DOU 27/02/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023022700060 60 Nº 39, segunda-feira, 27 de fevereiro de 2023 ISSN 1677-7042 Seção 1 § 1º As sanções previstas nos incisos VII, VIII e IX do caput deste artigo somente serão aplicadas após já ter sido imposta ao menos uma das sanções de que tratam os incisos II, III, IV, V e VI do caput deste artigo para o mesmo caso concreto. § 2º Na hipótese do § 1º deste artigo, a ANPD dará ciência ao principal órgão ou entidade reguladora setorial, com competências sancionatórias, a que se submete o controlador, durante a fase de instrução, para que se manifeste sobre eventuais consequências da imposição das sanções para o exercício de atividades econômicas reguladas desenvolvidas pelo controlador, especialmente na prestação de serviços públicos, assim como forneça outras informações que entender pertinentes. § 3º O órgão ou entidade reguladora setorial terá prazo de até 20 (vinte) dias úteis, prorrogável uma única vez por igual período, após o qual o processo poderá ter prosseguimento e ser decidido mesmo sem a manifestação. § 4º O infrator poderá se manifestar sobre as informações apresentadas pelo órgão ou entidade reguladora setorial em suas alegações finais. § 5º O disposto nos incisos I e IV a IX, do caput deste artigo, poderá ser aplicado às entidades e aos órgãos públicos, sem prejuízo do disposto na Lei nº 8.112, de 11 de dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei nº 12.527, de 18 de novembro de 2011. Art. 4º As sanções serão aplicadas após procedimento administrativo mediante decisão fundamentada da ANPD, assegurado o direito à ampla defesa, ao contraditório e ao devido processo legal, nos termos da Lei nº 9.784, de 29 de janeiro de 1999, da LGPD, do Regimento Interno da ANPD, e do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021. Parágrafo único. Em caso de pluralidade de infratores, as sanções serão aplicadas de forma individualizada. Art. 5º As sanções serão aplicadas de forma gradativa, isolada ou cumulativamente, de acordo com as peculiaridades do caso concreto e nos termos deste Regulamento. § 1º A aplicação de sanção não exclui a possibilidade de adoção de outras medidas administrativas pela ANPD, previstas na LGPD, e no Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021, e nas demais disposições legais e regulamentares em vigor, para garantir a conformidade do infrator à legislação de proteção de dados pessoais. § 2º O não cumprimento da sanção aplicada ou a ausência de regularização da conduta, no prazo estipulado, ensejará a progressão da atuação da ANPD para a aplicação de sanções mais graves, sem prejuízo da adoção das demais medidas legais cabíveis. Art. 6º A intimação da sanção e a contagem dos prazos previstos neste Regulamento serão realizadas conforme o disposto no Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1/2021. Art. 7º Na definição da sanção, devem ser considerados os seguintes parâmetros e critérios: I - a gravidade e a natureza das infrações e dos direitos pessoais afetados; II - a boa-fé do infrator; III - a vantagem auferida ou pretendida pelo infrator; IV - a condição econômica do infrator; V - a reincidência específica; VI - a reincidência genérica; VII - o grau do dano, nos termos do Apêndice I deste Regulamento; VIII - a cooperação do infrator; IX - a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a LGPD; X - a adoção de política de boas práticas e governança; XI - a pronta adoção de medidas corretivas; e XII - a proporcionalidade entre a gravidade da falta e a intensidade da sanção. Seção II Da Classificação das Infrações Art. 8º As infrações são classificadas, segundo a gravidade e a natureza das infrações e dos direitos pessoais afetados, em: I - leve; II - média; ou III - grave. § 1º A infração será considerada leve quando não verificada nenhuma das hipóteses relacionadas nos §§ 2º ou 3º deste artigo. § 2º A infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave. § 3º A infração será considerada grave quando: I - verificada a hipótese estabelecida no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: a) envolver tratamento de dados pessoais em larga escala, caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado; b) o infrator auferir ou pretender auferir vantagem econômica em decorrência da infração cometida; c) a infração implicar risco à vida dos titulares; d) a infração envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; e) o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; f) o infrator realizar tratamento com efeitos discriminatórios ilícitos ou abusivos; ou g) verificada a adoção sistemática de práticas irregulares pelo infrator; II - constituir obstrução à atividade de fiscalização. Seção III Da Aplicação de Advertência Art. 9º A ANPD poderá aplicar a sanção de advertência quando: I - a infração for leve ou média e não caracterizar reincidência específica; ou II - houver necessidade de imposição de medidas corretivas. Seção IV Da Aplicação de Multa Simples Art. 10. A ANPD aplicará a sanção de multa simples quando: I - o infrator não tenha atendido as medidas preventivas ou corretivas a ele impostas, dentro dos prazos estabelecidos, quando aplicável; II - a infração for classificada como grave; ou III - pela natureza da infração, da atividade de tratamento ou dos dados pessoais, e pelas circunstâncias do caso concreto, não for adequado aplicar outra sanção. Subseção I Da Definição do Valor-Base Art. 11. Para a definição do valor-base da multa simples será