A Autoridade Nacional de Proteção de Dados (ANPD) aprovou no final de fevereiro a resolução CD/ANPD nº 4/2023, que regulamenta a dosimetria e aplicação das sanções administrativas previstas no artigo 52 da lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).
O regulamento entrou em vigor em 28/2/2023, data da sua publicação, permitindo, desde então, a aplicação de todas as sanções previstas na LGPD:
(i) advertência;
(ii) multa simples, de até 2% do faturamento da empresa, limitada, no total, a R$ 50 milhões por infração;
(iii) multa diária, com limite total de R$ 50 mil;
(iv) publicização da infração;
(v) bloqueio dos dados pessoais;
(vi) eliminação dos dados pessoais;
(vii) suspensão parcial do funcionamento do banco de dados, por no máximo seis meses, prorrogável por igual período;
(viii) suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo seis meses, prorrogável por igual período; e
(ix) proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
São considerados fatores agravantes para as infrações as seguintes condições:
- envolverem o tratamento de dados em larga escala;
- caracterizem a intenção do infrator de auferir vantagem econômica;
- induzirem risco à vida dos titulares;
- envolverem o tratamento de dados sensíveis ou de vulneráveis;
- implicarem o tratamento de dados sem base legal;
- envolverem o tratamento de dados com fins discriminatórios; ou
- caracterizarem a adoção sistemática de práticas irregulares.
A partir da aprovação do regulamento a expectativa é que a atividade fiscalizatória da ANPD migre de um modelo reativo de atuação, que até então ocorria a partir de incidentes públicos e denúncias, para um formato cada vez mais proativo e intensificado junto as organizações, reforçando assim a necessidade de atenção das empresas com suas políticas de governança em privacidade e proteção de dados pessoais.
Relação entre os parâmetros a serem considerados para definição da sanção e as ações de governança previstas com o cumprimento das etapas do projeto de adequação à LGPD.
Parâmetros para as sanções
Implementações de medidas mitigatórias previstas no projeto de adequação
– A boa-fé do infrator e sua condição econômica
Comprovação formal através dos artefatos gerados e adaptações de processos empresariais voltados à privacidade e proteção de dados pessoais.
– A vantagem auferida ou pretendida
– O tratamento de dados sensíveis ou de vulneráveis
– O tratamento de dados sem base legal
Análise detalhada e documentada formalmente de todas as atividades de tratamento de dados pessoais com o mapeamento e definições de finalidade, base legal para tratamento e análise de riscos desses tratamentos.
– A reincidência específica ou genérica com adoção sistemática de práticas irregulares
– O grau do dano,
– A cooperação do infrator
– A pronta adoção de medidas corretivas
Definição de processos para tratamento de incidentes e crises organizacionais causadas por sinistros relacionados ao tratamento de dados pessoais, com estabelecimento de critérios formais e métricas de classificação dos incidentes e definição de planos de ação condizentes o nível de gravidade verificado.
– A adoção de políticas de boas práticas e governança
Avaliação da cadeia de valor da organização revisando o papel de cada agente de tratamento envolvido nos processos, estabelecendo acordos jurídicos formais de cooperação e responsabilidade mutua na missão de proteção de dados de titulares.
Treinamentos formais recorrentes de colaboradores e parceiros nos preceitos da LGPD e práticas de privacidade e proteção de dados.
Definição de normas internas de governança e segurança da informação estabelecendo:
– Política de privacidade
– Política de proteção de dados
– Política de uso de cookies
– Estabelecimento de canais adequados para atendimento das demandas de titulares
– Política de segurança da informação
– Política de uso dos recursos computacionais
– Criação do comitê de proteção de dados e nomeação do núcleo segurança da informação
– Definição de canais para a formalização de consentimentos
– Definição de termos de compromisso e consentimento para colaboradores
– Analise formal de riscos de TI e formalização de plano de ação para mitigação dos riscos aferidos
– Adoção do Privacy by design e Privacy by default nos projetos de produtos e serviços
Saiba mais: 
comercial@ctsconsultoria.com.br 
(41) 2106-0010
Acesse nossas redes:
