Tipicidade aberta e garantias no processo sancionador da LGPD

Trecho da gravação de 0:00 a 1:00:40. Cada parágrafo indica quem fala; as marcas de tempo abrem o vídeo naquele ponto.

Jônathas Assunção Salvador Nery de Castro (abertura do CNPD)0:00A privacidade é um direito fundamental previsto no artigo 12 da Declaração Universal dos Direitos Humanos de 1948 e na Constituição Federal de 88, nos artigos 5º, incisos 10º e 12º. A Lei nº 13.709, de 14 de agosto de 2018, conhecida como Lei Geral de Proteção de Dados, foi aprovada em 2018, após mais de oito anos de discussão. Durante esse interregno, foram realizadas duas consultas públicas, mais de dez audiências públicas e várias rodadas de discussão multissetorial. A LGPD vigente, inspirada na regulamentação europeia de proteção de dados, é considerada inovadora, pois passou a exigir a implementação da segurança de informação no tratamento de dados de todas as organizações, sob pena de responsabilização e sanções administrativas, como multas capazes de alcançar até 50 milhões de reais por infração, conforme previsto no artigo 52, inciso 2 da lei.

1:14Sua aprovação se deu diante de uma conjuntura que tornava a sua edição inevitável. Somente a partir da LGPD, o Brasil passou a contar com uma legislação transversal e compreensiva sobre proteção de dados pessoais. Não limitada a um aspecto ou a um setor, a Lei Geral de Proteção de Dados acarreta em mudanças institucionais e culturais profundas, que ainda serão objeto de debate e reflexão em múltiplos fóruns, inclusive no Congresso Nacional, inclusive neste fórum que participamos. Ela dispõe de forma ampla sobre operações que envolvam tratamentos de dados pessoais, sejam elas realizadas por meio físicos ou digitais, com o fito de garantir, sobretudo, a privacidade e a autodeterminação informacional dos titulares dos dados, conforme previsto no artigo 3º. As disposições da lei são cogentes, ou seja, todas as organizações públicas ou privadas que fazem coleta, uso ou compartilhamento de dados pessoais, precisam se adaptar à LGPD.

2:24Isso significa que desde a farmácia que faz a coleta do CPF do paciente, até as grandes empresas que gerenciam milhares de terabytes de dados pessoais, precisam observar as suas disposições. Amplo alcance. Posteriormente, a sua edição, a medida provisória 869, convertida na Lei 13.853, de 8 de julho de 2019, criou a Autoridade Nacional de Proteção de Dados e ofereceu uma nova oportunidade de discussão de artigos da LGPD no Congresso com seu projeto de lei de conversão. Mesmo com uma aprovação unânime das duas casas, em 2019, a LGPD foi objeto de intensas discussões e propostas de alteração. A MP em questão teve seu escopo bastante alargado por meio de 176 emendas apresentadas, algumas das quais foram aprovadas, em temas como natureza da figura do encarregado, tratamento de dados de saúde, portabilidade e revisão de decisões automatizadas.

3:32Há que se destacar que a Lei nº 13.853, de 2019, alterou a entrada em vigor da LGPD para setembro de 2020, e as sanções previstas só puderam ser aplicadas a partir de agosto de 2021. Essa diferença de prazo foi determinada pelo Congresso Nacional, para que as empresas pudessem se adaptar à nova lei. Vamos falar rapidamente sobre a LGPD e o processo sancionador da Agência Nacional de Proteção de Dados, Autoridade Nacional de Proteção de Dados. A Autoridade Nacional de Proteção de Dados é integrante da Presidência da República e começou as suas atividades de monitoramento e fiscalização a partir desse ano. Ela tem por objetivo zelar pela implementação, fiscalização e monitoramento do cumprimento da LGPD, editando normas, orientações e instruções normativas, a despeito de se garantir a aplicação da LGPD. A LGPD previu um rol variado de sanções administrativas, de natureza administrativa, pecuniária e restritiva de atividades, que passaram a ser aplicáveis desde 1º de agosto de 2021.

4:43Ela determina que a NPD deverá editar regulamento próprio sobre sanções administrativas, que deverá ser objeto de consulta pública, contendo as metodologias que orientarão o cálculo do valor base das sanções de multa. Nesse sentido, o destaque foi publicada a resolução nº 1, de 28 de outubro de 2021, da mesma, que aprova o regulamento de processo de fiscalização e do processo administrativo sancionador no âmbito da Autoridade Nacional de Proteção de Dados. Conforme o regulamento, a NPD realizará o monitoramento das atividades de tratamento de dados pessoais. Para tanto, editará dois mapas de monitoramento por ano, que definirão temas prioritários para a fiscalização de cada semestre. Isso tem o condão de fornecer algo essencial, previsibilidade às empresas. Para aumentar a colaboração na implementação de uma cultura de proteção de dados no Brasil, a NPD firmou um acordo de cooperação com a Secretaria do Consumidor, Senacom, em março de 2021.

