DOU 27/02/2023 - Diário Oficial da União - Brasil
Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023022700060
60
Nº 39, segunda-feira, 27 de fevereiro de 2023
ISSN 1677-7042
Seção 1
§ 1º As sanções previstas nos incisos VII, VIII e IX do caput deste artigo
somente serão aplicadas após já ter sido imposta ao menos uma das sanções de que
tratam os incisos II, III, IV, V e VI do caput deste artigo para o mesmo caso
concreto.
§ 2º Na hipótese do § 1º deste artigo, a ANPD dará ciência ao principal
órgão ou entidade reguladora setorial, com competências sancionatórias, a que se
submete o controlador, durante a fase de instrução, para que se manifeste sobre
eventuais consequências da imposição das sanções para o exercício de atividades
econômicas reguladas desenvolvidas pelo controlador, especialmente na prestação de
serviços públicos, assim como forneça outras informações que entender pertinentes.
§ 3º O órgão ou entidade reguladora setorial terá prazo de até 20 (vinte)
dias úteis, prorrogável uma única vez por igual período, após o qual o processo poderá
ter prosseguimento e ser decidido mesmo sem a manifestação.
§ 4º O infrator poderá se manifestar sobre as informações apresentadas
pelo órgão ou entidade reguladora setorial em suas alegações finais.
§ 5º O disposto nos incisos I e IV a IX, do caput deste artigo, poderá ser
aplicado às entidades e aos órgãos públicos, sem prejuízo do disposto na Lei nº 8.112,
de 11 de dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei nº
12.527, de 18 de novembro de 2011.
Art. 4º
As sanções
serão aplicadas
após procedimento
administrativo
mediante decisão fundamentada da ANPD, assegurado o direito à ampla defesa, ao
contraditório e ao devido processo legal, nos termos da Lei nº 9.784, de 29 de janeiro
de 1999, da LGPD, do Regimento Interno da ANPD, e do Regulamento do Processo de
Fiscalização e
do Processo Administrativo
Sancionador, aprovado
pela Resolução
CD/ANPD nº 1, de 28 de outubro de 2021.
Parágrafo único. Em caso de pluralidade de infratores, as sanções serão
aplicadas de forma individualizada.
Art.
5º As
sanções
serão aplicadas
de
forma
gradativa, isolada
ou
cumulativamente, de acordo com as peculiaridades do caso concreto e nos termos
deste Regulamento.
§ 1º A aplicação de sanção não exclui a possibilidade de adoção de outras
medidas administrativas pela ANPD, previstas na LGPD, e no Regulamento do Processo
de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução
CD/ANPD nº 1, de 28 de outubro de 2021, e nas demais disposições legais e
regulamentares em vigor, para garantir a conformidade do infrator à legislação de
proteção de dados pessoais.
§ 2º O não cumprimento da sanção aplicada ou a ausência de regularização
da conduta, no prazo estipulado, ensejará a progressão da atuação da ANPD para a
aplicação de sanções mais graves, sem prejuízo da adoção das demais medidas legais
cabíveis.
Art. 6º A intimação da sanção e a contagem dos prazos previstos neste
Regulamento serão realizadas conforme o disposto no Regulamento do Processo de
Fiscalização e
do Processo Administrativo
Sancionador, aprovado
pela Resolução
CD/ANPD nº 1/2021.
Art. 7º Na definição da sanção, devem ser considerados os seguintes
parâmetros e critérios:
I - a gravidade e a natureza
das infrações e dos direitos pessoais
afetados;
II - a boa-fé do infrator;
III - a vantagem auferida ou pretendida pelo infrator;
IV - a condição econômica do infrator;
V - a reincidência específica;
VI - a reincidência genérica;
VII - o grau do dano, nos termos do Apêndice I deste Regulamento;
VIII - a cooperação do infrator;
IX - a adoção reiterada e demonstrada de mecanismos e procedimentos
internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de
dados, em consonância com a LGPD;
X - a adoção de política de boas práticas e governança;
XI - a pronta adoção de medidas corretivas; e
XII - a proporcionalidade entre a gravidade da falta e a intensidade da sanção.
