Decisão da ANPD: primeira multa administrativa por infração à LGPD

A Autoridade Nacional de Proteção de Dados (ANPD) publicou, no dia 06 de julho, o seu primeiro despacho sancionador, em razão de infração à Lei Geral de Proteção de Dados Pessoais (LGPD). Foram aplicadas multas e advertência a uma microempresa do setor de telecomunicações.

O processo fiscalizatório iniciou-se com uma denúncia do Ministério Público do Estado de São Paulo (MPSP) referente à comercialização indevida de lista de contatos de WhatsApp (números de telefones) a terceiros, para fins de disparo de material de campanha eleitoral.

Após investigação da ANPD e fundamentação insuficiente por parte da empresa infratora, as seguintes sanções foram aplicadas:

• advertência por infração à obrigação legal de indicação de encarregado prevista no art. 41 da LGPD;
• multa de R$ 7.200,00 por violação às disposições referentes a bases legais do art. 7º da LGPD, a qual foi considerada como grave visto que a microempresa tinha pretensão de obter vantagem econômica com a conduta; e
• multa de R$ 7.200,00 por infração grave de obstrução à atividade de fiscalização da ANPD, em razão do descumprimento da obrigação de submissão de documentos e informações durante processos fiscalizatórios, conforme previsto no Regulamento de Fiscalização da ANPD.

Quanto à dosimetria da sanção aplicada, o valor de cada multa configurou o limite máximo previsto pela LGPD, de 2% do faturamento do agente. Como o valor do faturamento da microempresa não foi informado à ANPD, para o cálculo das multas, considerou-se o limite legal de receita bruta de microempresa (R$ 360.000,00).

A multa deverá ser paga no prazo de até 20 dias úteis, a partir da ciência oficial.  A empresa autuada poderá apresentar recurso no prazo de 10 dias úteis e, caso renuncie expressamente ao direito de recorrer a decisão de primeira instância, haverá uma redução de 25% no valor da multa aplicada.

A partir do relatório da ANPD, há a impressão de que a falta de colaboração da empresa e a inexistência de informações e documentos básicos de proteção de dados agravaram as penalidades. Portanto, é essencial que os agentes de tratamento tenham registros e informações claras sobre as atividades de tratamento que desempenham. No mais, considerando que a primeira sanção foi aplicada a uma microempresa, é certo que qualquer empresa, independentemente de seu porte ou atividade, pode ser fiscalizada e eventualmente sancionada pela ANPD em razão de infrações à LGPD e/ou aos regulamentos da ANPD.