5:48Este acordo permitirá maior agilidade nas investigações relacionadas a incidências de segurança. Para isso, a Senacom compartilhará informações coletadas sobre as reclamações de consumidores relacionadas à proteção de dados pessoais. Destaco e concluo informando que o Conselho Nacional de Proteção de Dados, por meio de todos os seus membros, tem autuado ao longo dos últimos meses em plena parceria com a NPD e que em algumas semanas deveremos dar continuidade a discussões de assuntos regulatórios em conjunto com a Autoridade Nacional de Proteção de Dados. Esperamos que essa agenda de regulação implementada pela Autoridade Nacional

Moderadora: Patricia Peck (apresenta os painelistas, inclusive Fábio, e expõe o regulamento da ANPD)6:33em conjunto com o CNPD possa colaborar para a proteção de dados no âmbito nacional. ...iniciais do nosso evento e essa visão também da colaboração do Conselho Nacional com a NPD. Agradecemos a sua participação na abertura do evento. Ok, obrigado. Bom dia. Obrigada. Então, dando continuidade, vou fazer a apresentação dos nossos participantes do primeiro painel do nosso evento, que nós vamos tratar justamente sobre esse processo fiscalizador e sancionador que foi mencionado pelo presidente Jônatas. Então, vou comentar aqui, vou convidar, como primeira painelista, a Nete Martinelli de Matos Pereira, que é advogada no Itaú Unibanco e conselheira titular no Conselho Nacional de Proteção de Dados. Então, a Nete é conselheira titular no Conselho Nacional de Proteção de Dados, advogada no Itaú Unibanco, coordenadora do Squad de Tratamento de Dados da FEBRABAN, coordenadora da Comissão LGPD da ABEX, CPE Certified Information Privacy Professional Europe, pela IAPP, International Association of Privacy Professionals.

7:47Então, tem certificação também pela IAPP. Vou convidar também a participar do nosso painel o doutor Fábio Medina Osório, presidente executivo no Instituto Internacional de Estudos de Direito do Estado, do IIEDE, que também está aqui viabilizando o nosso evento em parceria, IIEDE, sócio titular do Medina Osório Advogados, exerceu em 2016 o cargo de ministro-chefe da Advocacia-Geral da União, é presidente executivo do Instituto Internacional de Estudos do Direito de Estado, IIEDE, advogado, doutor em Direito Administrativo pela Universidade Complutense de Madrid, onde foi orientado pelo catedrático Eduardo García de Enterría, mestre em Direito Público pela Universidade Federal do Rio Grande do Sul, é presidente da Comissão Especial de Direito Administrativo Sancionador da OAP Nacional de 2019 a 2022. Foi promotor de justiça do Ministério Público do Rio Grande do Sul por mais de 14 anos, aprovado em primeiro lugar no concurso de carreira.

8:51E também foi secretário adjunto de Justiça de Segurança Pública de 2003 a 2005 no governo Germano Rigoto, no Rio Grande do Sul. E o nosso terceiro integrante do painel, que é o Felipe Calado, que é a Solution Architect na Security, tem experiência em administração de infraestrutura e segurança de redes, implantação, gerenciamento e entrega de projetos de tecnologia da informação, com foco em segurança da informação. Para abrir o painel e aqui trazer o debate dos nossos assuntos, eu vou comentar rapidamente um pouco sobre o regulamento sancionador, vou compartilhar alguns slides aqui para passar essa visão com todos, e aí em seguida vou dar a palavra para os nossos painelistas. Então só um minutinho para poder fazer um compartilhamento. Acho que já está dando para ver.

10:00Só me dá um okzinho se passou o slide, gente. Deu certo? Tá. Então, o Regulamento de Fiscalização e Procedimento Administrativo Sancionador da Autoridade Nacional de Proteção de Dados, como foi dito, foi publicado em 29 de outubro de 2021. Então o Conselho Diretor aprovou o regulamento, depois de ter sido passado por consulta pública, com a Resolução CD-ANPD nº 1, publicado no Diário Oficial. Ele é aplicável aos titulares de dados, aos agentes de tratamento, pessoas naturais ou jurídicas de direito público ou privado, e demais interessados no tratamento de dados pessoais. O processo de fiscalização está norteado por atividades de monitoramento, orientação e prevenção. Comentado, inclusive, pelo presidente Jônatas, do CNPD, e que mencionou que há dois mapas de monitoramento que devem ser feitos pela ANPD, um por semestre, para garantir previsibilidade.

11:05E, lembrando que também deve seguir a Política Nacional de Proteção de Dados, que ainda está para ser publicada, porque passará tanto pela ANPD como pelo Conselho, e que deve mencionar os setores críticos da sociedade que devem estar passando pelo ciclo de monitoramento como prioridade. Importante essa atuação conjunta entre a ANPD e os órgãos e entidades da administração pública. O próprio presidente Jônatas mencionou o convênio com a Senacom, que vai apoiar aí essa capacidade de capilaridade e ação, por isso esse compartilhamento de informações relacionadas às questões de consumidor. Os atos administrativos serão realizados, em regra, por meio eletrônico. Então, hoje, você acaba tendo esse meio de diálogo por via eletrônica e por via de videoconferência, sendo o formato físico uma forma excepcional. As normas que regulamentam o processo administrativo no âmbito da administração pública federal estão previstas na Lei 9784, de 99, e se aplicam de forma subsidiária ao regulamento.

12:16A ANPD prevê a possibilidade de celebrar termos de ajuste de conduta, os conhecidos TACs, em sede de processo administrativo sancionador, cujas regras seguirão regulamentação própria a ser editada pela autoridade. O titular deve recorrer previamente ao controlador, para que, então, possa submeter seu requerimento à ANPD. Esse é um ponto que ficou bem claro dentro do regulamento, e isso é importante no sentido de que estimula uma previsão do artigo 52, parágrafo 7, da conciliação entre controladores e titulares, e que, então, se não atendido ou não resolvido, o titular, então, recorre à autoridade. Mas a autoridade também poderá receber denúncias anônimas. Em caso de aplicação de sanção monetária, se não houver pagamento até a data de vencimento, o devedor poderá ser inscrito no Cadastro Informativo de Créditos não quitados ao setor público federal CADIN, e o débito poderá ser inscrito na dívida ativa da União.