Seção II
Da Classificação das Infrações
Art. 8º As infrações são classificadas, segundo a gravidade e a natureza das
infrações e dos direitos pessoais afetados, em:
I - leve;
II - média; ou
III - grave.
§ 1º A infração será considerada leve quando não verificada nenhuma das
hipóteses relacionadas nos §§ 2º ou 3º deste artigo.
§
2º
A
infração
será
considerada
média
quando
puder
afetar
significativamente interesses e direitos fundamentais dos titulares de dados pessoais,
caracterizada nas situações em que a atividade de tratamento puder impedir ou
limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço,
assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação;
violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou
uso indevido de identidade, desde que não seja classificada como grave.
§ 3º A infração será considerada grave quando:
I
-
verificada
a
hipótese
estabelecida
no
§
2º
deste
artigo
e
cumulativamente, pelo menos, uma das seguintes:
a) envolver tratamento de dados pessoais em larga escala, caracterizado
quando abranger número significativo de titulares, considerando-se, ainda, o volume de
dados envolvidos, bem como a duração, a frequência e a extensão geográfica do
tratamento realizado;
b) o infrator auferir ou
pretender auferir vantagem econômica em
decorrência da infração cometida;
c) a infração implicar risco à vida dos titulares;
d) a infração envolver tratamento de dados sensíveis ou de dados pessoais
de crianças, de adolescentes ou de idosos;
e) o infrator realizar tratamento de dados pessoais sem amparo em uma
das hipóteses legais previstas na LGPD;
f) o infrator realizar tratamento com efeitos discriminatórios ilícitos ou
abusivos; ou
g) verificada a adoção sistemática de práticas irregulares pelo infrator;
II - constituir obstrução à atividade de fiscalização.
Seção III
Da Aplicação de Advertência
Art. 9º A ANPD poderá aplicar a sanção de advertência quando:
I - a infração for leve ou média e não caracterizar reincidência específica;
ou
II - houver necessidade de imposição de medidas corretivas.
Seção IV
Da Aplicação de Multa Simples
Art. 10. A ANPD aplicará a sanção de multa simples quando:
I - o infrator não tenha atendido as medidas preventivas ou corretivas a ele
impostas, dentro dos prazos estabelecidos, quando aplicável;
II - a infração for classificada como grave; ou
III - pela natureza da infração, da atividade de tratamento ou dos dados
pessoais, e pelas circunstâncias do caso concreto, não for adequado aplicar outra
sanção.
Subseção I
Da Definição do Valor-Base
Art. 11. Para a definição do valor-base da multa simples será utilizada, para
cada infração cometida, a metodologia descrita no Apêndice I deste Regulamento,
considerados os seguintes elementos:
I - a classificação da infração;
II - o faturamento do infrator no último exercício disponível anterior à
aplicação da sanção, excluídos os tributos de que trata o inciso III do § 1º do art. 12
do Decreto-Lei nº 1.598, de 26 de dezembro de 1977, relativo ao ramo de atividade
empresarial em que ocorreu a infração; e
III - o grau do dano, nos termos do Apêndice I deste Regulamento.
§ 1º Para fins do disposto no inciso II do caput, será considerado como
faturamento:
I - a receita bruta de que trata o art. 12 do Decreto-Lei nº 1.598, de 26
de dezembro de 1977, excluídas as devoluções e vendas canceladas, bem como os
descontos concedidos incondicionalmente;
II - a receita bruta de que trata o § 1º do art. 3º da Lei Complementar nº
123, de 14 de dezembro de 2006, excluídas as devoluções e vendas canceladas, bem
como os descontos concedidos incondicionalmente, para pessoas jurídicas de direito
privado optantes pelo Simples Nacional;
III - o montante total de recursos auferidos, excluídos os tributos sobre
vendas, para pessoas jurídicas de direito privado sem fins lucrativos, nos termos da
legislação vigente; ou
IV - o valor definido pela ANPD, nos termos deste Regulamento, que poderá
considerar:
a) o limite de faturamento previsto nos incisos I e II do art. 3º ou no § 1º
do art. 18-A, conforme o caso, da Lei Complementar nº 123, de 14 de dezembro de
2006, no caso dos optantes pelo Simples Nacional;
b) o limite de faturamento previsto no inciso I, § 1º, do art. 4º, da Lei
Complementar nº 182, de 1º de junho de 2021, no caso de startups;
c) o faturamento total da empresa, do grupo ou conglomerado de empresas
no Brasil, caso não disponível a informação referente ao ramo de atividade empresarial
em que ocorreu a infração;
d) o somatório dos rendimentos recebidos por pessoas naturais referentes
a atividades de tratamento de dados pessoais, direta ou indiretamente; ou
e) nos demais casos, o limite de faturamento correspondente ao valor
máximo de multa de R$ 50.000.000,00 (cinquenta milhões de reais).
