No mês de comemoração do 5º (quinto) aniversário da data de promulgação da Lei Geral de Proteção de Dados (LGPD), a Autoridade Nacional de Proteção de Dados (ANPD) aplicou a sua 1ª (primeira) multa.
De fato, o Diário Oficial da União (DOU), trouxe na sua Edição n° 127, publicada em 06/07/2023, o detalhamento da 1ª (primeira) multa aplicada pela ANPD, contra uma microempresa, que sofreu: (i) uma advertência, sem imposição de medidas corretivas, por infração ao artigo 41 da LGPD (indicação de encarregado pelo tratamento de dados pessoais ou DPO); (ii) uma multa simples, no valor de R$ 7.200,00 (sete mil e duzentos reais), por infração ao artigo 7º da LGPD (tratamento irregular de dados pessoa); e, (iii) outra multa simples, também estipulada em R$ 7.200,00 (sete mil e duzentos reais), por infração ao artigo 5º do Regulamento de Fiscalização (Resolução CD/ANPD nº 1, de 28 de outubro de 2021).
Segundo a ANPD, a microempresa, durante a fiscalização deveria:
I – fornecer cópia de documentos, físicos ou digitais, nas condições estabelecidas pela ANPD;
II – permitir o acesso às instalações e todos os ativos de informação para a avaliação das atividades de tratamento de dados pessoais, em seu poder ou em poder de terceiros;
III – possibilitar que a ANPD tenha conhecimento dos sistemas de informação utilizados e as informações oriundos destes instrumentos;
IV – submeter-se a auditorias realizadas ou determinadas pela ANPD; e,
V – manter os documentos físicos ou digitais durante todo o prazo de tramitação de processos administrativos nos quais sejam necessários
O Despacho possibilitou, ainda, caso o autuado resolva, renunciar expressamente ao direito de recorrer da decisão de 1ª (primeira) instância, fará jus a um fator de redução de 25% (vinte e cinco por cento) no valor da multa aplicada.
Fato curioso para os operadores do Direito que atuam com a temática é que a multa aplicada pela ANPD não registra a fórmula da dosimetria da pena. Isso porque muito se tratou a respeito do cálculo da pena a ser imposta pela Autoridade, com amplo debate social sobre o tema. E, ao aplicar a 1ª (primeira) multa, a Autoridade não consignar o seu racional, deixa a lamentável impressão de que algum lapso ocorreu.
Outra curiosidade é que a própria ANPD, por meio da Resolução CD/ANPD n° 2, de 27 de janeiro de 2022, regulamentou, no seu artigo 11, que as microempresas não são obrigadas a indicar o encarregado pelo tratamento de dados pessoais exigidos pelo artigo 41 da LGPD. Aplicar uma multa, neste sentido, é um contrassenso ao que a própria ANPD regulou.
Inobstante, uma coisa é fato, as empresas precisam correr para se adequar aos ditames da LGPD (que não ocorre da noite para o dia, é preciso tempo), especialmente, porque a ANPD já começou a atuar e aplicar as penas autorizadas para tanto. É preciso cuidar dos dados pessoais que circulam nas empresas e órgãos públicos, observando os ditames da LGPD.