13:25Lembrando a todos que aquela previsão de aplicação das multas previstas do artigo 52, pode chegar a 2% de faturamento até R$ 50 milhões por infração. O processo administrativo seguirá as prioridades de tramitação previstas em lei e os prazos do processo administrativo serão contados em dias úteis. As regras já têm em consideração possíveis instabilidades nos sistemas, o que é fundamental, considerando que os procedimentos serão, em regra, virtuais. Está previsto no regulamento a revisão de processo administrativo, tanto a pedido como de ofício, e no caso de surgimento de novos fatos relevantes que justifiquem a inadequação da sanção aplicada. O pedido de revisão da decisão transitada em julgado não impede que os efeitos da sanção sejam aplicados. O primeiro ciclo de monitoramento tem início nesse mês de janeiro de 2022.

14:25Inclusive, também está previsto a publicação, ainda dentro desse mês, do relatório anual da autoridade, fechando o seu primeiro ano de atividades. O ciclo será anual e resultará em relatório que incluirá uma avaliação e prestação de contas e planejamento da ANPD. Então, a partir do início desse ciclo, que começa agora em janeiro, vamos ter um relatório anual do ciclo de fiscalização, nesse primeiro ano de fiscalização. E aqui é uma ideia de fluxo desenhada, com a lavratura de alto de infração, como que estão os prazos previstos dentro do regulamento. Então, você teria 10 dias úteis da intimação do agente de tratamento interessado para defesa do autuado. E juntado, então, de produção de provas, inicia a fase de instrução. Aí, alegações finais, 10 dias úteis, vai para relatório de instrução, encerra-se a fase de instrução, segue concluso para decisão da coordenação geral de fiscalização.

15:32E aí, quando vai para a decisão, você pode ter tanto uma decisão de arquivamento, e aí, 10 dias úteis, trânsito em julgado da decisão, decorrência do prazo para cumprimento de sessão pecuniária e cobrança e execução da sessão da sanção pecuniária, como recurso administrativo ao conselho diretor, que poderá ter efeito suspensivo, dependendo do que você tenha ali na decisão, um juízo de reconsideração. E aí, 10 dias úteis, vai para também o recurso administrativo ao conselho diretor, podendo ou não ter uma nova decisão e uma nova intimação. E aí, havendo esse recurso administrativo ao conselho diretor, que pode ter efeito suspensivo, apresenta alegações recursais, com distribuição e processamento, vai para a relatoria, poderá remeter à assessoria ou outros órgãos. Aqui, nesse momento, inclusive, seria até o caso da NPD chamar a participação de outros órgãos na análise do caso, vai para julgamento e decisão, não cabe recurso administrativo dessa última decisão, aí acompanhamento do cumprimento da decisão pela coordenação geral de fiscalização e decisão cumprida, arquivamento dos autos.

16:55Não cumprimento da sanção pecuniária, intimação do devedor, prazo de 65 dias, se não pagamento da sanção pecuniária, inscrição no CADIN, cadastro de dívida ativa, encaminhamento para a AGU, pagamento da sanção pecuniária, arquivamento dos autos. E ali, decisão transitada em julgado sem recurso, fase de cobrança e execução. Então, é isso que eu tinha aqui para apresentar para vocês. Então, agora seguimos com o nosso debate, nossos comentários. Passo a palavra para a doutora Anete, minha colega de conselho, querida amiga também lá da FEBRABAN, para nos dar uma percepção, uma visão na sua experiência com um comparativo de que como vamos começar a viver um processo fiscalizatório de uma nova autoridade, que é a NPD, talvez uma visão do que é viver um processo que envolve fiscalização

Annette Martinelli de Mattos Pereira17:51de um BACEN, passar esse comparativo, essa analogia, que eu acho que vai muito enriquecer a todos que estão aqui. Obrigada, Patrícia. Primeiro, eu queria cumprimentar a todos que estão nos assistindo aqui, cumprimentar você, o Fábio, o Felipe, aqui nossos colegas de painel, agradecer o convite para participar desse evento, esse dia muito especial de internacional de produção de dados e para discutir esse tema muito relevante. Acho que essa norma do processo de fiscalização e sancionador da NPD foi muito aguardada pelo mercado, muito aguardada, porque sem isso não havia ali um instrumental, inclusive, para que as penalidades pudessem ser aplicadas. Então, realmente, tem bastante expectativa. E o que eu gostaria de falar, acho que você já fez um resumo excelente aqui, já passou, deu um overview geral, um sobrevoo aqui sobre como funciona esse processo.

18:52A minha ideia é aprofundar ali alguns pontos específicos e fazer um paralelo com o processo sancionador do sistema financeiro nacional, ali focando na atuação do Banco Central. e trazer ali alguns pontos para a gente refletir. Acho que tem muitas dúvidas ainda, por ser a NPD é nova, o processo é novo, é natural, acho que a gente vai aprender aí no processo. Mas, especificamente, do processo sancionador do sistema financeiro, tem uma lei específica, foi, enfim, até recente, que é a Lei 13.506, de 2017, que regulamenta esse processo sancionador no âmbito ali do Banco Central, da CVM. Ele é aplicável não só para as instituições que são reguladas ali por esses órgãos reguladores, mas também os administradores dessas instituições. Acho que aqui é uma diferença, quando a gente olha para a NPD, o foco são nos agentes de tratamento, o controlador, o operador, não necessariamente ali nos administradores.

