Em 28 de outubro de 2021, foi publicada a Resolução nº 1, da Autoridade Nacional de Proteção de Dados (“ANPD”), em que o Conselho Diretor da Autoridade Nacional de Proteção de Dados aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. O Regulamento estabelece os procedimentos para o processo de fiscalização e as regras a serem observadas no âmbito do processo administrativo sancionador no âmbito da legislação de proteção de dados pessoais, cujo principal marco é a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados (“LGPD”).

As disposições do Regulamento são aplicáveis aos titulares de dados, aos agentes de tratamento, às pessoas naturais ou jurídicas, de direito público ou privado, assim como aos demais interessados no tratamento de dados pessoais.

O Regulamento estabelece os deveres dos agentes regulados submetidos ao processo de fiscalização da ANPD, cujo não cumprimento pode caracterizar obstrução à atividade de fiscalização, sujeita a medidas repressivas. São os deveres: (i) fornecer cópia de documentos, dados e informações relevantes para avaliação das atividades de tratamento, conforme determinação da ANPD; (ii) permitir acesso às instalações, equipamentos, sistemas, recursos tecnológicos, documentos, dados e outras informações relevantes para avaliação das atividades de tratamento; (iii) possibilitar que a ANPD tenha conhecimento dos sistemas utilizados para o tratamento de dados; (iv) submeter-se a auditorias realizadas ou determinadas pela ANPD; (v) manter os documentos físicos ou digitais, os dados e as informações durante os prazos estabelecidos na lei, bem como durante toda a tramitação de processos administrativos; e (vi) disponibilizar representante apto a oferecer suporte à ANPD.

No âmbito de sua atuação fiscalizatória, a ANPD atuará em quatro frentes:

(i) monitoramento (segundo o art. 70, o primeiro ciclo de monitoramento se iniciará em janeiro de 2022), que consiste no levantamento de informações e dados para subsidiar a tomada de decisões pela ANPD, com o fim de assegurar o regular funcionamento do ambiente regulado;

(ii) orientação, caracterizada pela atuação pautada na economicidade e utilização de métodos e ferramentas que promovam a orientação e conscientização dos agentes de tratamento e titulares, tais como a elaboração de ferramentas de autoavaliação de conformidade, realização de treinamentos e cursos, divulgação de regras de boas práticas e de governança, e recomendação de utilização de padrões técnicas, da implementação de programas de governança e da observância de códigos de conduta estabelecidos por organismos de certificação ou outras entidades responsáveis;

(iii) prevenção, consubstanciada na construção conjunta de soluções que visam reconduzir o agente de tratamento à conformidade ou a evitar e mitigar situações de risco ou danos aos titulares de dados pessoais; e

(iv) repressão, pertinente à atuação coercitiva da ANPD, que visa interromper situações de dano ou risco, além de reconduzir à conformidade e punir aqueles que tenham ensejado a aplicação das sanções previstas no artigo 52 da LGPD.

Ainda, a Resolução estabelece os requisitos para recebimento de um requerimento, que compreende a petição de um titular de dados pessoais e a denúncia. Além de atender a requisitos de admissibilidade como a identificação da competência da ANPD para apreciar a matéria e a identificação do agente de tratamento, dentre outros, a petição de titular deverá ser acompanhada de comprovação de prévia e infrutífera submissão ao controlador.

Quanto à atividade preventiva, que não envolve a interposição de sanções, a Resolução considera como medidas preventivas: (a) a divulgação de informações e dados setoriais agregados e de desempenho; (b) aviso, que contém uma descrição da situação e informações suficientes para identificação de providências necessárias; (c) solicitação de regularização; e (d) elaboração de plano de conformidade, que contém detalhamento de objeto, prazos, ações previstas, critérios de acompanhamento e trajetória de alcance dos resultados esperados.

O não atendimento da solicitação de regularidade e do plano de conformidade enseja a progressão da atuação da ANPD para, mediante sua discricionariedade, adotar outras medidas preventivas ou a própria atuação repressiva, sendo considerado agravante no caso de instauração de processo administrativo

Por fim, a Resolução disciplina o processo administrativo sancionador no âmbito da apuração de infrações à legislação de proteção de dados pessoais. O processo administrativo sancionador pode ser instaurado de ofício ou diante de requerimento pela Coordenação-Geral de Fiscalização ou em decorrência do processo de monitoramento.

Instaurado o processo administrativo sancionador e lavrado do auto de infração, o agente de tratamento interessado terá um prazo máximo de dez dias úteis para apresentar defesa, a contar da intimação da Coordenação-Geral de Fiscalização. Tendo transcorrido o prazo de defesa, independentemente da apresentação desta, será elaborado relatório de instrução e o processo será concluso à Coordenação-Geral de Fiscalização para decisão.

A Coordenação-Geral de Fiscalização proferirá a decisão de primeira instância, sendo que, caso seja decretada aplicação de sanção administrativa, o autuado será intimado para cumprir a decisão ou interpor recurso administrativo ao Conselho Diretor, em dez dias úteis, contados da intimação da decisão. Interposto recurso, este terá efeito suspensivo limitado à matéria contestada, ressalvadas as hipóteses prejuízo de difícil ou incerta reparação decorrente da execução da decisão recorrida.

Recebido o recurso administrativo, é facultado à Coordenação-Geral de Fiscalização juízo de reconsideração, sem que haja, contudo, agravamento da sanção originalmente aplicada. Caso a decisão não seja reconsiderada, o recurso seguirá para o Conselho Diretor, cujo procedimento de distribuição e processamento seguirá as regras do Regimento Interno da ANPD.

Publicada a decisão do Conselho Diretor, os interessados serão intimados para fins de ciência e cumprimento da decisão, sendo o processo encaminhado para a Coordenação-Geral de Fiscalização para acompanhamento do cumprimento da decisão. Do cumprimento da decisão, são três as possibilidades: (i) arquivamento dos autos; (ii) no caso de sanção pecuniária não paga até a data do vencimento, inscrição no Cadastro Informativo de Créditos não Quitados do Setor Público Federal (Cadin), no prazo de setenta e cinco dias da intimação, bem como inscrição na Dívida Ativa da União; ou (iiii) restando débito vencido e não pago, o processo será encaminhado ao órgão competente da Advocacia-Geral da União.

Admite-se, a qualquer tempo, revisão pelo Conselho Diretor, a pedido ou de ofício, dos processos administrativos que resultem sanções, quando surgirem fatos novos ou circunstâncias relevantes passíveis de justificar a inadequação da sanção aplicada. A revisão seguirá o mesmo rito do recurso administrativo e não poderá resultar agravamento da sanção, assim como o pedido de revisão não suspenderá os efeitos da sanção aplicada na decisão administrativa.

A Resolução prevê em seus artigos 43 e 44 a possibilidade de o interessado apresentar à Coordenação-Geral de Fiscalização proposta de celebração de Termo de Ajustamento de Conduta (“TAC”), que será submetido ao Conselho Diretor para deliberação, observando-se as disposições do Regimento Interno da ANPD. A celebração do TAC resultará na suspensão do processo administrativo sancionador e, uma vez verificado o seu cumprimento integral, o processo será arquivado.

Clique aqui para acessar a íntegra da Resolução.

A equipe de Empresarial do Nasser Advogados está à disposição para auxiliá-los.