Em 13 de dezembro de 2024, foi publicada a Lei 21.719, que regula a Proteção e o Tratamento dos Dados Pessoais e cria a Agência de Proteção de Dados Pessoais (doravante, a “Nova Lei”).
Esta Nova Lei modifica de maneira integral a atual Lei nº 19.628 sobre proteção da vida privada, modernizando a regulamentação nacional de proteção de dados pessoais e criando uma entidade reguladora encarregada de zelar pelo seu cumprimento.
Entre as principais inovações da Nova Lei, encontra-se a criação da Agência de Proteção de Dados (doravante, a Agência), organismo que terá competências normativas, fiscalizadoras e sancionatórias, podendo iniciar procedimentos sancionatórios de ofício ou a pedido de parte, resolvendo as reclamações formuladas pelos titulares de dados contra os responsáveis de dados por infração a esta normativa.
No que diz respeito ao processo sancionatório e à imposição de sanções pela Agência, está previsto um sistema de determinação da multa que leva em consideração o benefício econômico obtido, a capacidade econômica, a gravidade dos fatos, o grau de culpa, as circunstâncias atenuantes e agravantes, entre outros. As sanções podem variar desde uma advertência por escrito até multas de 20.000 U.T.M., dependendo da natureza leve, grave ou gravíssima da infração. Em casos de reincidência, a sanção poderá até mesmo triplicar, chegando a 60.000 U.T.M. ou o equivalente a 2%, ou até 4% das vendas brutas anuais, no caso de grandes empresas.
A Agência, além disso, poderá certificar, registrar e supervisionar os modelos de prevenção de infrações e os programas de conformidade, bem como administrar o Registro Nacional de Conformidade e Sanções. Dessa forma, a Nova Lei inova na regulamentação, incorporando expressamente a possibilidade de adotar programas de conformidade normativa de caráter voluntário denominados como “Modelo de Prevenção de Infrações” (doravante, MPI).
Os elementos ou requisitos essenciais destes Modelos incluem a designação de um encarregado de proteção de dados pessoais com a definição de meios e faculdades para as suas tarefas; a identificação do tipo de informação que a entidade trata, o âmbito territorial em que opera, a categoria, classe ou tipos de dados ou bases de dados que administra; a identificação das atividades ou processos da entidade, sejam habituais ou esporádicos, em cujo contexto se gere ou aumente o risco de cometimento das infrações; o estabelecimento de protocolos, regras e procedimentos específicos; mecanismos de relatório interno de cumprimento normativo, e mecanismos de relatório à Autoridade de Proteção de Dados; e a existência de sanções administrativas internas, bem como de procedimentos de denúncia ou punição de responsabilidades das pessoas que descumpram o sistema de prevenção de infrações.
A nova Lei estabelece que o cumprimento diligente dos deveres de supervisão e direção para a proteção de dados, verificado com a certificação do programa de prevenção de infrações perante a Agência, constituirá uma circunstância atenuante. Tendo em vista o exposto e considerando a pesada carga regulatória que, entre outras coisas, exige a implementação de medidas de segurança técnicas e organizacionais em assuntos de cibersegurança, a criação de protocolos para o recebimento de solicitações de exercício de direitos ARCO e a obrigação de notificar a Agência e os titulares afetados (no caso de dados sensíveis ou situações específicas) sobre violações de segurança que impliquem riscos significativos, a implementação oportuna dos Modelos de Prevenção de Infrações pode ser uma ferramenta eficaz não apenas para evitar sanções relevantes, mas também para enfrentar o enorme esforço que as organizações precisarão realizar para cumprir os padrões exigidos na Lei.
Conclusões
Apesar de a nova lei ter sido publicada recentemente e de suas modificações na Lei nº 19.628 entrarem em vigor em 1º de dezembro de 2026, é fundamental que as organizações comecem desde já a adequar sua estrutura operacional e seus processos internos, com o objetivo de cumprir os novos padrões desta lei.
A nova Lei de Proteção de Dados impõe uma grande carga regulatória para as empresas.
No entanto, também oferece uma oportunidade ao adotar uma abordagem preventiva e baseada no risco, o que permitirá identificar e mitigar riscos, implementar as medidas organizativas e técnicas necessárias, e garantir o cumprimento efetivo das obrigações que esta nova regulamentação impõe através da implementação do Modelo de Prevenção de Infrações e da designação de um Encarregado de Proteção de Dados, permitindo evitar futuras sanções e fortalecendo a confiança dos titulares na gestão de seus dados pessoais.