19:56Acho que, assim, o primeiro ponto, como eu comentei, Aquelas penalidades que a gente já conhece da LGPD, multa, a bendita multa ali de 50 milhões por infração, para serem aplicados vão ter que passar por esse processo sancionador. Acho importante mencionar também que falta uma peça essencial nesse quebra-cabeça aqui, que é justamente a norma que vai tratar, norma da NPD, que vai tratar da dosimetria da pena. A gente não tem ainda, isso está previsto na LGPD, deve passar por consulta pública, a NPD ainda não disponibilizou essa minuta ali para consulta, mas é muito importante, porque vai justamente dizer como vai ser aplicada essa pena. Mas, enfim, acho que uma grande novidade, não tanto novidade, mas o que traz expressamente esse regulamento daqui da NPD é sobre a atuação responsiva da NPD no processo. Isso é mencionado expressamente. E o que seria, tentando traduzir um pouco esse responsivo aqui, a NPD deve buscar um engajamento, não só detectar uma infração e punir, mas sim buscar um engajamento construtivo ali com os agentes de tratamento, muita cooperação para construir soluções em conjunto, considerando o próprio risco, a exposição ao risco, a proporcionalidade ali, para que esses agentes estejam em conformidade e os direitos do titular sejam protegidos.

21:27Isso foi também bastante cobrado, a NPD comenta que adotará essa postura, um papel colaborativo orientador da NPD. Falando um pouquinho, você já deu um overview também das etapas, mas vai ter etapa de monitoramento ali, olhando para a fiscalização, monitoramento, orientação, prevenção e aí sim a repressão de fato para aplicação de extensão. Acho que um tema importante que você comentou no monitoramento vai ser justamente quando a NPD vai priorizar, ela precisa priorizar esforços, né? Tem ali um corpo, enfim, reduzido, não dá para atacar tudo ao mesmo tempo, então vai focar esforços ali. Mas você comentou da petição dos titulares, né? Que eles primeiros devem recorrer aos controladores para então recorrer à NPD. Mas é interessante também que não quer dizer que uma reclamação de um titular que chegue na NPD vai necessariamente gerar um processo sancionador, né?

22:29Na verdade, a NPD pode, ela vai fazer essa avaliação de forma agregada dessas petições, deve ter ali alguma solução padronizada. Em princípio isso é bom, acho que traz eficiência, mas pode ser também que nessa decisão padronizada, a gente está falando aqui de vários mercados, nem sempre as situações são exatamente iguais, a gente precisa observar se essa aplicação teria ali padronizada, eventualmente teria algum problema, mas sem dúvida é uma coisa boa. Eu acho que falando, o Banco Central também tem mecanismos de reclamação, né? As pessoas podem recorrer ao Banco Central, depois de ter recorrido à ouvidoria, enfim, das instituições financeiras, o Banco Central avalia, faz ali a intermediação, encaminha ali a reclamação, tem uma resposta da instituição financeira, pode ou não ter uma procedência. Da mesma forma, não quer dizer que vai haver um processo administrativo ou uma atuação individual ali do Banco Central nesse ponto, né? Mas se houver muitas reclamações de titulares, enfim, ou no caso do sistema financeiro, muitas reclamações sobre o mesmo assunto, seguramente isso vai alimentar ali, vai chamar a atenção do regulador para entender o que está acontecendo.

23:43Falar muito brevemente da atividade de orientação, porque eu acho que ela é bem importante, né? Inclusive nessa atuação responsiva da NPD. A NPD está previsto que ela vai elaborar guias, disponibilizar guias, modelos de documentos, mecanismos de avaliação de risco pelos agentes de tratamento, justamente para auxiliar nessa conformidade. Ela pode, inclusive, recomendar que um determinado agente faça treinamentos ou cursos. E tem um ponto importante também, que são medidas de orientação aqui, a NPD reconhecer as boas práticas, as regras de boas práticas, também os programas ali de implemento, pode mandar um determinado agente de tratamento implementar um programa de governança e proteção de dados. E aí lembrando que essas medidas não são obrigatórias pela LGPD, elas são opcionais, mas traz ali a possibilidade da NPD justamente recomendar.

24:43E lembrando a importância desses instrumentos também, boas práticas, o mesmo programa ali de governança e privacidade, é que se houver uma infração e aí uma investigação, esses elementos vão ser levados em consideração, né? Na minha visão, de forma positiva ali, para o agente de tratamento na interação com a NPD. Então, é bem importante. E aí a gente passa para a atividade preventiva também, né? Que aí, inclusive, a norma traz essa necessidade de uma construção conjunta, dialogada, né? De soluções ali para reconduzir, enfim, ou garantir ali a conformidade do agente de tratamento para a LGPD. E aí tem alguns instrumentos. E está de expressamente, obviamente, essas ações não são consideradas penas, mas elas podem ter um efeito bastante grande, pode ter um impacto muito grande. Porque quais serão essas medidas, né? Quais serão essas medidas ali de correção?

25:43Mas um primeiro instrumento é a divulgação de informações. A própria NPD poderia divulgar rankings, por exemplo, de grau de resolução de pedidos de titulares, pode pedir que um determinado agente de tratamento publique essa informação também, né? Nessa linha, o Banco Central tem, inclusive, ranking ali de reclamações das instituições. Então, é previsto um mecanismo semelhante. Mas tem também aviso, tem solicitação de regularização ou informe, né? Que aí, sim, a NPD pode pedir correções, né? Pedir que aquele agente de tratamento atue num determinado caso concreto. Inclusive, menciona que só pode haver uma prorrogação de prazo. Então, vamos ver que a NPD peça uma determinada providência, aquele agente vai, enfim, tem ali uma limitação de prazo expresso. E aí, é previsto também um plano de conformidade. Quer dizer, então, se tem uma questão mais complexa ou várias ações têm que ser tomadas, seria, enfim, combinado ali, construído um plano de conformidade entre esse agente de tratamento e a NPD, aí com várias ações previstas, prazos, quais são os resultados que se espera disso, monitoramento.

