Introdução a Lei Geral de Proteção de Dados - LGPD

Em 14 de agosto 2018, o então presidente Michael Temer sancionou a Lei Geral de Proteção de Dados – 13.709/2018, ou simplesmente LGPD, a qual foi intimamente inspirada pela General Data Protection Regulation, ou simplesmente GDPR, uma lei com a mesma finalidade de proteção de dados aplicáveis aos países Europeus, em vigência desde maio de 2018.

A lei brasileira entrará em vigor em fevereiro de 2020, aplicando-se as pessoas naturais e jurídicas de direito público ou privado, e desde a sua promulgação, em agosto de 2018, todos trabalham para se adaptarem a tempo, pois aqueles que não a cumprir, poderão pagar uma multa que varia entre 2% do faturamento bruto da pessoa jurídica de direito privado até o valor máximo de R$ 50 milhões de reais por infração.

A lei tem por objetivo elevar a proteção dos dados pessoais, assim, estabelece regras claras sobre coleta, armazenamento, tratamento e compartilhamento dos dados pessoais, impondo sanções aos transgressores da norma. Isso serve para que, aquelas empresas que possuem a cultura de acumular informações (algumas até mesmo desnecessárias), mudem este comportamento, e passem a dar atenção especial.

Outro ponto relevante é que por vezes, empresas que, no momento do cadastro, solicitam determinadas informações sobre eventos nos quais não tem relação com a finalidade do próprio negócio, apenas com o fito de popular sua base de dados, destarte, a lei buscará que sejam exigidas apenas informações realmente necessárias, a fim de atender aos princípios que a novel norma tende a consagrar, a saber: princípio da finalidade, princípio da adequação, princípio da necessidade e princípio da transparência. Sabe-se que hoje, as informações pessoais tem grande valor dentro das instituições públicas e privadas, e servem como moeda de troca para os mais escusos interesses.

Para afastar qualquer hipótese de interpretação, a lei traz a definição de “dado pessoal”: informação relacionada a pessoa natural identificada ou identificável. Não obstante, define também “dado pessoal sensível”: é aquele dado pessoal que está relacionado a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente a saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Uma outra curiosidade é o dado anonimizado que é aquele referente ao titular que não pode ser identificado.

Para obter as informações, o titular deverá dar consentimento explícito e legitimidade sobre elas, garantindo a ele o direito de acessar, corrigir, eliminar, fazer a portabilidade e até mesmo revogar o consentimento que havia dado em outrora. Irá também garantir indenização caso haja algum dano causado ao titular, sendo assim, quando houver algum incidente, o órgão regulador (Autoridade Nacional de Proteção de Dados) deverá ser notificado.

Para facilitar o entendimento, a lei traz de forma exemplificativa quem são os agentes envolvidos nas relações que versarem sobre a proteção de dados. Frisa-se, no entanto, que as nomenclaturas que a lei aborda acerca dos agentes são meramente elucidativas, não sendo necessário a criação, por exemplo, de um cargo dentro da estrutura organizacional com a definição dada pela lei. Os agentes estão descritos dos incisos V a IX do art. 5º da referida lei:

Art. 5º. Para os fins deste Lei, considera-se:
(...)
V – titular: pessoa natural a quem se referem os dados pessoas que são objeto de tratamento;
VI – controlador: pessoa natural ou jurídica de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VII – operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoas em nome do controlador;
VIII – encarregado: pessoa natural, indicada pelo controlador, que atua como canal de comunicação entre o controlador e os titulares e a autoridade nacional.
IX – agentes de tratamento: o controlador e o operador;

Com a especificação dos termos utilizados pela lei, fica claro e apontável o que é ou não dado pessoal, assim como todos os processos, as técnicas, os agentes ou os procedimentos relativos ao tratamento de dados.

Outro ponto de relevância é quanto a sua aplicação material e territorial, pois a LGPD não está relacionada à cidadania ou à nacionalidade dos dados pessoais, tampouco à residência do indivíduo titular, ou ainda do local em que este dado é armazenado, e sim, atenta ao conteúdo pessoal do dado, bem como a finalidade. Assim, se o dado é utilizado por uma pessoa física, para fins exclusivamente particulares e não econômicos, para fins jornalísticos e artísticos e para tratamentos realizados para fins de segurança pública e defesa nacional, a lei não será aplicada. A LGPD tem alcance extraterritorial, ou seja, efeitos internacionais, na medida em que se aplica também aos dados que sejam tratados fora do Brasil, mas com algumas particularidades, por exemplo, desde que a coleta tenha ocorrido em território nacional.

Atender aos requisitos da LGPD exige uma adequação dos processos de governança corporativa e operacional, o que demanda investimentos, atualização de ferramentas de segurança de dados, revisão documental, melhoria de procedimentos, aplicação de mecanismos de controle e auditoria, e acima de tudo, mudança de cultura.

A LGPD traz um grande impacto social e econômico. O usuário brasileiro titular de dados pessoas precisará saber o que é proteção de dados pessoais, assim, como haverá necessidade de se disponibilizar recursos e instrumentos para que micro e pequenas empresas possam se adequar.

A lei prevê e exige que existam encarregados da proteção dos dados pessoais nas organizações. Os agentes de tratamento devem pensar em regras e meios técnicos para proteger os dados pessoais, e comprovar sua efetividade.

Outro ponto que deverá ser cuidadosamente analisado, são as atualizações contratuais (titular de direitos pessoais, seja consumidor final ou funcionário, parceiros e fornecedores de soluções de gestão de informação, nuvem, mensageria, credit score, big data, mídias sociais, e etc).

A Lei Geral de Proteção de Dados chega em um momento pujante do derramamento de informações pessoais, e com a expansão estratosférica de empresas e mercados especializados em análises comportamentais e de consumo através de dados pessoais (sensíveis ou não), uma nova era tende-se a iniciar, com maior segurança para todas as partes envolvidas, controles claros, e sanções previstas, portanto, é uma matéria que deve ser encarada pelas empresas de forma séria e contundente, e assim, evitar dissabores e prejuízos que podem chegar a 50 milhões de reais.