As sanções administrativas previstas na LGPD entram em vigor em 01º de agosto de acordo com o previsto na lei n.14.010, de 10 de junho de 2020. Multas de até R$ 50 milhões poderão ser aplicadas, além do possível bloqueio de dados que podem inviabilizar modelos de negócio de quem estiver em desacordo com os preceitos da lei.
E agora? As instituições de ensino estão preparadas? Pois bem, a primeira constatação que devemos fazer é que todos tiveram bastante prazo para se adequar à lei. Sua vigência em setembro de 2020 antecedeu em quase um ano a vigência dos artigos relativos às punições e sanções às transgressões à norma.
Neste ínterim, implementou-se a Autoridade Nacional de Proteção de Dados, agência reguladora da matéria e que, na prática, garante a efetiva aplicação da lei. A agência já aprovou seu regimento interno, organizou seu funcionamento institucional e já publicou importante guia que supre lacunas e espaços para interpretações deixadas pela lei.
Leia:
A segunda constatação é que, embora todas as empresas - incluindo aí todas as instituições de ensino - tenham tido tempo para a adequação, nem todas o fizeram. Algumas pela cultura de que, pela demora da vigência da lei e a postergação da entrada em vigor das penalidades, poderia contar com mais uma prorrogação. Algumas outras ainda podem ter dificuldades – de várias ordens - em investir em revisão de processos, pessoas, tecnologia e, especialmente, na mudança de cultura.
A bem da verdade, as empresas que rotineiramente têm processos de negócios submetidos a controles e auditorias recorrentes tiveram menos dificuldade em adequar seus processos às exigências da LGPD. As que normalmente não possuem exigências regulatórias, tem maior dificuldade e, se ainda não o fizeram, precisam correr para cumprir as determinações da lei de dados.
As sanções administrativas
As sanções administrativas serão cabíveis às pessoas jurídicas, inclusive as instituições de ensino, que estiverem em desacordo com os preceitos da lei de dados e a aplicação se concretizará por meio das decisões da Autoridade Nacional de Proteção de Dados.
As sanções poderão variar entre a advertência, a multa simples ou diária e, ainda, a suspensão e a proibição do tratamento de dados pelos infratores, de acordo com os incisos I a XII, do artigo 52 e somente serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os parâmetros e critérios definidos na lei.
A gravidade e a natureza das infrações e dos direitos pessoais afetados, a boa-fé do infrator, a vantagem auferida ou pretendida pelo infrator, sua condição econômica, reincidência e grau do dano, por exemplo, serão levadas em conta quando da aplicação da penalidade.
No caso da advertência, será sempre acompanhada da indicação de um prazo para adoção de medidas corretivas. A multa simples, por sua vez, pode ser de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, e limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração e a multa diária observará o limite total a que se refere a multa simples.
Outras podem ser as consequências da aplicação de uma sanção por infração administrativa, como a publicização da infração, o bloqueio dos dados pessoais a que se refere a infração até a sua regularização, a eliminação dos dados pessoais, a suspensão temporária e parcial do funcionamento do banco de dados, a suspensão do exercício da atividade de tratamento dos dados por tempo determinado e, por fim, a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
A instituição pode ser penalizada duas ou três vezes pelo mesmo ato?
Sim. É crucial que a instituição de ensino compreenda que, agora, com a vigência plena da LGPD, pode haver incriminação por práticas ilícitas descritas na lei e também em razão de inúmeras condutas que podem ser praticadas pelos sujeitos vinculados aos dados pessoais tipificadas no Código Penal Brasileiro e em leis específicas, inclusive no Código de Defesa do Consumidor.
E agora, o que fazer?
Já publicamos vários textos sobre como a instituição de ensino deve agir para se colocar em conformidade com a LGPD. O primeiro e mais importante documento no programa de adequação é o data mapping, ou seja, o mapeamento de dados. Ele é obrigatório e responsável por guiar todos os outros passos em direção à compliance com a LGPD.
Se a Instituição de Ensino não o providenciar, inclusive, já poderá sofrer sanções administrativas que entrarão em vigor em agosto. Há quem argumente que não possuir o mapeamento de dados por parte de pequenas instituições pode ser tratado como infração de pouca monta pela ANPD, mas, pela segurança da instituição, é recomendado fazê-lo.
Posteriormente, o programa de implementação da Lei de Dados requer uma análise de risco, um processo que permite identificar, analisar e avaliar as ameaças e vulnerabilidades que expõem os dados que a IES armazena e trata.
Se não existe uma política de privacidade na instituição de ensino, ela está infringindo a política de transparência. Se coleta dados desnecessários para determinada operação, está incorrendo na violação do princípio da necessidade. Se transfere dados para fora do país sem garantias, sem segurança e/ou sem um contrato que o determine, tem um sério ponto de risco que precisa ser corrigido.
Depois disso, é preciso que se execute o programa de conformidade em si, com detalhamento das etapas e processos de execução, considerando o grau de criticidade dos riscos.
Leia para maiores esclarecimentos:
Autoridade Nacional de Proteção de Dados
A ANPD publicou no dia 09 de julho a Portaria nº 16, de 08 de julho de 2021, que dispõe sobre o processo de regulamentação no âmbito da Autoridade. Dentre outros pontos, a norma estabelece procedimentos para a elaboração da agenda regulatória e de atos normativos editados pela Autoridade, incluindo regras aplicáveis à realização de consultas à sociedade, à elaboração de Análise de Impacto Regulatório (AIR) e à Avaliação do Resultado Regulatório (ARR).
Já nos dias 15 e 16 de julho foi realizada audiência pública sobre a minuta de resolução que dispõe sobre a fiscalização e aplicação das sanções. Esta audiência é uma das etapas obrigatórias do processo de regulamentação previstas na Lei Geral de Proteção de Dados (LGPD) e discutiu com a sociedade a proposta normativa, que esteve disponível para consulta pública até o dia 28 de junho de 2021 por meio da plataforma Participa + Brasil.
A minuta da Resolução foi submetida à consulta pública e estabelece o mecanismo de fiscalização que a ANPD entende devida, com a previsão de ações de monitoramento, orientação, prevenção e aplicação de sanção seguindo a lógica da regulação responsiva.
A ideia da LGPD neste primeiro momento é sugerir a adoção de incentivos positivos e negativos entre as transgressões à LGPD e seu tratamento de acordo com a sua gravidade. Com isso, de acordo com a autoridade, espera-se que os incentivos motivem os regulados a manterem um comportamento adequado.
Acompanhe-nos assinando nossa newsletter e também pelas redes sociais para, em breve, conhecer mais sobre a resolução que dispõe sobre a fiscalização e aplicação das sanções pela ANPD.
23 e 30 de agosto de 2021 | de 10 às 12 horas | Curso on-line
A Jacob's Consultoria e Ensino apresenta seu novo curso Regulação Educacional 4.0, que une a tradição de mais de 10 anos e uma metodologia atualizada, baseada em ensino híbrido.
O evento une experiência prática e conhecimento atualizado das regras e princípios de Direito Educacional. O programa apresenta as dimensões da avaliação e da regulação com enfoque nas recentes modificações envolvendo tecnologia, além disso trata do novo normal das instituições de ensino ao discutir temas relativos a contratos, proteção de dados e direito do consumidor.
Conheça nossa programação e inscreva-se.