Boas práticas podem decorrer de regras ou de programa de governança
Relevância 3/5
Norma predominante: Res. CD/ANPD nº 4/2023 — Dosimetria de Sanções
Atenuantes podem considerar tanto normas e processos apoiados em regras de boas práticas quanto programa de governança em privacidade, conforme as duas modalidades do art. 50.
Circuito de agosto de 2022 aprovou a submissão da minuta à consulta e audiência públicas; propostas não são apresentadas como texto definitivo ou regra vigente.
Como esta relevância foi calculada
- Pontuação
- 56/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 3/4 · 3/4 · 2/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
A proposta reconhece duas modalidades de boas práticas para atenuar sanções, influenciando investimentos em regras internas e governança. O efeito potencial sobre a multa é relevante, mas depende da aprovação e dos requisitos específicos.
Redações literais (1 referência em 1 circuito)
5.36. Além de facilitar a compreensão do conceito, a definição proposta expressa, de forma objetiva, que o agente de tratamento pode implementar normas e processos internos tanto com base em regras de boas práticas e de governança (por exemplo, estabelecidas por associações, conforme art. 50, caput, da LGPD) quanto com base em programa de governança em privacidade, conforme § 2º do art. 50, da LGPD. Ambas as hipóteses, portanto, poderão ser consideradas atenuantes, conforme previsto no art. 15, II, da minuta.
- CD nº 6/2022, p. 5 · Relatoria: Miriam WimmerMinuta do regulamento de dosimetria e aplicação de sanções administrativas
Legislação aplicável
Res. CD/ANPD nº 4/2023 — Dosimetria de Sanções
Regulamento de Dosimetria e Aplicação de Sanções Administrativas — Anexo da Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023
Art. 2º Para fins deste Regulamento adotam-se as seguintes definições:
(...)
VI - política de boas práticas e de governança: normas e processos internos que assegurem o cumprimento abrangente da legislação de proteção de dados pessoais, estabelecidos e implementados pelo agente de tratamento mediante a adoção de:
a) regras de boas práticas e de governança, nos termos do art. 50, caput e § 1º, da LGPD; ou
b) programa de governança em privacidade, nos termos do § 2º do art. 50 da LGPD;
(...)
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.
§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:
I - implementar programa de governança em privacidade que, no mínimo:
a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;
c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;
d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;
f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;
g) conte com planos de resposta a incidentes e remediação; e
h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;
II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.
§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.