Article considérant 137

(137) Dans le cadre de ses pouvoirs d’adoption de mesures correctrices, l’ANPD peut imposer des avertissements, des amendes ou d’autres sanctions telles que des injonctions de cesser temporairement le traitement de données ou d’effacer des données à caractère personnel. Ces sanctions peuvent être infligées à des entités publiques ou privées, à l’exception des amendes et des amendes journalières qui ne peuvent pas être infligées à des entités publiques. Plusieurs sanctions cumulatives peuvent être appliquées pour mettre une entité en conformité. Au moyen d’un avertissement, l’ANPD accorde à un responsable du traitement un délai spécifique pour adopter des mesures correctives afin de mettre un traitement en conformité avec la LGPD. Le non-respect de cette obligation entraînerait des sanctions supplémentaires. Par exemple, l’ANPD a adressé plusieurs avertissements au ministère de la santé pour défaut de fourniture d’une analyse d’impact relative à la protection des données et de notification d’une violation de données, entre autres. L’ANPD peut imposer plusieurs sanctions en lien avec la protection des droits des personnes concernées ou le respect de la LGPD. Par exemple, l’ANPD peut infliger une amende administrative pour violation de la LGPD ainsi qu’une injonction de supprimer des données liées à cette violation. L’ANPD peut également, en cas de sanctions non pécuniaires, décider d’infliger des «amendes journalières» «lorsque cela est nécessaire pour garantir la conformité (avec la LGPD) dans un certain délai». L’amende journalière est appliquée de manière cumulative, compte tenu du temps écoulé entre l’application de l’amende et le respect de l’obligation, pour un montant pouvant aller jusqu’à 50 millions de R$.