A Lei Geral de Proteção de Dados (LGPD) entrou em vigor em setembro de 2020, mas deverá ser aplicada com mais rigor a partir de 2023, ano em que questões essenciais podem ser regulamentadas pela Autoridade Nacional de Proteção de Dados (ANPD). É o caso do cálculo sobre as multas por descumprimento da lei. Entre outras atribuições, o órgão tem o papel de regulamentar, fiscalizar e aplicar sanções relativas à LGPD.
Até o fim do ano de 2022, a ANPD não impôs multas por infrações à LGPD, devido à falta de regras relativas à dosimetria da pena (parâmetro que fundamenta a definição dos valores praticados como punição), um dos principais temas da agenda regulatória do órgão para o próximo ano.
No entanto, é importante destacar que já existem decisões judiciais relacionadas aos incidentes envolvendo a proteção de dados. Ou seja, empresas que descumprem a lei podem ser processadas e penalizadas pela Justiça, independentemente da aplicação de sanções ou multas por parte da ANPD, que tem atuação apenas na esfera administrativa.
Para as empresas, o risco de vazamento de informações pessoais está associado a um alto custo, decorrente tanto do processo de identificação e correção dos incidentes cibernéticos quanto das multas aplicadas pela ANPD e das penas judiciais, em caso de processos para reparação de danos materiais e morais.
Neste artigo, vamos abordar o contexto da aplicação da LGPD até 2022, as perspectivas para o ano de 2023 e os pontos de atenção para as empresas.
Processos judiciais sobre proteção de dados em crescimento
A proteção de dados é um tema cada vez mais presente no judiciário brasileiro, e a LGPD tem fundamentado parte dos processos sobre o assunto, de acordo com o levantamento LGPD nos Tribunais, desenvolvido em conjunto pelo Centro de Direito, Internet e Sociedade (Cedis) do Instituto Brasileiro de Ensino, Desenvolvimento e Pesquisa (IDP) e Jusbrasil, com apoio do Programa das Nações Unidas para o Desenvolvimento (UNDP, em inglês).
O estudo mostra que as decisões relevantes sobre proteção de dados quase triplicaram entre o primeiro e o segundo ano da pesquisa. Em 2021, os pesquisadores identificaram 274 casos julgados. No ano seguinte, esse número saltou para 662 julgamentos importantes sobre a questão.
A partir da avaliação, o grupo projeta a tendência de maior aplicação da LGPD nos tribunais. Cabe lembrar que se trata de processos que não se confundem com a conduta da ANPD, que pode infligir advertências, sanções e multas aos agentes que descumprirem a lei, independentemente de haver queixa judicial sobre o tema. Da mesma forma, a Justiça age no sentido de estabelecer responsabilidades e penas para os casos de violação da privacidade de dados que buscam reparação aos danos causados.
Mas quando falamos de processos judiciais relativos à proteção de dados, quais situações têm sido levadas aos tribunais? Conforme demonstra o estudo, que já analisou mais de 1,7 mil documentos, as três áreas que mais demandam decisões sobre o tema são as do Direito do Consumidor, Direito Civil e Direito do Trabalho. Os principais problemas levados a julgamento englobam incidentes de segurança, responsabilidade civil e bases legais para tratamento de dados.
LGPD: perspectivas para 2023
As queixas quanto ao descumprimento da LGPD podem ser apresentadas tanto à ANPD quanto à Justiça, mas as decisões mais críticas ainda estão restritas aos tribunais. Esse cenário pode mudar em 2023 com a regulamentação da dosimetria por parte da ANPD, que deve definir os critérios para a aplicação das multas.
Entre uma série de sanções administrativas que a ANPD pode aplicar, a LGPD estabelece os limites para os casos de multas, que podem chegar a 2% do faturamento da empresa (limitado a R$ 50 milhões) por infração. O regulamento da dosimetria deve trazer mais objetividade às decisões do órgão, pois vai estabelecer as condições a serem observadas no cálculo das multas.
Atualmente, essa é a principal questão a ser tratada pelo órgão, de acordo com a agenda regulatória para o biênio 2023-2024, que prevê a regulamentação de 20 temas no decorrer desses dois anos.
Com a definição de critérios, especialistas projetam que a ANPD comece a aplicar multas a partir de 2023. Essa era uma das principais preocupações das empresas em 2018, quando a lei foi promulgada. De lá para cá, a LGPD entrou em vigor e as decisões judiciais sobre proteção de dados têm aumentado consecutivamente.
O ponto é: quais são as perspectivas para as empresas em 2023? A seguir, elencamos algumas questões que precisam ser observadas. Confira!
Maior rigor na aplicação da LGPD
Seja na esfera judicial, que engloba as decisões dos tribunais, seja no âmbito administrativo, que envolve a conduta da ANPD, o rigor na aplicação da lei deve ser maior a partir de 2023. A proteção de dados é uma preocupação crescente na sociedade e o tema tem sido muito debatido nos últimos anos — com uma série de orientações e recomendações repassadas às empresas. Esse contexto aumenta a criticidade das infrações e pode resultar em penalidades mais severas.
Risco cibernético elevado
A Avast aponta as gangues de ransomware como as principais ameaças às empresas para o ano de 2023, fato que potencializa os riscos de vazamento de dados e infrações à LGPD. O ransomware é um tipo de malware que impede o usuário de ter acesso aos dispositivos e sistemas com o objetivo de exigir o pagamento de resgate.
O cenário previsto pela Avast é de uma epidemia de golpes por sequestro de dados, e as empresas, que detêm informações relevantes, são as vítimas mais visadas. Nesse contexto, o risco de violação dos dados é maior, pois a invasão aos dispositivos e sistemas resulta em acesso indevido às informações e potencializa as chances de vazamentos.
Custo milionário de reparação
No Brasil, o custo médio das empresas para resolver cada incidente relacionado a violação de dados é de R$ 6,45 milhões, segundo uma estimativa feita IBM Security em parceria com o Ponemon Institute. Esse valor abrange os gastos com identificação e resposta ao problema. Quanto maior for o tempo de detecção do incidente, mais cara será a resolução do problema.
O relatório da IBM destaca que a automação da segurança cibernética e a abordagem zero trust são medidas que fortalecem a proteção das empresas. É importante destacar que a agilidade na identificação e resposta aos incidentes pode reduzir significativamente os riscos e os custos envolvidos nesses processos.
Sua empresa está preparada para atuar em conformidade com a LGPD em 2023? Os especialistas da Vantage podem auxiliá-lo nesse diagnóstico. Entre em contato com os nossos consultores.