A partir de hoje, dia 1º de agosto de 2021, entram em vigor os arts. 52, 53 e 54 da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD), que estabelecem sanções administrativas que podem ser aplicadas pela ANPD (art. 65, I-A, da LGPD).
Contudo, isso não impede que as pessoas sejam responsabilizadas pelo descumprimento das normas da LGPD entre 18 de setembro de 2020 e 31 de julho de 2021, pelo Judiciário ou por outros órgãos administrativos (como, por exemplo, o PROCON), com fundamento em dispositivos legais e regulamentares diversos dos arts. 52 a 54 da LGPD.
As sanções administrativas previstas no art. 52 da LGPD são as seguintes:
1) advertência, com a indicação de prazo para a adoção das medidas corretivas;
2) multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
3) multa diária, observado o limite total da multa simples. Portanto, o valor total da multa diária (ou seja, somados todos os dias de sua incidência) não pode ultrapassar o valor da multa simples, de até 2% do faturamento e observado o limite máximo de cinquenta milhões de reais por infração;
4) publicização da infração (apenas quando for devidamente apurada e confirmada a sua ocorrência). A ANPD não pode impor essa sanção de forma preventiva, mas o art. 48 da LGPD prevê o dever do controlador de comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;
5) bloqueio dos dados pessoais objeto da infração, até a sua regularização;
6) eliminação dos dados pessoais objeto da infração;
7) suspensão parcial do funcionamento do banco de dados objeto da infração, pelo período máximo de 6 meses, prorrogável por mais 6 meses, até a regularização da atividade de tratamento pelo controlador;
8) suspensão do exercício da atividade de tratamento dos dados pessoais objeto da infração pelo período máximo de 6 meses, prorrogável por mais 6 meses;
9) proibição parcial ou total do exercício de atividades de tratamento de dados pessoais.
A LGPD condiciona a imposição de qualquer uma das sanções à instauração de processo administrativo, com o exercício prévio da ampla defesa pelo supostos infrator (art. 52, § 1º) e de outros princípios processuais cabíveis (em especial o contraditório e, de modo mais amplo, o devido processo legal).
Ainda, a LGPD define os critérios que devem ser observados para a definição da sanção a ser aplicada, de modo isolado ou em conjunto com outras sanções administrativas.