26:55E está dito expressamente que também, se a gente não cumpre esses planos, enfim, essa solicitação de regularização, aí sim pode escalar para um processo administrativo sancionador. Inclusive, se não for cumprido esse plano, enfim, essas medidas ali preventivas, pode ser considerado um agravante de eventual pena ali no processo. Agora, sempre vai ter, sempre haverá essas etapas prévias antes de um processo sancionador? Não, né? Se a inflação for grave, enfim, houver muito dano, a NPD pode partir diretamente ali para o processo sancionador, inclusive pulando a etapa do procedimento preparatório, né? Ao próprio processo, que em geral tem ali levantamento de informações, enfim. Agora, o que a gente depreende disso? Parece que a NPD, sim, vai buscar esse diálogo com o mercado, esse diálogo anterior para tentar, digamos, resolver esses problemas antes de fato de punir de um processo sancionador, então atuando ali de forma responsiva.

28:01mas, como eu comentei, não há muita visibilidade de quais seriam essas ações e qual é o limite ali da NPD de determinar uma providência, qual o alcance disso e a gente sabe que isso pode não ser fácil, né? Então, pode envolver outros agentes de tratamento, prestadores de serviço ou, eventualmente, alterações em sistemas. Então, acho que precisa haver uma proximidade muito grande ali com a NPD na construção desses planos, que eles não sejam, de alguma forma, impostos unilateralmente, mas levem em consideração, enfim, a capacidade ali do agente e o, de fato, que pode ser feito. E aí, fazendo aqui um paralelo com o Banco Central, ainda que não esteja expresso, né? Assim que o Banco Central vá atuar de forma responsiva, é assim que a autoridade se comporta, né? Existe uma proximidade muito grande do regulador com os entes regulados, um contato muito próximo, esse diálogo prévio. Aliás, é uma atuação bastante intensa, demanda bastante dos regulados atenderem, são várias requisições, pedidos de informação, esclarecimentos, às vezes também pedidos ali de correção, mas existe uma abertura grande ali com o regulador para construir essas soluções em conjunto, né?

29:21Inclusive, o regulador, no caso do Banco Central, conhece bastante o mercado, então, também conhece os impactos ali do que eventualmente determinar, então, isso é bastante positivo. E aí, só o que realmente é mais grave segue ali para um processo sancionador, inclusive é previsto nessa norma que o Banco Central, mesmo a CVM, pode utilizar outros mecanismos ali que ele acha mais eficientes com relação à supervisão, que eles sejam mais efetivos, ao invés de, necessariamente, abrir um processo sancionador. Claro, sempre observando ali o princípio da finalidade, razoabilidade e eficiência. E aí, no caso da NPD, espera-se que haja essa abertura também para esse diálogo, mas ainda porque a NPD não tem familiaridade com todos os mercados, né? O regulador financeiro, ele olha ali o mercado financeiro, obviamente, olha praticamente tudo desse mercado.

30:21A NPD foca em produção de dados, privacidade, porém, de todos os mercados. Então, é uma atuação bastante ampla. Acho que uma questão importante também nesse processo de fiscalização da NPD, ela vai ter amplo acesso, está previsto ali na norma, amplo acesso a sistemas, aplicativos, informações, realmente um acesso ali de fato e é obrigação das partes ali fornecerem essas informações sobre pena de se considerar que é uma obstrução da investigação da NPD. E assim, é claro que a NPD deve fiscalizar ali os agentes, mas essa atuação ela deve respeitar limites legais de atuação também, tem que se basear em casos concretos e avaliar questões de dados, não é para avaliar tudo, absolutamente tudo, outras relações que não sejam ali com relação a tratamento de dados. Isso se aplica a todos os reguladores, porque a atividade de fiscalização ela é por natureza exorbitante, então ela deve ser sempre exercida com razoabilidade, sem necessariamente um ônus excessivo ali e sempre em observância aos princípios que regem a administração pública e também o devido processo legal.

31:37E aí, por fim, temos a própria atividade repressiva da NPD, acho que você já tratou aqui, trouxe um resumo, só pontuando algumas questões aqui, né, a primeira delas é o recurso, né, quando a gente olha para o processo administrativo aqui da NPD, quem vai emitir a decisão de primeira instância vai ser a coordenação geral de fiscalização, então o órgão da própria NPD e o recurso será para o conselho diretor da NPD, ou seja, o mesmo órgão vai emitir a decisão de primeira instância e vai avaliar o recurso, né, quando a gente olha para o sistema financeiro não funciona assim, né, o regulador, no caso do Banco Central, que é CVM, tem a decisão ali de primeira instância, inclusive regras a depender de quem vai tomar essa decisão lá, depender do tema, mas o recurso não é pelo próprio regulador, o recurso é direcionado ali ao Conselho de Recursos do Sistema Financeiro, que é um órgão paritário, colegiado, que tem tanto representantes, né, do regulador, representantes do governo, mas tem representantes do mercado também, né, as associações indicam, então é uma, é um panorama ali mais paritário trazendo outras visões, não fica só nessa área do regulador.

