Newsletter November 2023 – Das Überwachungs- und Sanktionierungsverfahren der Datenschutzbehörde ANPD

Die Aufgaben der durch Gesetz Nr. 13.709/2018 (Allgemeines Datenschutzgesetz (LGPD)) geschaffenen Datenschutzbehörde (ANPD) ergeben sich aus den 24 Ziffern des Artikels 55-J des LGPD.

Eine ihrer Funktionen ist der Erlass von Regeln, in deren Ausübung durch die Resolution CD/ANPD Nr. 1/2021 und die im Februar dieses Jahres veröffentlichte Regelung über die Anwendung von Verwaltungssanktionen, mit der Vorschriften für die Überwachung und Sanktionsverwaltungsverfahren veröffentlicht wurden, in der Kriterien und Parameter für die in den Artikeln 52 und 53 des LGPD vorgesehenen Sanktionen, sowie Formen und Strafzumessung für die Berechnung der Höhe der Bußgelder definiert wurden.

Was die erste Regelung angeht, so sieht Art. 15 vor, dass die ANPD-Aktivitäten der Überwachung, Orientierung und Vorbeugung im Überwachungsprozess und im Sanktionsverwaltungsverfahren entfaltet.

Die Überwachung kann von Amts wegen durch periodische Überwachungsprogramme, in mit Stellen und Behörden koordinierter Form oder in Form des persönlichen Datenschutzes in Zusammenarbeit mit den für den Schutz personenbezogener Daten zuständigen Behörden in anderen Ländern erfolgen. Ein Sanktionsverwaltungsverfahren kann von der Allgemeinen Koordination für Überwachungen (CGF) ausgehend von Überwachungsverfahren oder aufgrund eines Antrags nach Feststellung der Zulässigkeit durch die CGF, eingeleitet werden.

Was die zweite Regelung betrifft, die durch die Resolution CD/ANPD Nr. 4/2023 eingerichtet wurde und die Strafzumessung der Sanktionen behandelt, so sind in deren Art. 3 Verwaltungssanktionen vorgesehen, die im Einklang mit der Schwere und Art der Verletzung und der beeinträchtigten Rechte verhängt werden (Art. 8). Die Berechnung der Sanktion erfolgt auf der Grundlage des Umsatzes oder Gruppe des Unternehmens, des Intervalls der Prozentsätze, dem Grad des Schadens und mildernden und erschwerenden Umständen.

In einem ersten Beispiel hat die Allgemeine Leitung der Überwachung der ANPD gegen das Unternehmen Telekall Inforservice im Juli 2023 die erste Sanktion wegen Verletzung der Artt. 7 und 41 des LGPD und Art. 5 der Überwachungsregelung der ANPD verhängt.

Die Betriebsprüfung wurde ausgehend von einer erstatteten Anzeige eingeleitet, nach der das Unternehmen Telekall Infoservice eine Liste von Whats-App-Kontakten von Wählern für die Verbreitung von Wahlkampagnenmaterial für die Gemeindewahl von 2020 in Ubatuba/SP angeboten haben sollte.

Die ANPD hatte festgestellt, dass die angezeigte Verarbeitung personenbezogener Daten ohne Rechtsgrundlage erfolgt war. Ferner wurde das Fehlen der Benennung eines Datenschutzbeauftragten für die Verarbeitung personenbezogener Daten durch das Unternehmen festgestellt. Es handele sich zwar um ein Kleinstunternehmen, die Telekall konnte jedoch nicht nachweisen, dass sie keine Hochrisiko-Daten verarbeitete. Dieser Nachweis ist Voraussetzung für die Ausnahme von der Pflicht zur Benennung eines Datenschutzbeauftragten.

Wegen der Anzeichen für den Verstoß gegen das LGPD und der Nichterfüllung der Bestimmungen des Überwachungsteams durch das Unternehmen hatte die CGF/ANPD daraufhin ein Verfahren wegen Verstoßes und ein Sanktionsverwaltungsverfahren eingeleitet. Nach Prüfung war die Behörde zu der Auffassung gelangt, dass das Unternehmen WhatsApp-Kontaktlisten für das Verschicken von Nachrichten angeboten und ausgehend von den im Internet verfügbaren Daten eine Datenbank erstellt hatte.

Dementsprechend kam die CGF zu dem Schluss, dass eine Verletzung von Art. 7 und Art. 41 LGPD und Art. 5 der Resolution CD/ANPD Nr. 1/2021 vorlag. Wegen des Verstoßes gegen Art. 7 LGPD (mangels Nachweises des Vorliegens der rechtlichen Voraussetzungen der Verarbeitung personenbezogener Daten) und gegen Art. 5 der Überwachungsregeln (aufgrund der Behinderung der Aktivität der Überprüfung) wurden einfache Bußgelder (Art. 52, II) in Höhe von 7.200,00 BRL für jeden Verstoß in einer Gesamthöhe von 14.400,00 BRL verhängt. Was die Nichterfüllung von Art. 41 des Gesetzes angeht, so führte das Fehlen der Benennung eines Datenschutzbeauftragten zu einer Verwarnung (Art. 52, I). Gegen die Entscheidung kann Rechtsmittel beim Conselho Diretor der Behörde eingelegt werden.

Neben dem erwähnten Prozess laufen laut Angaben der CGF derzeit 13 weitere Überwachungsverfahren sowie weitere 9 Sanktionsverwaltungsverfahren. Die Zahl ist noch sehr niedrig, es ist jedoch eine schrittweise Zunahme der Überwachungsaktivitäten der ANPD, sowie eine zunehmende Zahl von Mitteilungen, Anträgen, Anzeigen, Schriftsätzen und Inhabern von Daten zu beobachten, was zu einer steigenden Anzahl von Verfahren der ANPD führen dürfte.

Für Rückfragen zum Thema steht unser Datenschutz-Team zur Verfügung.

​Mariana de Magalhães e Souza

Anwältin der Zivilrechtsabteilung –  São Paulo

mariana.souza@stussinevessp.com.br