utilizada, para cada infração cometida, a metodologia descrita no Apêndice I deste Regulamento, considerados os seguintes elementos: I - a classificação da infração; II - o faturamento do infrator no último exercício disponível anterior à aplicação da sanção, excluídos os tributos de que trata o inciso III do § 1º do art. 12 do Decreto-Lei nº 1.598, de 26 de dezembro de 1977, relativo ao ramo de atividade empresarial em que ocorreu a infração; e III - o grau do dano, nos termos do Apêndice I deste Regulamento. § 1º Para fins do disposto no inciso II do caput, será considerado como faturamento: I - a receita bruta de que trata o art. 12 do Decreto-Lei nº 1.598, de 26 de dezembro de 1977, excluídas as devoluções e vendas canceladas, bem como os descontos concedidos incondicionalmente; II - a receita bruta de que trata o § 1º do art. 3º da Lei Complementar nº 123, de 14 de dezembro de 2006, excluídas as devoluções e vendas canceladas, bem como os descontos concedidos incondicionalmente, para pessoas jurídicas de direito privado optantes pelo Simples Nacional; III - o montante total de recursos auferidos, excluídos os tributos sobre vendas, para pessoas jurídicas de direito privado sem fins lucrativos, nos termos da legislação vigente; ou IV - o valor definido pela ANPD, nos termos deste Regulamento, que poderá considerar: a) o limite de faturamento previsto nos incisos I e II do art. 3º ou no § 1º do art. 18-A, conforme o caso, da Lei Complementar nº 123, de 14 de dezembro de 2006, no caso dos optantes pelo Simples Nacional; b) o limite de faturamento previsto no inciso I, § 1º, do art. 4º, da Lei Complementar nº 182, de 1º de junho de 2021, no caso de startups; c) o faturamento total da empresa, do grupo ou conglomerado de empresas no Brasil, caso não disponível a informação referente ao ramo de atividade empresarial em que ocorreu a infração; d) o somatório dos rendimentos recebidos por pessoas naturais referentes a atividades de tratamento de dados pessoais, direta ou indiretamente; ou e) nos demais casos, o limite de faturamento correspondente ao valor máximo de multa de R$ 50.000.000,00 (cinquenta milhões de reais). § 2º Será considerada a soma dos faturamentos obtidos em todos os ramos de atividade empresarial afetados, quando: I - a infração tenha ocorrido em mais de um ramo de atividade empresarial; ou II - os dados pessoais abrangidos pela infração são aproveitados, relacionados, ou utilizados como fontes de informação para processos de outros ramos de atividade da empresa, do grupo ou do conglomerado. § 3º Para fins do disposto no inciso IV do § 1º deste artigo, a ANPD definirá o valor do faturamento, quando: I - o infrator não apresentar documentação inequívoca e idônea, caracterizada, dentre outras formas, por meio de fraude, falsidade, erro, inexatidão, simulação ou omissão quanto a qualquer elemento definido em lei como sendo de declaração obrigatória; II - o infrator não apresentar documentação dentro do prazo estabelecido pela ANPD; ou III - o valor do faturamento for apresentado de forma incompleta. § 4º Caso o infrator comprovadamente não tenha tido faturamento no último exercício anterior à aplicação da sanção, deve-se considerar no valor-base de cálculo da multa simples: I - o valor do último faturamento apurado pelo infrator, excluídos os tributos, atualizado até o último dia do exercício anterior à aplicação da sanção; ou II - na ausência deste, as faixas de valores absolutos, em reais, conforme disposto no Apêndice I deste Regulamento. Subseção II Das Circunstâncias Agravantes Art. 12. O valor da multa simples será acrescido nos percentuais abaixo, caso incidam as seguintes circunstâncias agravantes: I - 10% (dez por cento) para cada caso de reincidência específica, até o limite de 40% (quarenta por cento); II - 5% (cinco por cento) para cada caso de reincidência genérica, até o limite de 20% (vinte por cento); III - 20% (vinte por cento) para cada medida de orientação ou preventiva descumprida no processo de fiscalização ou do procedimento preparatório que precedeu o processo administrativo sancionador, até o limite de 80% (oitenta por cento); e IV - 30% (trinta por cento) para cada medida corretiva descumprida, até o limite de 90% (noventa por cento). § 1º Na hipótese de incidência de mais de um dos incisos deste artigo, deverão ser somados os percentuais relativos a cada fator. § 2º Na hipótese de haver registros computáveis a título de reincidência específica além do suficiente para a incidência do percentual máximo de agravamento previsto no inciso I deste artigo, os excedentes ingressarão na categoria de reincidência genérica, para o acréscimo previsto no inciso II. Subseção III Das Circunstâncias Atenuantes Art. 13. O valor da multa simples será reduzido, nos percentuais abaixo, caso incidam as seguintes circunstâncias atenuantes: I - nos casos de cessação da infração: a) 75% (setenta e cinco por cento), se previamente à instauração de procedimento preparatório pela ANPD; b) 50% (cinquenta por cento), se após a instauração de procedimento preparatório e até a instauração de processo administrativo sancionador; ou c) 30% (trinta por cento), se após a instauração de processo administrativo sancionador e até a prolação da decisão de primeira instância no âmbito do processo administrativo sancionador; II - 20% (vinte por cento), nos casos de implementação de política de boas práticas e de governança ou de adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar os danos aos titulares, voltados ao