32:58Acho que você mencionou do TAC também, né, do Termo de Ajustamento de Conduta, que pode haver na NPD em qualquer momento ali e arquivo ao processo, né, sancionador, vai ter ali uma regulamentação. No Banco Central também tem previsão semelhante ao termo de compromisso, né, e esse instrumento que é alternativo ao processo sancionador, ele pode ser firmado ali a qualquer momento antes da decisão de primeira instância, pressupõe também um recolhimento de uma contribuição pecuniária necessariamente, né, mas ele, ele não importa a inconfissão sobre a matéria de fato, não reconhece ali que houve uma ilicitude, mas resolve, né, o processo, então é um mecanismo bastante, bastante utilizado. e assim, eu já vou, já vou partir para a conclusão aqui, acho que um ponto muito importante que vai ser a interação da NPD, mesmo no processo sancionador, com outros órgãos reguladores, tá, previsto expressamente também na LGPD, essa coordenação de atividades e tudo mais, mas especificamente no processo sancionador, as penalidades mais graves, então, de suspensão ali de um banco de dados, suspensão, proibição de uma atividade de tratamento, além dessas penas só poderem ser aplicadas depois de penas menos graves, se for num setor regulado, o órgão regulador tem que ser ouvido, né, e isso é importante, não tá claro no regulamento como vai ser isso, como vai ser essa, ele vai ser ouvido e tudo mais, mas é importante que haja, porque uma decisão da NPD pode ter um efeito sistêmico num determinado mercado, né, pode mandar parar ou fazer alguma coisa que prejudique o funcionamento do mercado regulado, então vai ter essa interação.

34:42acho que encerrando aqui, né, como eu comentei, o processo é novo, essas regras, tem muitas dúvidas, ainda a gente vai ter que observar como vai ser essa atuação responsiva da NPD, essas atividades monitoramento, preventiva, etc., como vai ser essa coordenação com outros órgãos também, né, e avaliar os desdobramentos disso na vida real, acho que certamente a gente vai ter

Moderadora: Patricia Peck (passa a palavra a Fábio)35:05material aí para muitos outros painéis, Patrícia, eu vou encerrar por aqui para ficar no horário, obrigada. Anete, pelas suas considerações, foram muito ricas, e sim, sempre o tempo é curto, né, para tantas reflexões que a gente precisa fazer. Agora eu vou passar a palavra para o doutor Fábio Medina para justamente comentar aí, né, o que que seria essa questão da gente lidar com o processo sancionador, com o da autoridade, acho que você fez uma colocação muito pertinente, Anete, de que ainda temos que ter essa norma de dosimetria da pena, né, que ainda fica essa questão de como vai ser o peso, né, da mão para entender gravidade, né, em termos das situações que vêm ocorrendo, tem casos que não tem discussão, quando você vê os mega vazamentos, né, todo mundo diz, bem, isso daí parece muito grave, mas para várias outras situações fica discussão de como vai ser aplicado. já vi bastante presidente da autoridade comentar que vai ser feito sempre uma fiscalização responsiva e que vai priorizar a proximidade com as instituições, o campo do diálogo, uma aplicação de advertência e TAC, então acredito que vão surgir as multas efetivamente nos casos realmente mais graves ou de reincidência, mas estamos aqui especulando, né, ainda não vimos os primeiros casos saírem, e aí por isso a experiência do Medina nessas situações aí com tantos anos, como já apresentado no seu currículo, né, Medina, quando começa uma nova autoridade para sancionar, o que que acontece?

36:48Nos conte.

Fábio Medina Osório36:48Nos conte. Bom dia a todos, é uma satisfação estar aqui nesse seminário organizado pela Patrícia Peck e o Instituto Internacional de Estudos de Direito do Estado que nós representamos aqui, satisfação participar de um painel com a Annette Pereira, brilhante painelista, o Filipe Calado, que está aqui conosco também, agradeço a assistência de todos que nos acompanham nesse dia tão importante internacional de proteção de dados. Efetivamente, o Brasil, com a lei geral de proteção de dados, está alinhado com as melhores práticas internacionais. nós entendemos aqui que devemos estar também alinhados com as pautas internacionais do Tribunal Europeu de Direitos Humanos, quanto a preocupações com garantias e direitos fundamentais que têm orientado a sedimentação do direito administrativo sancionador, que vem evoluindo desde o final do século XIX e ao longo do século XX como uma disciplina autônoma intermediária entre o direito administrativo e o direito penal.

38:37No Brasil, a primeira disciplina com esta nomenclatura direito administrativo sancionador, nós fundamos em 2004 nos cursos de mestrado e doutorado da Universidade Federal do Rio Grande do Sul na Faculdade de Direito. Mas de lá para cá muito se evoluiu nesta matéria estando bastante expandida inclusive nos cursos de pós-graduação do Brasil hoje a disciplina direito administrativo sancionador ao ponto de na reforma da lei de improbidade administrativa mais recentemente haver se consagrado na própria lei a aplicabilidade dos princípios constitucionais do direito administrativo sancionador na própria lei de improbidade administrativa que é o direito administrativo sancionador portanto se não esta categoria na qual está abrangida não apenas a atividade da administração pública na aplicação de sanções, mas também a própria atividade do Poder Judiciário na aplicação de sanções de direito administrativo, como foi também o caso da aplicação daquelas sanções da Lei 8.429 de 92, Lei de Improbidade Administrativa.

40:23Aqui no caso da Lei Geral de Proteção de Dados, nós estamos tratando tipicamente de sanções administrativas, sanções a serem aplicadas pela administração pública, sanções de direito administrativo. E, portanto, nós estamos diante de uma atividade estatutária, de uma atividade da administração pública, que é equacionada pelo direito administrativo. É imperioso aqui, claro, revolver toda a disciplina material que trata do tema atinente à proteção de dados, propriamente dito, E aí pode trazer à baila uma transdisciplinaridade, inclusive, revolvendo aí direitos dos consumidores, que é outra matéria, direito digital, enfim. Outros direitos que são afetados, direitos relacionados à privacidade, direito civil, propriamente dito, Outros direitos fundamentais que podem ser afetados e que são regulados pela ordem jurídica, que são direitos, inclusive, constitucionalmente protegidos e que têm interface com o direito administrativo.

