecanismos internos capazes de minimizar o dano.

A segunda peça é a Resolução CD/ANPD 1/2021, que aprova o regulamento do processo de fiscalização e do processo administrativo sancionador. É ela que organiza como a autoridade atua no dia a dia, em quatro frentes: monitoramento, orientação, atuação preventiva e atuação repressiva.

As quatro frentes, na ordem em que costumam chegar

• Monitoramento: a ANPD acompanha o cenário de ofício, recebe denúncias e petições de titulares, observa notícias de incidentes e as comunicações obrigatórias que os próprios controladores fazem. Estar no radar não é ser acusado; é a condição normal de quem trata dados em volume, e boa parte do monitoramento nem gera contato com a empresa.
• Orientação: guias, notas técnicas e recomendações públicas. A autoridade tem produzido material orientativo justamente para que a conformidade aconteça sem processo, e conhecer esse material é a forma mais barata de prever o que será cobrado.
• Atuação preventiva: quando a autoridade identifica risco ou irregularidade e ainda cabe correção, ela pode atuar para conformar o tratamento antes de punir, inclusive determinando medida preventiva quando há risco de dano sério e de difícil reparação. É a fase em que a qualidade da resposta muda o desfecho.
• Atuação repressiva: o processo administrativo sancionador propriamente dito, com auto de infração, direito de defesa, instrução, decisão e recurso. Só ao final dele, havendo condenação, entra o cálculo da pena, tema da Resolução CD/ANPD 4/2023, que já detalhamos em artigo próprio sobre a dosimetria.

O que costuma chegar primeiro: o pedido de informações

Na prática, o primeiro contato costuma ser um requerimento de informações: a autoridade pergunta, por escrito e com prazo, como determinado tratamento funciona, qual a base legal, quais salvaguardas existem, como os direitos dos titulares são atendidos. Três regras de resposta valem a pena gravar.

Primeira, responder no prazo e por completo. A obstrução à atividade de fiscalização é tratada como infração autônoma, e o silêncio transforma uma dúvida do regulador em suspeita.

Segunda, responder com documento, não com adjetivo. As perguntas da autoridade têm respostas que já deveriam existir por obrigação da própria lei: o registro das operações de tratamento do artigo 37, o relatório de impacto quando o tratamento é de alto risco, o mapa de bases legais, os contratos com operadores. Quem tem isso pronto responde em dias; quem não tem começa a construir o programa de privacidade sob prazo de ofício, que é o pior momento possível.

Terceira, falar pela porta certa. O encarregado é, por definição legal, o canal de comunicação entre controlador, titulares e autoridade, e um encarregado que funciona de verdade evita o pior cenário operacional: o ofício que ninguém viu a tempo.

E quando o gatilho é um vazamento, a comunicação tempestiva do incidente à autoridade e aos titulares, nas condições do artigo 48, pesa no que vem depois, tanto como dever quanto como demonstração de boa-fé, como já tratamos no caso específico do incidente com dado biométrico.

Preparação é estoque de resposta

O processo sancionador raramente pune o incidente em si; pune a desorganização que ele revela. A preparação, por isso, é menos sobre advogado e mais sobre estoque de evidência do dia a dia:

• inventário das operações de tratamento atualizado, com finalidade e base legal por operação;
• prazos de retenção declarados e, principalmente, cumpridos pelos sistemas, porque prazo escrito que o banco de dados desmente é confissão;
• contratos de controlador e operador com papéis e instruções claros para cada fluxo de dado;
• relatório de impacto pronto para os tratamentos de alto risco, biometria incluída;
• encarregado nomeado, publicado e com canal testado de ponta a ponta;
• histórico do atendimento aos direitos dos titulares, com pedidos e prazos, porque o atendimento a acesso, correção e eliminação está entre os primeiros pontos que a autoridade confere.

Para quem usa um fornecedor de verificação de identidade, a preparação alcança a cadeia inteira: o controlador responde pelo tratamento que o operador executa em seu nome. Na UNIFOKAL, por exemplo, a retenção da mídia de verificação tem prazo definido e a eliminação faz parte do desenho do produto, e é esse tipo de informação, o que é coletado, onde fica, por quanto tempo, quando deixa de existir, que o cliente controlador precisa ter na mão no dia em que o ofício chegar. Fiscalização se atravessa com o que já estava escrito e funcionando antes de ela começar; o que se improvisa depois chega tarde e chega frágil.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 37, 48 e 52 a 54, sobre registro das operações, comunicação de incidente e sanções administrativas, no portal do Planalto: planalto.gov.br
• Resolução CD/ANPD 1/2021, regulamento do processo de fiscalização e do processo administrativo sancionador, no portal da ANPD: gov.br/anpd
• Resolução CD/ANPD 4/2023, regulamento de dosimetria e aplicação de sanções administrativas, no portal da ANPD: gov.br/anpd