|
|
| {{subiu_orn | }} |
{{subiu_num | }} |
{{subiu_orn | }} |
{{subiu_caps | }}
{{subiu_linha | }}
|
|
A primeira multa da LGPD e o que ela ensinou
A ANPD sancionou uma microempresa de telemarketing em julho de 2023 por tratar dado sem base legal, e o método da decisão vale mais que a cifra.
|
O despacho sancionador aberto na mesa
|
| ▼ |
| |
|
"ANPD aplica sanções administrativas a agente de tratamento de dados pessoais", publicou a Autoridade Nacional de Proteção de Dados no seu portal em 6 de julho de 2023, no dia em que o Despacho Decisório nº 1/2023 saiu no Diário Oficial da União. A empresa sancionada foi a Telekall Infoservice, microempresa que operava telemarketing, e a acusação era tratar dado pessoal de titulares sem nenhuma das hipóteses do artigo 7º da Lei Geral de Proteção de Dados.
A cifra decepcionou quem esperava manchete. O pacote somou advertência e multa simples num total que não chega a quinze mil reais, valor que um escritório médio fatura numa causa pequena e que nenhuma diretoria de companhia grande leva para a reunião de risco.
Quem leu a decisão pelo valor perdeu o que ela realmente entregou. A LGPD passou a produzir efeito em setembro de 2020, o capítulo das sanções entrou em vigor em agosto de 2021, e a Autoridade atravessou quase dois anos com poder de punir sem punir ninguém. Advogado que respondia consulta de cliente no período tinha lei escrita, prazo vencido e zero precedente administrativo para citar.
O despacho encerrou essa fase. Ele mostrou como a Autoridade abre processo, de onde vêm as provas, quais artigos são invocados na autuação, como a defesa é apreciada e por qual conta o valor final é calculado. Cada uma dessas etapas virou material citável em parecer, em contrato e em treinamento interno.
Repare também no perfil da sancionada. A estreia não foi contra banco, operadora de telefonia ou plataforma de tecnologia, e sim contra uma microempresa de telemarketing sem departamento jurídico próprio. Cliente que se sente protegido pelo próprio tamanho encontra aí a resposta mais curta, e a mesma leitura serve para o escritório que ainda não olhou as próprias bases de dados.
Comece pelo que está escrito no despacho, artigo por artigo, porque a autuação nasceu de duas obrigações elementares e ambas aparecem em quase toda empresa que chega ao balcão pedindo adequação.
Continue lendo ↓
|
|
|
|
I A DECISÃO
O despacho que estreou o artigo 52
|
|
Uma denúncia de telemarketing, dois artigos violados e a primeira conta de dosimetria da Autoridade.
O processo administrativo contra a Telekall Infoservice nasceu de denúncia sobre chamadas de telemarketing feitas a partir de cadastro de terceiros, situação em que a empresa liga para quem nunca teve relação com ela e não sabe explicar de onde tirou o número.
|
A autuação partiu do ponto mais elementar da lei, a falta de hipótese autorizativa para o tratamento, e não de exigência técnica sofisticada de segurança da informação.
|
O artigo 7º da LGPD lista as hipóteses em que o tratamento pode acontecer: consentimento do titular, cumprimento de obrigação legal, execução de contrato, exercício regular de direito, proteção da vida, tutela da saúde, legítimo interesse e algumas outras. Fora dessa lista não existe tratamento válido, por mais útil ao negócio que a base de dados pareça.
|
"O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses." Brasil, Lei nº 13.709, 2018, artigo 7º.
|
A segunda frente da autuação foi a figura do encarregado. O artigo 41 manda o controlador indicar quem responde pela proteção de dados e divulgar publicamente a identidade e o contato dessa pessoa, obrigação que não custa nada e que a empresa não havia cumprido.
O pacote aplicado combinou advertência com multa simples, dentro do catálogo do artigo 52, que vai da advertência à publicização da infração, ao bloqueio e à eliminação dos dados envolvidos. A multa simples pode chegar a 2% do faturamento no Brasil no último exercício, limitada a cinquenta milhões de reais por infração, e o valor pequeno da estreia veio do porte da autuada, não de leniência da Autoridade.