42:15E que são protegidos pelo ordenamento jurídico, pelo ordenamento jurídico nacional e pelo ordenamento jurídico internacional. No caso, a Lei Geral de Proteção de Dados, portanto, ao estender esta proteção jurídica, ela reforça os seus tentáculos sancionatórios aqui, como já foi referenciado na palestra anterior. Mas o tema que eu gostaria de tocar rapidamente diz respeito ao ângulo da tipicidade, que é muito importante, e algumas peculiaridades do direito brasileiro, em comparação com o direito da União Europeia e com o tratamento que tem sido dispensado e também pela ordem normativa emanada do Tribunal Europeu de Direitos Humanos. Como isso deve ser desenvolvido pelo direito brasileiro, como isso será desenvolvido posteriormente pelo direito brasileiro e como isso pode se desdobrar também no âmbito normativo, a partir, eventualmente, do próprio Poder Executivo.

42:53Mas o tema que eu gostaria de tocar rapidamente diz respeito ao ângulo da tipicidade, que é muito importante, e algumas peculiaridades do direito brasileiro, em comparação com o direito da União Europeia e com o tratamento que tem sido dispensado e também pela ordem normativa emanada do Tribunal Europeu de Direitos Humanos. Como isso deve ser desenvolvido pelo direito brasileiro, como isso será desenvolvido posteriormente pelo direito brasileiro e como isso pode se desdobrar também no âmbito normativo, a partir, eventualmente, do próprio Poder Executivo.

43:54Qual é o tratamento hoje emanado do Poder Executivo e como isso pode se desdobrar no Poder Judiciário? Um primeiro olhar aponta para uma espécie de tratamento no âmbito normativo pelo Poder Executivo que desenvolve essa tipicidade no direito administrativo selecionador da Lei Geral de Proteção de Dados como sendo uma tipicidade que Manuel Atienza, eminente teórico desta matéria, relacionaria com os chamados ilícitos atípicos. Como seria, Alejandro Nieto também, trataria esse tipo de tipicidade no direito administrativo sancionador, talvez validamente, um conglomerado de tipos abertos, relacionados, mais ou menos, indiretamente com as sanções, de tal modo que se diferenciariam fundamentalmente dos ilícitos penais, de forma até radical, para permitir essa diferença entre ilícitos administrativos e ilícitos penais.

45:47ou seja, o poder discricionário, o que traz uma discussão, inclusive, muito presente hoje na jurisprudência dos tribunais superiores também, no Brasil, se há poder discricionário no âmbito do poder sancionador administrativo ou não, para materializar-se, então, o poder discricionário na aplicação da sanção administrativa aqui, quando se sabe que não há poder discricionário no âmbito do poder judicial sancionador, e aí materializar-se também não só a discricionalidade nesse poder administrativo sancionador, como igualmente tipos excessivamente abertos, relacionando-se com sanções indiretas que podem ser escolhidas pelo julgador quase que discricionariamente ou discricionariamente, caso a caso, e esses tipos podem ser escolhidos também de modo não fechados, eles não estão plasmados de uma forma fechada, eles são escolhidos também caso a caso pelo aplicador da lei.

47:22Muitas vezes sequer estão na lei, estão plasmados no âmbito infralegal. É o que ocorre também aqui neste modelo normativo da lei geral de proteção de dados. Veja-se, aqui no sentido que está proposto na lei geral de proteção de dados, ela oferece uma proteção da privacidade e da inviolabilidade de determinados bens jurídicos, ela efetivamente propõe uma espécie de detalhamento da proteção de determinados bens jurídicos, os destinatários das sanções administrativas são determinados sujeitos, a autoridade nacional de proteção de dados detém algumas competências no caso para aplicar certas medidas, mas aquelas sanções administrativas previstas lá nos artigos 52, 53, 54 da lei geral de proteção de dados que passaram a vigorar a partir de 1º de agosto de 2021, elas efetivamente estão ligadas apenas indiretamente a determinadas sanções e, portanto, os tipos tornam-se abertos, compostos por conceitos jurídicos indeterminados e ligados de forma indireta a sanções.

48:56e, portanto, os tipos tornam-se abertos, compostos por conceitos jurídicos indeterminados e ligados

Moderadora: Patricia Peck (pede que conclua)49:13de forma indireta a sanções. Esse modelo difere... Eu vou só deixar assim para você concluir

Fábio Medina Osório49:21Esse modelo difere... Eu vou só deixar assim para você concluir mais um minutinho, porque a gente tem que fechar o painel daqui a pouco e falta o Filipe. Esse modelo difere do que preconiza as legislações espanhola, portuguesa, as legislações europeias e o que preconizam os precedentes do Tribunal Europeu de Direitos Humanos, nos paradigmas referenciais para o direito administrativo sancionador, em termos de fechamento de tipicidade. Como se concretizará o fechamento dos tipos sancionadores no âmbito da jurisprudência para a aplicação da lei em cada caso concreto. Esta é a questão a ser dirimida por ocasião em que se enfrentará a tipificação em abstrato que se propõe na lei para cada caso concreto, diante da gravidade das infrações e da proposta legislativa normativa e ato que será confrontada com a tipificação em concreto.

50:58O direito administrativo sancionador europeu, à luz da jurisprudência do Tribunal Europeu de Direitos Humanos, já delineou uma aproximação do direito administrativo sancionador com o direito penal, como se sabe. Essa jurisprudência foi delineada nos idos dos anos 90 e mais recentemente essa jurisprudência ficou ainda mais clara e suficientemente fechada em casos paradigmáticos, inclusive precedente da Itália, quando inclusive invertendo a lógica em precedente paradigmático, rotulou uma sanção que fora aplicada como se fosse administrativa como sanção penal. Então, uma sanção aplicada como se fosse administrativa foi rotulada como sanção penal pelo Tribunal Europeu de Direitos Humanos para fins de evitar o bis in idem.

