Quando a primeira decisão da ANPD foi divulgada no Diário Oficial, sem o seu inteiro teor, gerou estranheza o fato de uma microempresa ter sido penalizada por não ter um encarregado de dados. Isso ocorreu porque, de acordo com a Resolução CD/ANPD nº 02, as microempresas são consideradas agentes de tratamento de pequeno porte e, portanto, estão isentas da obrigação de indicar um encarregado de dados, conforme previsto no artigo 41 da LGPD.
Era esperado que o julgador mencionasse explicitamente a razão pela qual a flexibilização de tratamento não seria aplicada. No entanto, quando a decisão completa foi divulgada, percebeu-se a completa ausência de fundamentação para afastar o tratamento diferenciado à microempresa autuada.
É lamentável que a ANPD tenha deixado de fundamentar um ponto extremamente relevante em sua primeira decisão sancionatória, o que teria reforçado suas próprias resoluções. Não tenho dúvidas de que a questão tenha sido analisada pelo julgador, mesmo que não tenha sido expressa nos autos. Essa questão pode ser corrigida para não prejudicar a importância do ineditismo. De qualquer forma, com a divulgação da decisão completa, podemos especular algumas razões para a não aplicação da Resolução nº 2.
É claramente demonstrado no corpo da decisão que a empresa autuada possuía um banco de dados irregular com mais de 130 milhões de titulares, o que se enquadra na exceção prevista no artigo 3º da Resolução nº 2, por se tratar de um tratamento de alto risco, configurado facilmente no critério geral do inciso I, “a”, do artigo 4º, como um tratamento em larga escala.
No entanto, o artigo 4º exige que o tratamento seja considerado de alto risco preenchendo cumulativamente pelo menos um critério geral e um critério específico. Nesse caso, o critério específico não está claro. O mais próximo, de acordo com a decisão, embora questionável, seria o relativo a decisões automatizadas.
No ponto em questão, a decisão é, no mínimo, omissa e sujeita a embargos declaratórios, pois não fundamenta o motivo de uma microempresa ter sido incluída na mesma categoria regulatória das demais instituições que não estão sujeitas ao tratamento diferenciado da Resolução CD/ANPD nº 02. Fico pensando também, diante de um caso concreto, se não seria o caso de a norma administrativa ter previsto uma exceção para o tratamento em larga escala, sem a necessidade de cumprir outros requisitos, conhecidos como critérios específicos.
Na minha opinião, fornecer dados de 130 milhões de titulares por si só representa um risco. Aqueles que agem dessa forma certamente não possuem nenhuma preocupação com o armazenamento do banco de dados, aumentando assim as chances de vazamento e uso indevido, o que traz prejuízos ainda maiores aos titulares.
Para configurar os critérios específicos do artigo 4º, descartei a possibilidade de haver dados pessoais sensíveis, uma vez que esse fato foi expressamente excluído pela decisão. Também não há clareza quanto ao tratamento de dados de crianças, pois a base de dados era destinada a eleitores, que têm mais de 16 anos, enquanto crianças, de acordo com o Estatuto da Criança e do Adolescente, são menores de até 12 anos incompletos.
Essas dúvidas, que foram mencionadas de forma preliminar, destacam a importância de fundamentar as razões pelas quais a ANPD afastou o tratamento diferenciado da microempresa autuada.
Inaptidão fiscal versus extinção da pessoa jurídica
Outro ponto relevante, embora não seja abordado na decisão em si, é o fato de que a empresa estava inapta perante a Receita Federal, o que tem sido objeto de comentários nas redes sociais, afirmando que “não basta tornar a empresa inativa para escapar das penalidades da ANPD” ou “a ANPD autua uma empresa que não existe mais”, entre outros.
No entanto, a pessoa jurídica não é extinta apenas por se tornar inativa ou inapta perante a Receita Federal do Brasil. A extinção da pessoa jurídica ocorre somente quando ela passa por um processo de liquidação e baixa. No caso em questão, como se trata de uma microempresa, bastaria solicitar a baixa, sem a necessidade de apresentar certidões de regularidade fiscal. No entanto, o sócio da empresa não fez isso, pois a situação de inaptidão ocorreu devido à “omissão de declarações”. Embora haja jurisprudência que considera que a baixa por si só também não seria suficiente para considerar a empresa extinta, a menos que seja realizada a liquidação.
Portanto, a ANPD autuou uma empresa que, apesar de inapta, ainda existe juridicamente e, portanto, pode ser responsabilizada pela violação da LGPD em nome próprio. A ANPD considerou, para aplicação da multa, o fato de a empresa ter interrompido a atividade de tratamento, com base na retirada do site do ar e na declaração do próprio representante legal. Esses fundamentos também não servem para afirmar que houve autuação de uma empresa extinta. Nesse sentido, a decisão está correta.
Por Rafael Maciel