§ 2º Será considerada a soma dos faturamentos obtidos em todos os ramos
de atividade empresarial afetados, quando:
I - a infração tenha ocorrido em mais de um ramo de atividade empresarial; ou
II - os dados pessoais
abrangidos pela infração são aproveitados,
relacionados, ou utilizados como fontes de informação para processos de outros ramos
de atividade da empresa, do grupo ou do conglomerado.
§ 3º Para fins do disposto no inciso IV do § 1º deste artigo, a ANPD definirá
o valor do faturamento, quando:
I - o infrator não
apresentar documentação inequívoca e idônea,
caracterizada, dentre outras formas, por meio de fraude, falsidade, erro, inexatidão,
simulação ou omissão quanto a qualquer elemento definido em lei como sendo de
declaração obrigatória;
II - o infrator não apresentar documentação dentro do prazo estabelecido
pela ANPD; ou
III - o valor do faturamento for apresentado de forma incompleta.
§ 4º Caso o infrator comprovadamente não tenha tido faturamento no
último exercício anterior à aplicação da sanção, deve-se considerar no valor-base de
cálculo da multa simples:
I - o valor do último faturamento apurado pelo infrator, excluídos os
tributos, atualizado até o último dia do exercício anterior à aplicação da sanção; ou
II - na ausência deste, as faixas de valores absolutos, em reais, conforme
disposto no Apêndice I deste Regulamento.
Subseção II
Das Circunstâncias Agravantes
Art. 12. O valor da multa simples será acrescido nos percentuais abaixo,
caso incidam as seguintes circunstâncias agravantes:
I - 10% (dez por cento) para cada caso de reincidência específica, até o
limite de 40% (quarenta por cento);
II - 5% (cinco por cento) para cada caso de reincidência genérica, até o
limite de 20% (vinte por cento);
III - 20% (vinte por cento) para cada medida de orientação ou preventiva
descumprida no processo de fiscalização ou do procedimento preparatório que
precedeu o processo administrativo sancionador, até o limite de 80% (oitenta por
cento); e
IV - 30% (trinta por cento) para cada medida corretiva descumprida, até o
limite de 90% (noventa por cento).
§ 1º Na hipótese de incidência de mais de um dos incisos deste artigo,
deverão ser somados os percentuais relativos a cada fator.
§ 2º Na hipótese de haver registros computáveis a título de reincidência
específica além do suficiente para a incidência do percentual máximo de agravamento
previsto no inciso I deste artigo, os excedentes ingressarão na categoria de reincidência
genérica, para o acréscimo previsto no inciso II.
Subseção III
Das Circunstâncias Atenuantes
Art. 13. O valor da multa simples será reduzido, nos percentuais abaixo,
caso incidam as seguintes circunstâncias atenuantes:
I - nos casos de cessação da infração:
a) 75% (setenta e cinco por cento), se previamente à instauração de
procedimento preparatório pela ANPD;
b) 50% (cinquenta por cento), se após a instauração de procedimento
preparatório e até a instauração de processo administrativo sancionador; ou
c) 30% (trinta por cento), se após a instauração de processo administrativo
sancionador e até a prolação da decisão de primeira instância no âmbito do processo
administrativo sancionador;
II - 20% (vinte por cento), nos casos de implementação de política de boas
práticas e de governança ou de adoção reiterada e demonstrada de mecanismos e
procedimentos internos capazes de minimizar os danos aos titulares, voltados ao
Fechar