52:12Imagine-se aqui uma sanção aplicada por um tribunal administrativo sendo rotulada como sanção penal para obstaculizar um outro processo penal pelo mesmo fato para evitar a duplicidade de processos. Isso foi feito pelo Tribunal Europeu de Direitos Humanos simplesmente sob o argumento de que aquela sanção tinha uma natureza penal e não era uma pena privativa de liberdade. era uma pena de natureza diversa da pena privativa de liberdade. Portanto, quando nós estamos tratando de penalidades que podem inviabilizar o funcionamento de empresas ou causar danos reputacionais ou restrições que atingem determinadas atividades econômicas, essas sanções não é porque elas contêm o rótulo de sanções administrativas que elas deixam de ostentar uma natureza semelhante à natureza penal.

53:48Essa é a gênese da aproximação que o Tribunal Europeu de Direitos Humanos fez do direito administrativo sancionador para o direito penal para fins de aproximação das garantias. E essa jurisprudência efetivamente foi que trouxe a aproximação das garantias penais para aplicação por simetria ao direito administrativo sancionador. e justamente aí é que reside a consolidação dos princípios da culpabilidade, da tipicidade, da legalidade, da interdição à arbitrariedade e todas essas garantias que nominalmente eram conhecidas apenas no âmbito penal para o âmbito do direito administrativo sancionador. Mas que o legislador brasileiro ou ainda o poder executivo no Brasil parece desconhecer no âmbito do direito administrativo sancionador. Aliás, a Annette colocou com muita sabedoria que no sistema financeiro nacional nós temos um direito administrativo sancionador e um processo punitivo bastante desenvolvido em que os órgãos são separados no âmbito do processo.

55:20O órgão originário que decide é diferente do órgão recursal justamente para assegurar o devido processo legal e para separar o órgão que decide originariamente do órgão recursal cuja composição é outra e é paritária. Mais um equívoco aqui no caso quando não se tem essa separação e é o mesmo órgão regulador que julga o processo mantendo portanto a impureza desse julgamento ferindo o princípio da imparcialidade. O que se quer dizer aqui é que nós temos ainda muito terreno para avançar na ANPD e eu creio que embora sejam as melhores intenções o Brasil avançou muito com a lei geral de proteção de dados precisava estar alinhado com as melhores práticas internacionais e está e sabemos que a intenção da autoridade é promover o monitoramento e não é punir e isso é extremamente salutar já se sabe de antemão desta ideia e desta perspectiva mas também a punição é importante para sinalizar no mercado uma força coercitiva e quando isso acontecer é preciso que o arcabouço normativo esteja bem posto assim como a sinalização de um compliance efetivo nas empresas em detrimento daquelas práticas conhecidas como compliance de fachada que muitas vezes permearam práticas antigas que foram

57:21flagradas por exemplo no âmbito do compliance anticorrupção na operação Lava Jato e hoje nós temos só para concluir doutora Patrícia Peck pedindo uma equiparação do tempo com a Annette foi a era do compliance digital da mesma forma o rigor que passou a se exigir com relação ao compliance anticorrupção e as melhores práticas mundiais quanto ao compliance anticorrupção efetivo esse compliance efetivo como define o guia de compliance do CADE banindo o compliance de fachada como uma prática nefasta que busca inclusive ludibriar as autoridades públicas hoje tem-se a preocupação com o compliance digital de fachada no qual empresas buscam burlar autoridades no que tange a práticas ilícitas e que certamente atrairão a atenção para o direito punitivo no entanto esse direito administrativo sancionador repito precisa estar revestido de garantias também alinhadas com as melhores práticas internacionais e esses pontos para os quais eu chamei aqui atenção são pontos que são suscitados hoje na jurisprudência não só das cortes europeias como do Tribunal Europeu de Direitos Humanos e também na jurisprudência dos tribunais superiores do Brasil do STJ e do Supremo Tribunal Federal

59:21Brasileiro e não por acaso a reforma da lei de improbidade administrativa veio no sentido do fechamento dos tipos sancionadores e de uma nova lei harmonizada com os princípios constitucionais de direito administrativo sancionador para dar maior segurança jurídica e concretizar esses princípios constitucionais em harmonia com esses novos paradigmas do direito administrativo sancionador eu penso que essa é uma tendência também no Brasil eu agradeço a paciência da nossa coordenadora financeira Presidente dos Trabalhos, doutora Patrícia Peck, mas realmente havia aqui algumas mensagens importantes sobre a essência do direito administrativo sancionador no âmbito do direito digital. Muito obrigado. Obrigada, Medina. É, eu sei que o tempo é sempre difícil para nós, para falarmos de um assunto tão complexo e já passo a palavra para o Filipe Calado poder fazer a fala dele, para a gente fechar aqui o painel,

Moderadora: Patricia Peck (agradece e passa a palavra a Filipe Calado)1:00:13Obrigada, Medina. É, eu sei que o tempo é sempre difícil para nós, para falarmos de um assunto tão complexo e já passo a palavra para o Felipe Calado poder fazer a fala dele, para a gente fechar aqui o painel, que já vi que já chegou o Fabro e os demais participantes do próximo painel e a gente não ficar depois culpados, assim, de algum atraso do evento. Estamos tentando manter aí dentro da previsão aí, que vai ser uma manhã longa. Sei que a Anete também tem outra agenda, né, Anete, que você me comentou. Então, por favor, Felipe.