O cálculo seguiu o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, poucos meses antes do despacho. O texto fixa parâmetros como gravidade, vantagem obtida, condição econômica do infrator, reincidência, cooperação e adoção de política de boas práticas.
O que a decisão deixou registrado para o próximo caso cabe em poucas linhas:
| Tratamento sem hipótese do artigo 7º | infração autônoma, sem precisar de vazamento |
| Encarregado não indicado nem divulgado | infração do artigo 41, apurada no mesmo processo |
| Porte de microempresa | reduz o valor, não afasta a sanção |
| Cooperação e política de boas práticas | entram na dosimetria da Resolução 4/2023 |
| Denúncia de titular | caminho de entrada do processo administrativo |
| Sanção publicada no Diário Oficial | exposição reputacional maior que a cifra |
A decisão também mostrou o ritmo do procedimento. A Autoridade notifica, recebe defesa, aprecia os argumentos e só depois aplica a penalidade, com prazo de recurso previsto no regulamento próprio. Empresa que ignora a notificação perde a chance de discutir dosimetria e chega ao final do processo sem nada nos autos a seu favor.
Tratar o episódio como caso pequeno demais para citar é leitura equivocada. Quem responde consulta de cliente sobre risco de fiscalização agora tem número de processo, artigos invocados, método de cálculo e prova documental de que a Autoridade sai do papel.
|
|
|
|
|
II NA PRÁTICA
O parecer que cabe numa página
|
|
A pergunta que chega ao escritório raramente é jurídica na origem. O cliente quer saber quanto custa ser autuado, e a resposta honesta começa em outro lugar: a autuação da Telekall não dependeu de incidente de segurança, dependeu de alguém explicar de onde veio o cadastro e não conseguir.
|
A revisão que resolve a maior parte do risco é uma tabela simples que amarra cada base de dados da empresa a uma hipótese do artigo 7º, com a origem do dado escrita ao lado.
|
Comece pelas bases que geram contato ativo. Lista de prospecção comprada, planilha herdada de campanha antiga, cadastro importado de sócio anterior e arquivo de evento presencial são as fontes que aparecem nas denúncias de titular, porque o titular percebe a ligação e reclama.
A segunda camada é a documentação. Hipótese legal escolhida sem registro escrito não sobrevive à primeira defesa administrativa, e o legítimo interesse exige teste documentado que confronte a finalidade do negócio com a expectativa razoável do titular.
1. Levante todas as bases de dados pessoais da empresa: percorra marketing, comercial, recursos humanos, financeiro e atendimento, e anote quem criou cada base, quando e com qual origem declarada.
2. Amarre cada base a uma hipótese do artigo 7º: escreva a hipótese ao lado da base, e trate como pendência urgente toda linha que ficar sem hipótese ou que receber consentimento sem prova de coleta.
3. Indique o encarregado e publique o contato: nome e canal de atendimento no rodapé do site e na política de privacidade, com registro interno da designação, resolve a exposição ao artigo 41 numa tarde.
4. Monte o canal de requerimento do titular: endereço de email dedicado, responsável nomeado e prazo interno de resposta, com registro de cada pedido recebido, porque o titular insatisfeito é quem aciona a Autoridade.
5. Guarde o registro das operações de tratamento: o artigo 37 exige o registro, e ele é a primeira peça que a defesa administrativa apresenta quando a notificação chega.
Cobrar por essa revisão exige explicar o valor certo ao cliente. O trabalho não vende medo de multa milionária, ele vende a capacidade de responder uma notificação com documento pronto, e a diferença aparece no prazo curto que a Autoridade concede para defesa.
Vale dizer também o que a revisão não resolve. Empresa que continua comprando lista de contatos depois do parecer transforma o documento em prova contra ela, porque fica registrado que a companhia conhecia a obrigação e seguiu adiante.
|
|
|
